De SMF onder DORA

Veel organisaties beschikken over een CISO (Chief Information Security Officer). Dat lijkt een logische invulling van de SMF, maar in de praktijk voldoet deze rol lang niet altijd aan de eisen die DORA stelt aan een onafhankelijke interne controlefunctie voor ICT-risico’s.

In de SBA-vragenlijst 2026 benoemt DNB expliciet de SMF als aparte functie. Daarbij wordt verwezen naar de vereisten uit DORA, met name artikel 6(4), waarin de onafhankelijkheid en effectiviteit van informatiebeveiliging nadrukkelijk worden versterkt. Dit roept een fundamentele vraag op: Waarom is de CISO-rol in veel organisaties nog niet in lijn gebracht met deze governance-eisen?

Wat verlangt DNB daadwerkelijk van een effectief ingerichte SMF?

De toezichthouder is duidelijk: de effectiviteit van de SMF valt of staat met haar positie binnen de organisatie. Een goed ingerichte SMF bevat de volgende uitgangspunten:

• heeft toegang tot alle relevante informatie en stakeholders
• beschikt over voldoende middelen (budget, FTE en expertise)
• opereert onafhankelijk van zowel de eerste lijn als andere controlefuncties
• rapporteert rechtstreeks aan het bestuur, zonder hiërarchische filters
• legt bevindingen structureel vast, inclusief duidelijke opvolging

Deze uitgangspunten hebben directe impact op het bestaande System of Governance en het Three Lines Model. De positionering van de CISO-functie komt daarmee nadrukkelijk ter discussie te staan.

 De CISO: eerste of tweede lijn?

Binnen de Nederlandse financiële sector (waaronder banken, verzekeraars en pensioenuitvoerders) dient de CISO gepositioneerd te zijn in de tweede lijn. Dit sluit aan bij het Three Lines Model en bij de verwachtingen van toezichthouders zoals DNB en EIOPA. In deze opzet fungeert de CISO als onafhankelijke ICT risicobeheerfunctie die toezicht houdt op de effectiviteit van maatregelen in de eerste lijn.

Tegelijkertijd zien we in de praktijk veel varianten waarbij (grote / delen van) de CISO-rol en verantwoordelijkheid in de eerste lijn zijn ondergebracht. Dat lijkt aantrekkelijk, maar kent duidelijke afwegingen.

Plaatsing in de eerste lijn: snelheid versus onafhankelijkheid

Een CISO in de eerste lijn biedt duidelijke voordelen, namelijk:

• directe invloed op risico assessment, uitvoering en besluitvorming
• sterke integratie met IT-operations
• betere borging van security-by-design

Daar staat tegenover dat deze positionering risico’s introduceert:

• belangenconflicten tussen uitvoering en controle (tussentijds en achteraf)
• verminderde onafhankelijkheid richting toezicht
• het risico dat security ondergeschikt raakt aan operationele druk

Met name dat laatste punt is iets waar toezichthouders kritisch naar kijken en waar de inrichting op gespannen voet staat met DORA vereisten, die helder zijn over onafhankelijkheid.

Plaatsing in de tweede lijn: governance versus afstand

Positionering in de tweede lijn sluit beter aan bij governance-eisen en toezichtverwachtingen. De voordelen zijn duidelijk:

• onafhankelijke monitoring en toetsing
• heldere scheiding tussen uitvoering en controle
• versterking van risk- en compliance-structuren

Tegelijkertijd kent dit model ook beperkingen:

• grotere afstand tot de operatie
• risico op een te beleidsmatige (“papieren”) invulling
• mogelijk tragere besluitvorming bij urgente security-vraagstukken

De effectiviteit van dit model valt of staat daarom met de samenwerking met de eerste lijn.

De opkomst van hybride modellen

Steeds meer organisaties (veelal midden en kleinere financiële instellingen) kiezen voor een hybride inrichting, waarin onafhankelijkheid wordt gecombineerd met operationele slagkracht. In de praktijk zien we daarbij vaak de volgende invulling:

• een parttime of uitbestede SMF in de tweede lijn, rapporterend aan de CRO of Risk-portefeuillehouder
• een robuuste security-organisatie in de eerste lijn (bijvoorbeeld CISO-, ISO- en/of TISO-rollen)
• intensieve samenwerking met CIO en CTO, zonder hiërarchische afhankelijkheid

Deze inrichting stelt organisaties in staat om te voldoen aan toezichtverwachtingen, terwijl zij tegelijkertijd wendbaar en effectief blijven in de dagelijkse operatie.

 Conclusie: van functie naar volwassenheid

De discussie over de SMF gaat uiteindelijk niet over functietitels, maar over volwassenheid van governance.

• In de Nederlandse financiële sector is de CISO doorgaans een tweedelijns functie, in lijn met toezicht en best practices.
• Een eerstelijns positionering kan operationeel effectief zijn, maar vraagt om extra waarborgen voor onafhankelijkheid in de tweede lijn, de SMF.
• Hybride modellen winnen terrein, omdat ze het beste van beide werelden combineren.

De echte uitdaging ligt echter dieper: kan uw organisatie aantonen dat de SMF daadwerkelijk onafhankelijk, effectief en invloedrijk is ingericht?  Want onder DORA is dat geen interpretatie meer, maar een toetsbare realiteit.

Meer weten?

Is uw nieuwsgierigheid naar aanleiding van dit artikel geprikkeld of bent u benieuwd wat onze brede NFR dienstverlening voor uw organisatie kan betekenen? Neem gerust contact met ons op; we delen graag onze ervaringen en voorbeelden uit de praktijk.

Dit artikel is opgesteld op persoonlijke titel en weerspiegelt uitsluitend de inzichten van de auteurs. Het vormt geen vaststelling van feiten en moet niet worden beschouwd als een definitieve of uitputtende bron.