Go to content

TIBER-EU raamwerk

Cyberaanvallen komen steeds vaker voor in de financiële sector. Ook de gebruikte techniek wordt steeds geavanceerder. Het Europese raamwerk Threat Intelligence-Based Ethical Red-Teaming (TIBER-EU) biedt uitgebreide richtlijnen over hoe autoriteiten, entiteiten (zoals financiële ondernemingen), aanbieders van dreigingsinformatie en Red team testers moeten samenwerken om de cyberweerbaarheid van entiteiten te testen en te verbeteren. Dat gebeurt door gecontroleerde cyberaanvallen uit te voeren.

Cyberweerbaarheid verbeteren met testaanvallen

TIBER-EU tests bootsen de tactieken, technieken en procedures van echte aanvallers na, gebaseerd op specifieke dreigingsinformatie. Ze zijn op maat gemaakt om een aanval op de belangrijkste functies van een entiteit, zoals een financiële instelling, en de onderliggende systemen te simuleren, waaronder de mensen, processen en technologieën. Het resultaat is geen kwestie van slagen of falen. In plaats daarvan is de test bedoeld om de sterke en zwakke punten van de cyberweerbaarheidsmaatregelen van de geteste entiteit te onthullen. Er ligt nadruk op het leereffect van de test om zo de entiteit te helpen de cyberweerbaarheid te verbeteren. Gedetailleerde TIBER-EU documentatie is beschikbaar bij de ECB.

Implementatie van TIBER-EU door de AFM en haar doelstellingen

De AFM past de richtlijnen uit TIBER-EU toe op de uitvoering van vrijwillige TIBER-tests en bij de Europese wetgeving DORA Threat Led Penetration Testing (TLPT). De AFM biedt het TIBER-EU programma aan financiële instellingen aan die onder haar toezicht vallen.

Met de adoptie van TIBER-EU, te gebruiken voor zowel vrijwillige TIBER-tests als de testverplichting TLPT, streeft de AFM naar:

  1. Het versterken van de cyberweerbaarheid van de Nederlandse financiële sector door het uitvoeren van hoogwaardige, op inlichtingen gebaseerde cyberweerbaarheidstests.
  2. Het waarborgen van harmonisatie in de uitvoering van TIBER en TLPT door de consistente toepassing van het TIBER-EU raamwerk.
  3. Het bevorderen van samenwerking tussen financiële entiteiten en toezichthoudende autoriteiten.
  4. Het faciliteren van een gemeenschap om kennisdeling te bevorderen en de leerervaring voor financiële entiteiten te verbeteren.

De AFM gebruikt TIBER-EU gebruiken voor de uitvoering van:

  1. Voor de financiële entiteiten onder haar toezicht die te maken hebben met de testverplichting TLPT. Deze verplichting komt voort uit de inwerkingtreding van de Europese wetgeving (DORA) sinds 2025.Wanneer een financiële instelling voldoet aan de criteria die zijn vastgesteld in DORA, is zij verplicht dit type testen uit te voeren. TLPT's zullen worden uitgevoerd volgens het TIBER-EU raamwerk.
  2. Vrijwillige TIBER-tests voor de financiële instellingen onder haar toezicht en in speciale gevallen voor derden die relevant zijn voor de financiële sector. Vrijwillige testen zijn ook gebaseerd op het TIBER-EU raamwerk. Dit type testen is ook beschikbaar voor financiële instellingen die vanwege de DORA-wetgeving te maken hebben met de TLPT. Vrijwillige testen kunnen worden gebruikt als onderdeel van een testprogramma voor digitale operationele weerbaarheid van een entiteit, zoals voorgeschreven door DORA artikel 24 en 25.

 

Belangrijke documenten