Beveiliging, risk en compliance bij banken en verzekeraars

Welke wetten en toezichthouders gelden voor banken en verzekeraars?

Wie bij een bank of verzekeraar werkt, werkt in beginsel onder meerdere kaders tegelijk. De belangrijkste staan in de tabel hieronder.

DORA geldt voor de meeste financiële ondernemingen, zoals beleggingsondernemingen, banken en betaaldienstverleners. Volgens de Rijksoverheid houden DNB en AFM toezicht op de naleving en kunnen zij een boete geven. Europese toezichthouders houden toezicht op grote IT-leveranciers van financiële instellingen.

Verzekeraars en pensioenfondsen vallen onder DORA. Artikel 2 noemt verzekerings- en herverzekeringsondernemingen en instellingen voor bedrijfspensioenvoorziening. Er gelden uitzonderingen, zoals voor verzekeringstussenpersonen die micro-, kleine of middelgrote ondernemingen zijn, en voor instellingen met pensioenregelingen die samen niet meer dan 15 leden hebben.

NIS2 noemt in bijlage I bankwezen en infrastructuur voor de financiële markt. Verzekeringen staan daar niet als aparte sector in. Voor banken geldt naast DORA ook NIS2, in Nederland via de Cyberbeveiligingswet, die op 15 augustus 2026 in werking is getreden. Waar regels overlappen, gaan volgens de Rijksoverheid de DORA-bepalingen voor financiële instellingen voor.

De stand van deze regels is gecontroleerd op 5 november 2026, en regels kunnen veranderen. Vacatures in deze sectoren staan op financiële dienstverlening en verzekeringen en pensioenen.

Wat betekent DORA voor security- en risicoteams?

DORA is Verordening (EU) 2022/2554 van 14 december 2022 over digitale operationele weerbaarheid voor de financiële sector. De verordening is op 17 januari 2023 in werking getreden en is per 17 januari 2025 van toepassing, volgens DNB. De tekst op EUR-Lex is de bron, en DNB heeft een overzicht van DORA met de uitleg voor de sector.

De verordening behandelt vijf onderwerpen: ICT-risicobeheer, het beheer, de classificatie en de rapportage van ICT-gerelateerde incidenten, het testen van digitale operationele weerbaarheid, het beheer van het ICT-risico van derde aanbieders, en regelingen voor de uitwisseling van informatie.

Volgens artikel 5 bepaalt het leidinggevend orgaan alle regelingen voor het kader voor ICT-risicobeheer, keurt het die goed, houdt het toezicht op de uitvoering en is het daarvoor verantwoordelijk. De leden moeten voldoende kennis en vaardigheden hebben om ICT-risico te begrijpen en te beoordelen. Artikel 6 vraagt om een solide, alomvattend en goed gedocumenteerd kader, als onderdeel van het algemene risicobeheer. Sinds 1 augustus 2024 toetst de AFM bij vergunningaanvragen onder meer de kennis van bestuurders over ICT-risico.

Volgens de artikelen 17 tot en met 19 registreren en classificeren financiële entiteiten ICT-gerelateerde incidenten. Ernstige incidenten meldt de instelling aan de bevoegde autoriteit met een eerste kennisgeving, een tussentijds verslag en een eindverslag. Significante cyberdreigingen mogen vrijwillig worden gemeld. Volgens DNB gaan ernstige ICT-incidenten via Mijn DNB, en financiële entiteiten die onder NIS2 vallen melden incidenten ook bij het NCSC.

Volgens de artikelen 24 en 25 voeren financiële entiteiten die geen micro-onderneming zijn een testprogramma uit. Zij testen ten minste eenmaal per jaar alle ICT-systemen die kritieke of belangrijke functies ondersteunen. Aangewezen entiteiten voeren volgens artikel 26 ten minste om de drie jaar geavanceerde tests uit door middel van TLPT (dreigingsgestuurde penetratietests). De bevoegde autoriteiten bepalen welke entiteiten dit moeten doen.

Volgens artikel 28 blijft een financiële entiteit volledig verantwoordelijk voor de naleving als zij ICT-diensten van derden gebruikt. Zij houdt daarvoor een informatieregister bij van alle contractuele overeenkomsten over die diensten. Volgens DNB stond de uitvraag van dat register vanaf 2 maart 2026 in MijnDNB. Pensioenfondsen moeten ICT-diensten van een pensioenuitvoeringsorganisatie apart opnemen.

Op 20 december 2024 schreef DNB dat DORA voor instellingen binnen de reikwijdte de Good Practice Informatiebeveiliging vervangt. Het toezicht is volgens DNB risicogebaseerd en proportioneel. Details kunnen sindsdien zijn bijgewerkt.

Voor een security- of risicoteam levert dit concreet werk op: het informatieregister bijhouden, incidenten classificeren, een testprogramma opzetten en leveranciers beoordelen. Het DORA-artikel legt de verplichtingen uit, en op de skillpagina voor DORA zie je welke vacatures DORA noemen.

Wat doet de Wwft met compliance in de financiële sector?

De Wwft dateert van 15 juli 2008. Volgens artikel 1a is de wet van toepassing op banken en andere financiële ondernemingen, zoals beleggingsondernemingen, levensverzekeraars, betaaldienstverleners en aanbieders van cryptoactivadiensten. De wettekst op wetten.overheid.nl is de bron.

Artikel 3 verplicht tot cliëntenonderzoek. Je identificeert en verifieert de cliënt en de uiteindelijk belanghebbende, stelt het doel en de beoogde aard van de zakelijke relatie vast en controleert de relatie voortdurend. DNB schrijft dat de Wwft een risicogebaseerde benadering kent. Bij een hoger risico geldt verscherpt cliëntenonderzoek, zoals artikel 8 beschrijft.

Artikel 16 verplicht een instelling om een uitgevoerde of voorgenomen ongebruikelijke transactie onverwijld te melden aan de Financiële inlichtingeneenheid (FIU), zodra het ongebruikelijke karakter bekend is. De FIU analyseert elke melding en beslist of transacties verdacht worden verklaard. In het dagelijkse werk betekent dat: waarschuwingen beoordelen, dossiers bijhouden en besluiten of een melding nodig is. CAMS is een certificering rond witwasbestrijding.

Artikel 2d vraagt dat een instelling, passend bij haar aard en omvang, een onafhankelijke en effectieve compliancefunctie heeft die controleert of wettelijke en interne regels worden nageleefd. Artikel 35 vraagt dat medewerkers worden doorgelicht en periodiek opleidingen volgen om een ongebruikelijke transactie te herkennen. Binnen dat kader werkt een compliance officer.

Het nieuwe Europese kader bestaat uit de Anti-Money Laundering Regulation (AMLR), een nieuwe richtlijn (AMLD6) en de verordening die de Europese toezichthouder AMLA oprichtte. Volgens DNB en de AFM treedt het op 10 juli 2027 in werking. Volgens DNB vervangt de Nederlandse implementatiewet (Iwt) de huidige Wwft.

Naast de Wwft geldt de Sanctiewet 1977. DNB schrijft dat financiële instellingen moeten controleren of er sancties gelden voor hun relaties, en dat zij bij een hit een melding moeten doen. Artikel 1d wijst de toezichthouders aan, waaronder DNB voor banken en de AFM voor onder meer beleggingsondernemingen.

Een compliance-medewerker in de Wwft werkt minder technisch dan een securityspecialist, maar niet minder strikt. Elke beslissing moet je kunnen onderbouwen, met het cliëntdossier, het doel van de relatie en de indicatoren voor ongebruikelijke transacties als basis.

Hoe werken red teams en TIBER in de financiële sector?

Volgens de ECB is TIBER-EU een Europees raamwerk voor op dreigingsinformatie gebaseerde, ethische red-teamtests. DNB introduceerde in 2016 het TIBER-NL-raamwerk, en de ECB nam het in 2018 over als basis voor TIBER-EU. Een TIBER-test levert volgens de ECB geen slaagt-of-zakt-uitslag op, maar inzicht in sterke en zwakke punten.

DNB schrijft dat deelname aan een TIBER-test vrijwillig is, maar dat TLPT verplicht is voor instellingen die aan de DORA-criteria voldoen. Het Test Cyber Team van DNB begeleidt de tests. De AFM schrijft dat aangewezen ondernemingen een melding krijgen, dat AFM-testmanagers de testperiode met de onderneming afspreken en dat de onderneming na afloop een attest krijgt. Meer over dit traject staat in het artikel over TIBER-NL en TLPT.

De Gedelegeerde Verordening (EU) 2025/1190 stelt eisen aan externe testers. Een red team heeft ten minste één manager met ten minste vijf jaar ervaring in penetratietests en red-teamtests, en ten minste twee andere testers met elk ten minste twee jaar ervaring. De actieve red-teamtestfase duurt ten minste twaalf weken. Een startende pentester draait daar meestal niet als manager of eerste tester mee, maar kan binnen een team groeien richting red-teamwerk.

Bij zulke tests voert een red team de aanval uit, tegenover een blue team dat verdedigt. Hoe die groepen zijn ingericht en samenwerken, verschilt per organisatie. Niet elke functie in dit artikel hoort bij een test als deze.

Welke functies horen bij banken en verzekeraars?

Welke functie bij een bank of verzekeraar past, hangt af van de organisatie. De tabel geeft per functie de regel erachter en de rolgids. Het overzicht van rollen per organisatie staat in wie doet wat in security, risk en compliance.

Naast de rolgidsen staan de vakgebieden risk management en compliance en privacy op het platform. De werkgeverspagina geeft een algemeen overzicht van de werkgevers.

Waarin verschilt een werkdag bij een bank van andere sectoren?

De toezichthouder is een vaste gesprekspartner. Een security- of riskteam moet kunnen laten zien hoe het tot een besluit kwam, niet alleen dat er een besluit is. Documenteren, versies bijhouden en bewijs bewaren is daarom een groot deel van het werk.

Kaders overlappen ook. Een incident kan raken aan DORA, aan de AVG (bij een datalek, zie de meldplicht datalekken) en bij een bank ook aan NIS2. Overzicht over die kaders helpt in deze sector.

Een bekend model is de indeling in drie verdedigingslinies: de eerste lijn is de business en de operatie, de tweede lijn is risk en compliance, en de derde lijn is interne audit. Dit is een algemeen model. Lees het uitgebreider in het artikel over ISO 31000 en het three lines model. Niet elke organisatie past het identiek toe.

Als algemene lijn staan bij een bank betalingsverkeer en cliëntenonderzoek centraal. Bij een verzekeraar gaat het vooral om acceptatie, schadeafhandeling en gevoelige persoonsgegevens, bijvoorbeeld over gezondheid. Pensioenfondsen besteden een deel van hun werk uit aan een pensioenuitvoeringsorganisatie, waardoor leveranciersbeheer er zwaarder op weegt. Elke organisatie legt eigen accenten, dus zie dit als richting en niet als vaststaand feit.

Certificeringen die bij deze functies kunnen passen, zijn geen eis. CISA en CRISC horen bij audit en risk, CAMS bij witwasbestrijding, CISSP of CISM bij security management, en FRM en PRM bij financieel risico.

Wie uit een andere sector komt, hoeft de wetten niet uit het hoofd te kennen. Begin met één kader dat je goed begrijpt, zoals ISO 27001 of de AVG. DORA, de Wwft en NIS2 stellen daarna dezelfde vragen, maar anders: wie is verantwoordelijk, wat is het risico en hoe laat je dat zien. DORA gaat over technologie en weerbaarheid, de Wwft over cliënten en transacties. In kleinere organisaties kan één functie beide raken.