NIS2 finance: DORA staat, de keten blijft het zwakke punt
In 2024 testte de Europese Centrale Bank bijna 110 banken op hun herstelvermogen na een cyberaanval. Conclusie: ruimte voor verbetering op continuïteit en back-upprocedures. Een jaar later blijkt uit onderzoek dat 96 procent van de honderd grootste Europese financiële instellingen een beveiligingsincident bij een derde partij heeft gehad. De keten is het aanvalsoppervlak, niet de perimeter. DORA staat sinds januari 2025, maar NIS2 komt d
NIS2 finance: DORA staat, de keten blijft het zwakke punt
In 2024 testte de Europese Centrale Bank bijna 110 banken op hun herstelvermogen na een cyberaanval. Conclusie: ruimte voor verbetering op continuïteit en back-upprocedures. Een jaar later blijkt uit onderzoek dat 96 procent van de honderd grootste Europese financiële instellingen een beveiligingsincident bij een derde partij heeft gehad. De keten is het aanvalsoppervlak, niet de perimeter. DORA staat sinds januari 2025, maar NIS2 komt daar nu bovenop.
Wat NIS2 bovenop DORA legt
De Nederlandse financiële sector werkt al onder DORA sinds januari 2025. Daar komt binnenkort NIS2 bovenop via de Cyberbeveiligingswet — naar verwachting in het tweede kwartaal van 2026. Voor banken, verzekeraars en vermogensbeheerders overlappen beide regimes, maar ze vullen elkaar aan.
DORA focust sterk op operationele veerkracht en ICT-risicobeheer binnen de sector zelf. NIS2 breidt vooral de ketenplichten en bestuurdersaansprakelijkheid uit. Dat verschuift het accent op drie punten:
- Third-party risk management bij álle leveranciers — niet alleen fintech en cloud, ook hardware en endpointbeheer
- Strakke meldtermijnen: 24 uur voorsignalering, 72 uur vervolgmelding, 30 dagen eindverslag
- Aantoonbare configuratie- en patchdiscipline op elk endpoint met toegang tot klantomgevingen
DNB waarschuwde herhaaldelijk dat afhankelijkheid van gedeelde ICT-leveranciers een systeemrisico creëert. Eén incident bij een gespecialiseerde dienstverlener kan tientallen instellingen tegelijk raken. Precies dat risico willen DORA en NIS2 samen afdichten.
Wat nu al kan
Phishing-resistente MFA voor medewerkers én externe consultants. Strikte segmentatie tussen backoffice en klantportalen. Monitoring van afwijkend gedrag op bevoorrechte accounts. Geo-blocking waar geen zakelijke noodzaak bestaat.
“In finance zit het besef er al,” zegt Michel Heinst, CEO van TechOutlet.eu. “Wat NIS2 toevoegt is documentatie — tot aan de laptop die een consultant bij de klant gebruikt.”
Meer over NIS2 financiële dienstverlening en beheerde zakelijke hardware: NIS2 cybersecurity zakelijke hardware.
Over TechOutlet.eu — B2B-leverancier van ICT-hardware van o.a. HP inc, Lenovo, Dell, Microsoft Surface voor Nederland, België, rest van EU sinds 2014.
Meer lezen
