Uit onze sectorbrede analyse informatiebeveiliging 2023 onder Nederlandse pensioenfondsen en pensioenuitvoeringsorganisaties komt naar voren dat de rol bij en expliciete kennis van bestuurders en (interne) toezichthouders voor een gedegen (IT) risk management meer aandacht behoeft. Het gaat daarbij onder meer om het vaststellen van een risk appetite op het gebied van cyberrisico’s en restrisico’s en het voortdurend evalueren en verbeteren van beheersmaatregelen op basis van een actueel dreigingsbeeld.
© iStock
Uit de analyse komen drie belangrijke uitkomsten naar voren.
Uit onze analyse blijkt dat de pensioenuitvoeringsorganisaties in Nederland gedegen aandacht besteden aan het inrichten en testen van hun business continuity maatregelen. Dit draagt bij aan de veerkracht van hun operationele bedrijfsvoering. Tegelijkertijd blijkt dat zelf-administrerende pensioenfondsen minder aandacht hebben voor business continuïteit en het testen van hun business continuity maatregelen achter blijft. Circa 60% van de zelf-administrerende fondsen geeft aan dergelijke tests te hebben uitgevoerd in 2022.
DNB benadrukt het belang van een grondige voorbereiding op zowel operationele als (cyber)calamiteiten en verwacht dat alle pensioenfondsen en pensioenuitvoeringsorganisaties hun maatregelen regelmatig testen. Bij het uitvoeren van testen is het van belang dat ook kritieke en belangrijke uitbestedingsrelaties worden betrokken. Die relaties zijn nu veelal geen onderdeel van de testen.
In 2024 zal DNB extra aandacht besteden aan de operationele (cyber)weerbaarheid van de sector. Daarbij zal DNB onder andere letten op:
Uit onze analyse blijkt dat pensioenfondsen en pensioenuitvoeringsorganisaties wat minder aandacht besteden aan beheerst en versneld implementeren van kritieke beveiligingspatches ten opzichte van het voorgaande jaar. De gemiddelde implementatietijd is nu 3,5 dagen, een kleine verslechtering ten opzichte van de 3,3 dagen in het voorgaande jaar. DNB vraagt aandacht voor een snelle reactie door pensioenfondsen en pensioenuitvoeringsorganisaties op potentiële beveiligingslekken in hun (uitbestede) IT-infrastructuur en IT-applicaties. Het verder versnellen van een beheerste implementatie van kritieke patches bij de instelling zelf, alsmede in de gehele uitbestedingsketen draagt hieraan bij. Uit diverse dreigingsbeelden komt naar voren dat juist direct na het uitkomen van een kritieke beveiligingspatch, het aantal (geslaagde) hacks toeneemt. De onderlinge verbondenheid van IT-systemen in uitbestedingsketens vergroot de kans op een geslaagde aanval of verstoring naarmate kwetsbaarheden langere tijd open staan.
Uit de sectorbrede analyse informatiebeveiliging 2023 komt verder naar voren dat de verankering van IT en cyberweerbaarheid in de gehele risicomanagement cyclus achterblijft.
Uit de analyse komt naar voren dat 21% van de pensioenfondsen en pensioenuitvoeringsorganisaties onvoldoende kan aantonen dat hun Risk assessments volwassen zijn. Dat is weliswaar een verbetering ten opzichte van het voorgaande jaar (32%).
De aantoonbare volwassenheid van processen die opvolging geven aan risico-verbeterplannen is eveneens verbeterd: 26% van de pensioenfondsen en pensioenuitvoeringsorganisaties geeft aan dat zij de volwassenheid onvoldoende kan aantonen. In het voorafgaande jaar was dat 39%.
Uit de analyse komt naar voren dat 20% van de pensioenfondsen en pensioenuitvoeringsorganisaties een volwassen IT riskmanagement framework onvoldoende kan aantonen. In het voorgaande jaar was dat 34%.
DNB dringt bij de desbetreffende instellingen aan op aantoonbare beheersing van hun informatiebeveiligingsrisico’s.
*Een overzicht van de uitgevraagde beheersmaatregelen staat in de Good Practice Informatiebeveiliging 2019/2020.
DNB publiceert in het kader van de Europese cyberbeveiligingsmaand in oktober een aantal nieuwsberichten over cybersecurity en daaraan gerelateerde onderwerpen.
Met dit bericht geeft DNB inzicht in belangrijke cyberrisico’s voor de sector en vraagt DNB aandacht voor verbetering van de beheersing van die risico’s.
De Europese cyberbeveiligingsmaand is de jaarlijkse campagne van de Europese Unie die is gericht op het bevorderen van cyberbeveiliging onder EU-burgers en -organisaties, en het verstrekken van actuele beveiligingsinformatie door middel van bewustmaking en het delen van Good Practices. De campagne wordt ondersteund door EU-lidstaten en honderden partners uit Europa en daarbuiten.
De Nederlandsche Bank publiceert een nieuw document dat financiële instellingen praktische handvatten geeft bij de vervulling van hun rol als poortwachter ter bescherming van de sector tegen financieel economische criminaliteit. Een belangrijk uitgangspunt daarbij is de risicogebaseerde benadering.
Lees meer Resultaten consultatie Q&As en Good Practices Wwft
In het eerste kwartaal van 2024 is de dekkingsgraad van de pensioensector verbeterd ten opzichte van het vorige kwartaal. Dit komt doordat de waarde van de verplichtingen minder toenam dan de waarde van de beleggingen.
Lees meer Dekkingsgraad pensioensector verbeterd
DNB kijkt terug op een geslaagd DNB pensioenseminar 2024 in DeFabrique in Utrecht. Dinsdag 9 april hebben meer dan 300 pensioenbestuurders en uitvoerders het seminar bijgewoond.
Lees meer TRANSITIENIEUWS - Pensioenseminar 2024: in dialoog over de transitie
De afgelopen tijd zijn verschillende beleidsuitingen van DNB gewijzigd. In dit nieuwsbericht vindt u een opsomming van de in 2024 gewijzigde uitingen, waarover bij de wijziging nog niet eerder een nieuwsbericht verscheen.
Lees meer TRANSITIENIEUWS - Aangepaste beleidsuitingen rondom pensioentoezicht
