DNB ziet operationele cyberweerbaarheid in de pensioensector nog onvoldoende verbeteren

Uit de analyse komen drie belangrijke uitkomsten naar voren.

1) Business continuity maatregelen zijn onvoldoende getest

Uit onze analyse blijkt dat de pensioenuitvoeringsorganisaties in Nederland gedegen aandacht besteden aan het inrichten en testen van hun business continuity maatregelen. Dit draagt bij aan de veerkracht van hun operationele bedrijfsvoering. Tegelijkertijd blijkt dat zelf-administrerende pensioenfondsen minder aandacht hebben voor business continuïteit en het testen van hun business continuity maatregelen achter blijft. Circa 60% van de zelf-administrerende fondsen geeft aan dergelijke tests te hebben uitgevoerd in 2022.

DNB benadrukt het belang van een grondige voorbereiding op zowel operationele als (cyber)calamiteiten en verwacht dat alle pensioenfondsen en pensioenuitvoeringsorganisaties hun maatregelen regelmatig testen. Bij het uitvoeren van testen is het van belang dat ook kritieke en belangrijke uitbestedingsrelaties worden betrokken. Die relaties zijn nu veelal geen onderdeel van de testen.

In 2024 zal DNB extra aandacht besteden aan de operationele (cyber)weerbaarheid van de sector. Daarbij zal DNB onder andere letten op:

• De verankering van de rol en de expliciete kennis van bestuurders en (interne) toezichthouders zoals raad van toezicht op het gebied van DORA, ICT-security en -governance;
• Het zicht en de grip van pensioenfondsen en pensioenuitvoeringsorganisaties op de beheersing van IT- en cyberrisico’s in hun uitbestedingsketens en het verkrijgen van toereikende assurance daarover. Een goed voorbeeld daarbij is het afleggen van verantwoording in de vorm van een jaarlijks IT-verslag / IT assurance rapportage;
• Het betrekken van kritieke en belangrijke uitbestedingsrelaties in business continuity tests.

2) De implementatie van kritieke beveiligingspatches is niet verbeterd

Uit onze analyse blijkt dat pensioenfondsen en pensioenuitvoeringsorganisaties wat minder aandacht besteden aan beheerst en versneld implementeren van kritieke beveiligingspatches ten opzichte van het voorgaande jaar. De gemiddelde implementatietijd is nu 3,5 dagen, een kleine verslechtering ten opzichte van de 3,3 dagen in het voorgaande jaar. DNB vraagt aandacht voor een snelle reactie door pensioenfondsen en pensioenuitvoeringsorganisaties op potentiële beveiligingslekken in hun (uitbestede) IT-infrastructuur en IT-applicaties. Het verder versnellen van een beheerste implementatie van kritieke patches bij de instelling zelf, alsmede in de gehele uitbestedingsketen draagt hieraan bij. Uit diverse dreigingsbeelden komt naar voren dat juist direct na het uitkomen van een kritieke beveiligingspatch, het aantal (geslaagde) hacks toeneemt. De onderlinge verbondenheid van IT-systemen in uitbestedingsketens vergroot de kans op een geslaagde aanval of verstoring naarmate kwetsbaarheden langere tijd open staan.

3) Risk management is niet bij alle instellingen in de pensioensector voldoende volwassen

Uit de sectorbrede analyse informatiebeveiliging 2023 komt verder naar voren dat de verankering van IT en cyberweerbaarheid in de gehele risicomanagement cyclus achterblijft.

Uit de analyse komt naar voren dat 21% van de pensioenfondsen en pensioenuitvoeringsorganisaties onvoldoende kan aantonen dat hun Risk assessments volwassen zijn. Dat is weliswaar een verbetering ten opzichte van het voorgaande jaar (32%).

De aantoonbare volwassenheid van processen die opvolging geven aan risico-verbeterplannen is eveneens verbeterd: 26% van de pensioenfondsen en pensioenuitvoeringsorganisaties geeft aan dat zij de volwassenheid onvoldoende kan aantonen. In het voorafgaande jaar was dat 39%.

Uit de analyse komt naar voren dat 20% van de pensioenfondsen en pensioenuitvoeringsorganisaties een volwassen IT riskmanagement framework onvoldoende kan aantonen. In het voorgaande jaar was dat 34%.

DNB dringt bij de desbetreffende instellingen aan op aantoonbare beheersing van hun informatiebeveiligingsrisico’s.

*Een overzicht van de uitgevraagde beheersmaatregelen staat in de Good Practice Informatiebeveiliging 2019/2020.