Vergelijk de herstelbehoefte van je kritieke dienst met de afspraken en tests van je ICT-leveranciers. De AFM onderzocht vijf grote institutionele vermogensbeheerders. De basis voor ICT-herstel was grotendeels aanwezig, maar de toezichthouder zag verbeterpunten in de uitwerking. Het rapport van september 2026 biedt ook een praktische vraag voor andere bedrijven: bewijst je hersteltest dat het belangrijke werk weer kan doorgaan?
Welke vier verbeterpunten noemt de AFM?
De AFM-publicatie van 29 september 2026 en het rapport over ICT-recovery in de assetmanagementsector noemen vier aandachtspunten:
- Een duidelijke indeling van kritieke of belangrijke functies.
- Hersteldoelen per functie: hoeveel uitval en gegevensverlies is aanvaardbaar?
- Afspraken met ICT-leveranciers die aansluiten op die hersteldoelen.
- Testen met uiteenlopende ernstige, maar plausibele scenario’s.
Dit zijn bevindingen bij vijf onderzochte vermogensbeheerders. Ze zijn geen meting van alle financiële instellingen of alle mkb-bedrijven. Het rapport werkt proportionaliteit niet nader uit; neem de inrichting van een grote vermogensbeheerder daarom niet zonder beoordeling over.
Wat betekent dit voor het mkb en ICT-leveranciers?
Voor financiële ondernemingen binnen de reikwijdte van DORA staat dit rapport in de context van bestaande wettelijke eisen. Voor een mkb-bedrijf of ICT-dienstverlener buiten die reikwijdte zijn de lessen bruikbaar als praktische voorbereiding op uitval en vragen van opdrachtgevers. Het feit dat je aan een financiële instelling levert, maakt je niet automatisch tot een financiële entiteit waarop alle DORA-plichten van toepassing zijn. Contractuele eisen en eventuele afzonderlijke regels voor ICT-dienstverleners vragen een eigen beoordeling.
Wat leg je naast je SLA en hersteltest?
| Vraag | Wat leg je vast? |
|---|---|
| Wanneer moet de dienst weer werken? | Een onderbouwde hersteltijd: de RTO, met de minimale dienstverlening die dan nodig is. |
| Hoeveel gegevensverlies is aanvaardbaar? | Het herstelpunt: de RPO, passend bij het proces en de gemaakte afspraken. |
| Wat levert de leverancier? | Hersteltijden, afhankelijkheden, bereikbaarheid en jouw eigen taken. Een reactietijd is iets anders dan hersteltijd. |
| Wat heeft de test aangetoond? | Scenario, gemeten resultaat, werkende dienst, afwijkingen en afgesproken verbeteringen. |
De RTO en RPO zijn doelen. Een testresultaat laat zien wat onder de geteste omstandigheden werkelijk is gelukt. Lees de aanpak voor incidenten en bedrijfscontinuïteit, hoe je back-ups op herstel test en wat je afspreekt bij uitbesteed IT-beheer.
Bron, datum en juridische status
Het AFM-rapport is bekendgemaakt op 29 september 2026. Het is een thematisch toezichtrapport, geen nieuwe wet, individuele boete of garantie dat een herstelplan voldoet. Het nieuwsbericht en het volledige rapport zijn gecontroleerd op 10 oktober 2026. De controlelijst hierboven is onze praktische vertaling van de bevindingen.