Verslag (initiatief)wetsvoorstel (nader) : Verslag
36 482 Wijziging van de Wet op het financieel toezicht ter implementatie van Richtlijn (EU) 2022/2556 betreffende een kader voor digitale operationele weerbaarheid van de financiële sector (Implementatiewet digitale operationele weerbaarheid)
Nr. 5
VERSLAG
Vastgesteld 28 februari 2024
De vaste commissie voor Financiën, belast met het voorbereidend onderzoek van bovenstaand
wetsvoorstel, heeft de eer als volgt verslag uit te brengen van haar bevindingen.
Onder het voorbehoud dat de regering op de gestelde vragen tijdig en genoegzaam zal
hebben geantwoord, acht de commissie de openbare beraadslaging over dit wetsvoorstel
voldoende voorbereid.
ALGEMEEN
De leden van de GroenLinks-PvdA-fractie hebben kennisgenomen van het wetsvoorstel
en verwelkomen het wetsvoorstel. Zij hebben hierover een aantal vragen.
De leden van de NSC-fractie hebben kennisgenomen van de Wijziging van de Wet op het
financieel toezicht ter implementatie van Richtlijn (EU) 2022/2556 betreffende een
kader voor digitale operationele weerbaarheid van de financiële sector. Daarbij hebben
deze leden een aantal vragen en opmerkingen.
De leden van de D66-fractie hebben met interesse kennisgenomen van het wetsvoorstel
tot implementatie van de richtlijn digitale weerbaarheid. Deze leden vinden het positief
dat de risicobeheersing van ICT-systemen wordt verbeterd en dat de weerbaarheid van
de financiële sector voor IT-dreigingen wordt vergroot. Zo is het van groot belang
dat bijvoorbeeld het betalingsverkeer in Nederland goed en veilig kan plaatsvinden.
De leden van de BBB-fractie hebben met belangstelling kennisgenomen van de Implementatiewet
digitale operationele weerbaarheid. Deze leden zijn van mening dat de financiële sector
weerbaar moet zijn tegen bedreigingen en (cyber)aanvallen. Daartoe begrijpen de leden
de noodzaak om een verordening en richtlijn zoals die voorliggen vorm te geven. Wel
willen zij benadrukken dat er geen sprake mag zijn van disproportionele regeldruk
en dat het harmoniseren van kaders niet mag leiden tot inefficiëntie omdat er geen
rekening wordt gehouden met de eigenschappen van specifieke groepen bedrijven in specifieke
lidstaten.
De leden van de CDA-fractie hebben kennisgenomen van de Implementatiewet digitale
operationele weerbaarheid. Zij merken op dat het om implementatie van een verordening
gaat, waar eerder op EU-niveau door Nederland mee is ingestemd. Bij implementatie
blijft er daarom weinig beleidsruimte over.
De leden van de ChristenUnie-fractie hebben met belangstelling kennisgenomen van het
wetsvoorstel hetgeen beoogt de Wet op het financieel toezicht te wijzigen ter implementatie
van Richtlijn (EU) 2022/2556 betreffende een kader voor digitale operationele weerbaarheid
van de financiële sector (Implementatiewet digitale operationele weerbaarheid). Deze
leden hebben in deze fase van de behandeling geen behoefte aan een nadere toelichting.
3. Inhoud verordening
De leden van de GroenLinks-PvdA-fractie vragen naar de samenhang tussen de Digital
Operational Resilience Act (DORA) en het recent overeengekomen CRR/CRD-pakket voor
banken en de Solvency-richtlijn voor verzekeraars. Daar zitten al de vereisten in
dat operationele risico’s adequaat beheerst moeten worden. Op welke manier vloeien
er vanuit DORA additionele verplichtingen voor banken en verzekeraars voort?
De leden van de GroenLinks-PvdA-fractie vernemen dat door implementatie van het DORA-pakket
ICT-risico’s expliciet worden opgenomen in de Single Review and Evaluation Proces
(SREP). In hoeverre was hier, zo vragen deze leden, noodzaak toe omdat het SREP al
naar operationele risico’s kijkt? Is hier sprake van dubbeling of was de SREP hier
tot nu toe onvoldoende expliciet over?
De leden van de GroenLinks-PvdA-fractie vragen naar de reikwijdte van het wetsvoorstel.
Deze ziet, zo zij begrijpen, niet op de accountancysector (hier is alleen een review
clause op). Zal de Nederlandse regering zich er ten tijde van de review voor inspannen
dat de reikwijdte van DORA ook uitgebreid moet worden naar accountancy-organisaties?
De leden van de GroenLinks-PvdA-fractie vragen wat de appreciatie is van de regering
van het feit dat in het DORA-akkoord geen grondslag ter oprichting van een centrale
EU-hub zit waarin alle omvangrijke ICT-incidenten gemeld kunnen worden. Hier zal de
Commissie nu enkel een haalbaarheidsstudie naar doen. Is de regering het met deze
leden eens dat een dergelijke hub het delen van kennis en best practices ten goede
kan komen? Is de regering het bovendien met deze leden eens dat zo’n hub de meldprocedure
voor financiële instellingen kan vereenvoudigen? Is de regering daarom bereid zich
in de toekomst in te zetten voor een dergelijke hub?
De leden van de GroenLinks-PvdA-fractie vragen naar de coördinatie tussen de verschillende
Europese toezichthouders. Hoe gaan zijn in de praktijk soepel vorm geven aan deze
gedeeltelijke verantwoordelijkheid? Hoe wordt voorkomen dat het gemeenschappelijke
toezichtnetwerk een bureaucratische kluwen wordt maar effectief toezicht bevordert?
De leden van de GroenLinks-PvdA-fractie vragen of de regering kan schetsen of aanbieders
van cryptodiensten ook onder DORA vallen en zo niet, op welke manier Markets in Crypto-Assets
Regulation (MiCA) dezelfde operationele vereisten stelt aan crypto-aanbieders als
DORA aan meer traditionele financiële instellingen. Deze leden benadrukken immers
dat hier sprake moet zijn van een gelijk speelveld en wijzen er bovendien op dat operationele
risico’s bij crypto-aanbieders in de praktijk hoog blijken te zijn.
De leden van de GroenLinks-PvdA-fractie vragen of nader gespecificeerd kan worden
wat de additionele toezichtkosten zijn als gevolg van de implementatie van het wetsvoorstel
en hoe deze onder verschillende toezichthouders verdeeld zijn.
De leden van de D66-fractie willen weten hoe de weerbaarheidsmaatregelen zich verhouden
tot de maatregelen die in het kader van de NIS2-richtlijn inzake cyberbeveiliging
moeten worden genomen. In hoeverre zijn deze geüniformeerd? Voorts vragen deze leden
in hoeverre het expliciet beleid is dat de voorkeur wordt gegeven aan aanbieders van
ICT-diensten (zoals clouddiensten) van Europese bodem, zodat dit geen risico’s meebrengt
voor de strategische autonomie.
De leden van de CDA-fractie merken op dat de verordening, hoewel in het belang van
goede digitale weerbaarheid, toch een behoorlijk aantal eisen en rapportageverplichtingen
oplegt. Deze leden vragen de regering in hoeverre de in de verordening en richtlijn
gestelde eisen een aanvullende last opleggen aan Nederlandse financiële instellingen,
beleggingsondernemingen en marktexploitanten in de gereglementeerde markt, bovenop
de nu van toepassing zijnde sectorale richtlijnen.
4. Wijze van implementatie en inhoud wetsvoorstel
De leden van de NSC-fractie lezen dat met dit wetsvoorstel de richtlijn deels wordt
geïmplementeerd. Deze leden vragen welke concrete aspecten van de richtlijn hierna
nog moeten worden geïmplementeerd en op welke termijn wordt verwacht dat dit plaats
zal vinden.
Financiële instellingen hebben de afgelopen periode al aanpassingen moeten doen om
te voldoen aan de verordening, begrijpen de leden van de D66-fractie. Kan de regering
aangeven in hoeverre de financiële instellingen reeds klaar zijn voor de implementatie,
zo vragen deze leden. Is er verschil tussen financiële entiteiten in het implementeren
van DORA? Hoe worden financiële instellingen geholpen om tijdig klaar te zijn voor
de implementatie en is daarin bijvoorbeeld een rol voor de AFM of DNB weggelegd? Deze
leden vragen hoe het toezicht op de implementatie en de uitvoering van de verordening
wordt vormgegeven, vragen de leden. Wat gebeurt er als financiële instellingen niet
tijdig klaar zijn met het implementeren van de verordening of niet voldoen aan de
risico-eisen uit de verordening?
5. Gevolgen
De leden van de BBB-fractie lezen dat de regering op pagina 6 van de memorie van toelichting
het volgende schrijft naar aanleiding van de effectbeoordeling van de verordening
door de Europese Commissie: «ook vermeldenswaardig, aldus de effectbeoordeling, is
dat het verstevigen van de digitale operationele weerbaarheid van de financiële sector
naar verwachting zal leiden tot een afname van cyberincidenten. Dit komt de continuïteit
van de onderneming ten goede en leidt in den brede tot verbeterde financiële stabiliteit
en vertrouwen in de financiële sector. Financiële ondernemingen zullen op termijn
om die reden naar verwachting minder kosten hoeven te maken voor het mitigeren en
herstellen van dit soort incidenten.» Is er een concrete analyse beschikbaar van hoeveel
cyberschade zou kunnen worden voorkomen door gebruik van deze richtlijn c.q. verordening?
Regeldruk
De leden van de NSC-fractie lezen dat de regeldruk voor de implementatie van de richtlijn
proportioneel is. Hierbij is logischerwijs geen rekening gehouden met de regeldruk
die ontstaat naar aanleiding van de verordening, aangezien de verordening rechtstreeks
doorwerkt in de Nederlandse rechtsorde. Toch kan deze gezamenlijke toename van regeldruk
voor bepaalde bedrijven wel degelijk buitenproportioneel zijn. Zeker voor ondernemers
zonder eerdere vergelijkbare sectorale regelingen. De leden vragen hoe de regering
deze gezamenlijke toename van regeldruk inschat voor de bedrijven en hoe de regering
deze bedrijven daarin kan bijstaan.
De leden van de D66-fractie begrijpen ook dat financiële instellingen moeten monitoren
en rapporteren over ICT-gerelateerde incidenten. Kan de regering aangeven hoe dit
precies in z’n werk gaat en wat er met deze informatie wordt gedaan? Hoe wordt er
bijvoorbeeld op toegezien dat de AVG hier goed gehandhaafd wordt, ook als het gaat
om het delen van deze gegevens, vragen de leden. En kan de regering aangeven hoe de
implementatie van deze verordening samenhangt met die van andere Europese verordeningen
en hoe wordt voorkomen dat de regeldruk voor instellingen te hoog wordt?
De leden van de BBB-fractie lezen dat de regering op pagina 6 van de memorie van toelichting
verder over de regeldrukkosten schrijft: «de effectbeoordeling beschrijft dat van
alle bestaande instellingen die onder de verordening gaan vallen, zijn de 21.233 entiteiten,
de verwachting is dat 2.100 een additionele investering dienen te doen van 5% van
het bestaande ICT-budget om aan de minimumvereisten van de verordening te voldoen.»
Kan de regering deze groep bedrijven uitsplitsen? Gaat het om het midden- en kleinbedrijf
(mkb) of grotere instellingen? En in welke aantallen? Kan de regering aangeven hoeveel
bedrijven gemiddeld extra moeten investeren als percentage van de omzet? Gaat het
hierbij om extra regels of enkel om harmonisatie? Wat is de impact op het gebied van
regeldruk voor bedrijven?
De leden van de CDA-fractie vragen of het volgens de regering meerwaarde kan bieden
om het Adviescollege toetsing regeldruk (ATR) naar de gevolgen van de verordening
en richtlijn voor de Nederlandse markt te laten kijken, met name om inzicht te krijgen
in wat er precies op de betrokken partijen afkomt en wat daarvan de administratieve
lasten en kosten zijn. Deze leden vragen of volgens de regering de impactanalyse van
de Europese Commissie voldoende specifieke informatie geeft. Ook vragen deze leden
waarom geen nadere analyse van de regeldruk wordt gemaakt voor de uitwerking van technische
reguleringsnormen en richtsnoeren, zoals in de consultatieronde ook is gevraagd. Ook
daar zijn deze leden van mening dat los van het argument dat er geen afwegingsruimte
is, het belangrijk is om inzicht te hebben in de regeldruk en -last die dit met zich
meebrengt. Deze leden vinden het belangrijk om de vinger aan de pols te kunnen houden
wanneer de regeldruk te ver oploopt, gezien de enorme regeldruk waar financiële instellingen
nu al aan moeten voldoen in het kader van antiwitwaswetgeving.
De fungerend voorzitter van de commissie, Tielen
De adjunct-griffier van de commissie, Meijerink
Ondertekenaars
-
Eerste ondertekenaar
J.Z.C.M. Tielen, voorzitter van de vaste commissie voor Financiën -
Mede ondertekenaar
J.J. Meijerink, adjunct-griffier
Gerelateerde documenten
Hier vindt u documenten die gerelateerd zijn aan bovenstaand Kamerstuk.