Volgens DNB draait de financiële sector tegenwoordig volledig op informatietechnologie. Vrijwel alle processen – van klantenservice tot risicomanagement – worden ondersteund door externe IT-dienstverleners zoals cloudproviders en AI-ontwikkelaars. Deze afhankelijkheid is de afgelopen jaren fors toegenomen, omdat het voor veel instellingen goedkoper en efficiënter is om digitale diensten uit te besteden dan zelf te ontwikkelen.

“Een storing bij één grote leverancier kan direct gevolgen hebben voor een groot deel van de financiële sector,” waarschuwt Melanie Lohuis van DNB. De risico’s zijn niet enkel technisch, maar ook geopolitiek. “Omdat de grootste techbedrijven niet-Europees zijn, kunnen landen die deze bedrijven huisvesten hun machtspositie gebruiken als drukmiddel. Dat maakt instellingen kwetsbaar voor chantage.”

Daarnaast vormt de concentratie van IT-diensten bij een beperkt aantal aanbieders een financieel risico. Volgens Hans Brits kan het leiden tot vendor lock-in, waarbij overstappen naar een andere leverancier vrijwel onmogelijk wordt. “Dat maakt instellingen afhankelijk van één partij, die vervolgens prijzen kan verhogen of voorwaarden kan aanscherpen.”

Ook de onderliggende keten van toeleveranciers vergroot de kwetsbaarheid. Storingen of cyberincidenten bij onderaannemers kunnen onverwacht grote impact hebben. Voor consumenten betekent dit dat zij tijdelijk geen toegang kunnen hebben tot hun bankrekening of persoonlijke data, mocht een storing optreden bij een belangrijke IT-leverancier.

Instellingen nemen maatregelen, zoals het opstellen van exitstrategieën, continuïteitsplannen en het toepassen van containerisatie — waarbij data en applicaties eenvoudig kunnen worden verplaatst tussen aanbieders. Toch blijft de afhankelijkheid groot. Grote leveranciers bieden inmiddels ‘soevereine clouds’ aan, waarbij gegevens onder Europese regelgeving vallen, maar DNB benadrukt dat dit slechts een gedeeltelijke oplossing is.

De toezichthouders wijzen op de noodzaak van strategische autonomie en pleiten voor versterking van de Europese techsector. Alleen door meer samenwerking, investeringen en innovatie kan Europa volgens DNB zijn digitale weerbaarheid vergroten.

Een belangrijke stap is de invoering van de Europese digitale weerbaarheidswet DORA, die instellingen verplicht risico’s van IT-afhankelijkheid te beheersen via zorgvuldige leveranciersselectie, risicobeoordeling en continuïteitsplanning. Toch blijven kwetsbaarheden bestaan, waarschuwen de auteurs. DNB en AFM roepen daarom op tot nauwere samenwerking tussen toezichthouders en Europese beleidsmakers — en zelfs tot het oprichten van een Europese cloudtoezichthouder.

“Digitale afhankelijkheid vraagt om gezamenlijke actie,” besluiten Lohuis en Brits. “Alleen door nu te investeren in innovatie en samenwerking kan de financiële sector weerbaarder worden tegen toekomstige dreigingen.”