NIS2 Essentiële Entiteiten in de Financiële Sector: Wbni, NCSC en DORA-samenloop

Banken, betaalinstellingen en kritieke ICT-leveranciers vallen niet alleen onder DORA — een aanzienlijk deel van de financiële infrastructuur wordt in Nederland tegelijk als NIS2-essentiële entiteit geclassificeerd via de Wet beveiliging netwerk- en informatiesystemen (Wbni). Wie ervan uitgaat dat DORA-compliance automatisch NIS2-compliance betekent, mist een cruciaal onderdeel: de meldplicht bij het NCSC, de Wbni-registratieverplichting en de aanvullende beveiligingsmaatregelen die niet één-op-één overlappen met DORA. Dit artikel legt uit welke financiële en financieel-aanpalende organisaties als essentiële entiteit gelden, hoe de Wbni-classificatie werkt en hoe DORA en NIS2 in de praktijk samenlopen.

Welke financiële en financieel-aanpalende organisaties zijn NIS2-essentieel?

NIS2 wijst in Bijlage I expliciet banken en infrastructuur voor financiële markten (handelsplatformen, centrale tegenpartijen) aan als sectoren van hoge kriticiteit. Grote organisaties in deze sectoren (250+ medewerkers, of >€50M omzet en >€43M balanstotaal) worden automatisch als essentiële entiteit geclassificeerd onder de Wbni. Daarnaast geldt voor een aantal categorieën een uitzondering op de omvangsdrempel: zij zijn altijd essentieel, ongeacht personeelsaantal of omzet.

Deze uitzondering raakt direct de financiële sector, omdat de meeste banken vertrouwen op externe cloud- en datacenterleveranciers. Onder de Wbni gelden onder meer de volgende categorieën altijd als essentiële entiteit:

• Aanbieders van cloud computing-diensten, datacenterdiensten en content delivery networks (vaak de kritieke ICT-leveranciers van banken onder DORA)
• Aanbieders van managed services en managed security services aan financiële instellingen
• Gekwalificeerde vertrouwensdienstverleners (elektronische handtekeningen, certificaten — relevant voor digitale ondertekening van financiële contracten)
• Entiteiten die door een lidstaat als kritiek zijn aangemerkt onder andere wetgeving, waaronder DORA zelf voor kritieke ICT-derde-partijen (CTPP)

Met andere woorden: een cloudleverancier die als Critical Third-Party Provider (CTPP) onder DORA wordt aangewezen door de Europese toezichthouders, kan tegelijk als NIS2-essentiële entiteit onder de Wbni vallen — met een aparte NCSC-meldplicht naast de DORA-rapportageketen naar DNB.

Essentiële versus belangrijke entiteit: praktische gevolgen onder de Wbni

DORA en NIS2 naast elkaar: welke meldplicht geldt wanneer?

Voor een bank die zowel DORA- als NIS2-plichtig is, ontstaat in de praktijk een dubbele meldketen. Het uitgangspunt: DORA is lex specialis voor ICT-gerelateerde incidenten bij de financiële entiteit zelf — die meldt u bij DNB volgens de DORA-termijnen (eerste melding binnen 4 uur, tussentijds rapport binnen 72 uur, eindrapport binnen 1 maand, zoals ook beschreven in onze gids over DORA voor Nederlandse banken). Maar zodra een kritieke ICT-leverancier van die bank zelf als NIS2-essentiële entiteit is aangemerkt — bijvoorbeeld een cloud- of datacenterprovider — meldt die leverancier zijn eigen significante incidenten apart bij het NCSC volgens de Wbni-termijnen, los van de contractuele DORA-verplichtingen richting de bank als klant.

Dit betekent dat compliance-teams van financiële instellingen niet alleen hun eigen DORA-meldproces op orde moeten hebben, maar ook moeten verifiëren of hun kritieke ICT-leveranciers hun eigen Wbni-registratie en NCSC-meldproces correct hebben ingericht — anders ontstaat een blinde vlek in de keten.

Registratie bij het NCSC: de eerste stap die vaak wordt overgeslagen

Zowel essentiële als belangrijke entiteiten moeten zich onder de Wbni registreren. Voor financiële instellingen en hun kritieke ICT-leveranciers verloopt dit via het NCSC als centraal meldpunt, in samenspraak met de sectorale toezichthouder (voor banken en betaalinstellingen: DNB). Het niet-registreren is op zichzelf al een overtreding, los van de vraag of er daadwerkelijk een cyberincident heeft plaatsgevonden. Voor organisaties die zowel onder DORA als onder de Wbni vallen, is dit een aparte administratieve stap bovenop de DORA-registratie van kritieke ICT-derde-partijen bij de Europese toezichthouders.

Bestuurlijke aansprakelijkheid: dubbele verantwoordelijkheid voor financiële bestuurders

Artikel 20 NIS2 legt persoonlijke aansprakelijkheid bij het bestuur voor het goedkeuren en bewaken van cyberbeveiligingsmaatregelen. Voor bestuurders van banken en verzekeraars komt dit bovenop de bestaande bestuurlijke verantwoordelijkheid onder DORA voor ICT-risicobeheer. Bestuurders van essentiële entiteiten moeten aantoonbaar cyberbeveiligingstraining volgen — dit kan in de praktijk worden gecombineerd met de DORA-vereiste jaarlijkse briefing over ICT-risico's, maar de twee opleidingsverplichtingen zijn juridisch gescheiden en moeten apart worden gedocumenteerd.

Veelgestelde vragen over NIS2, Wbni en de financiële sector

Moet mijn bank zich zowel bij DNB als bij het NCSC registreren?

Voor de meeste banken is DORA leidend voor incidentmelding richting DNB. Maar als uw bank of een van uw kritieke ICT-leveranciers ook als NIS2-essentiële of belangrijke entiteit onder de Wbni valt, is aanvullende registratie bij het NCSC vereist. Raadpleeg de zelfscan van het NCSC om te bepalen of dit voor uw specifieke situatie geldt.

Geldt de Wbni ook voor onze cloudleverancier als wij zelf onder DORA vallen?

Mogelijk wel, onafhankelijk van uw eigen DORA-status. Cloud computing-diensten en datacenterdiensten vallen onder de categorieën die altijd als NIS2-essentiële entiteit gelden, ongeacht personeelsaantal of omzet. Controleer bij contractverlenging of uw kritieke ICT-leveranciers hun eigen Wbni-verplichtingen naleven — dit is relevant voor uw eigen DORA-derde-partijrisicobeheer.

Wat gebeurt er als een incident zowel onder DORA als onder de Wbni meldplichtig is?

Voor incidenten bij de financiële entiteit zelf geldt DORA als lex specialis: u meldt bij DNB volgens de DORA-termijnen. Zodra een gedeelde ICT-leverancier zelf als NIS2-essentiële entiteit is aangemerkt, meldt die leverancier separaat bij het NCSC. Beide meldketens lopen naast elkaar en vervangen elkaar niet.

Hoe helpt IgeraRegTech bij het beheren van deze dubbele verplichtingen?

IgeraRegTech koppelt uw interne DORA-incidentregister aan de Wbni-vereisten en signaleert wanneer een van uw kritieke ICT-leveranciers ook als NIS2-essentiële entiteit is aangemerkt. Compliance officers krijgen automatische alerts bij naderende meldtermijnen voor zowel DNB als het NCSC, met exacte artikelverwijzingen uit DORA (EU 2022/2554) en de Wbni.