Datasoevereiniteit voor pensioenfondsen en vermogensbeheerders houdt in dat een instelling te allen tijde aantoonbare juridische en technische controle uitoefent over de opslag, verwerking en toegang tot deelnemers- en beleggingsdata, ongeacht welke externe leverancier daarvoor wordt ingezet. Die controle is geen vrijblijvende ambitie: zij wordt afgedwongen door een samenspel van sectorspecifieke regelgeving, Europees privacyrecht en nationaal toezichtbeleid.
Wettelijk kader: IORP II, DORA en de AVG
Pensioenfondsen en vermogensbeheerders opereren binnen een gelaagd regelgevend kader dat op drie niveaus verplichtingen oplegt aan het beheer van ICT en gegevens.
De IORP II Richtlijn (2016/2341/EU) verplicht pensioenfondsen tot een prudent en beheerst bestuur, waarbij risicobeheer ook de ICT-dimensie omvat. Artikel 21 IORP II stelt dat een instelling haar eigen verantwoordelijkheid niet kan overdragen, ook niet bij uitbesteding van kritieke functies. De richtlijn is geïmplementeerd in de Nederlandse Pensioenwet en het Besluit FTK.
De DORA Verordening (2022/2554/EU), van toepassing vanaf 17 januari 2025, introduceert bindende ICT-risicobeheervereisten voor financiële entiteiten in de EU. Voor pensioeninstellingen die onder het toepassingsbereik vallen, schrijft DORA voor dat er een gedocumenteerd ICT-risicobeheerkader bestaat, dat ICT-incidenten worden gemeld bij de toezichthouder, en dat contracten met derde ICT-aanbieders minimumeisen bevatten rond auditrechten, continuïteit en exitstrategieën. Daarmee gaat DORA verder dan de bestaande verplichtingen onder de AVG.
De AVG artikel 28 vereist een schriftelijke verwerkersovereenkomst met iedere verwerker die persoonsgegevens van deelnemers verwerkt. Die overeenkomst moet onder meer bepalen dat de verwerker uitsluitend handelt op instructie van de verwerkingsverantwoordelijke en dat subverwerking alleen plaatsvindt met toestemming. Bij gebruik van Amerikaanse cloudproviders stuit dit onmiddellijk op een structureel conflict.
Jurisdictierisico’s van Amerikaanse cloudproviders
De kern van het probleem voor pensioenfondsen die data onderbrengen bij Microsoft Azure, AWS of Google Cloud is niet de fysieke locatie van de servers, maar de nationaliteit van de aanbieder.
De Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) verplicht Amerikaanse bedrijven om op rechtsgeldige vordering van Amerikaanse autoriteiten data te verstrekken, ook als die data op servers in Europa staat. De Patriot Act bevat vergelijkbare bepalingen voor inlichtingendoeleinden. Dat betekent dat een verwerkersovereenkomst op grond van AVG artikel 28, hoe zorgvuldig ook opgesteld, niet kan voorkomen dat een Amerikaanse overheidsinstantie buiten medeweten van het pensioenfonds toegang verkrijgt tot deelnemersdata.
Het European Parliament Research Service concludeerde in 2022 dat data bij Amerikaanse cloudproviders structureel onder de rechtsmacht van de VS valt, ongeacht de opslaglocatie. Dit raakt pensioenfondsen direct: deelnemersnamen, BSN-nummers, pensioenopbouw en beleggingsposities zijn bijzonder gevoelige gegevens die onder de AVG als persoonsgegevens worden aangemerkt en extra bescherming vereisen.
De AFM houdt toezicht op vermogensbeheerders en verwacht dat zij in hun uitbestedingsdossiers aantoonbaar hebben geanalyseerd welke jurisdictierisico’s hun ICT-partners meebrengen. Dat geldt ook voor sub-verwerkers van een primaire cloudaanbieder, die in de praktijk regelmatig in derde landen zijn gevestigd.
DNB-toezichtverwachtingen voor IT-uitbesteding
DNB hanteert een eigen uitbestedingsbeleid specifiek gericht op pensioenfondsen, gebaseerd op de Pensioenwet en het Besluit FTK. De kern van dat beleid is consistent: uitbesteding ontslaat een instelling niet van eindverantwoordelijkheid.
“Uitbesteding ontslaat een instelling niet van haar eigen verantwoordelijkheid. De raad van bestuur blijft eindverantwoordelijk voor een beheerste bedrijfsvoering, ook als taken zijn uitbesteed aan derden.” (De Nederlandsche Bank, Leidraad Uitbesteding)
Concreet verwacht DNB dat pensioenfondsen beschikken over een uitbestedingsregister met alle kritieke uitbestedingsrelaties, schriftelijke overeenkomsten met daarin auditrechten en exitbepalingen, en een risicoanalyse per uitbestedingsrelatie die ook het jurisdictierisico adresseert. Instellingen die gebruik maken van cloudopslag buiten de EER moeten kunnen aantonen dat de gegevensbescherming gelijkwaardig is aan die binnen de EU.
“Instellingen moeten bij uitbesteding van ICT-diensten aantonen dat zij volledige controle behouden over de data en de continuïteit van kritieke functies, inclusief bij grensoverschrijdende verwerking.” (EIOPA, Guidelines on ICT security and governance)
EIOPA, de Europese toezichthouder voor pensioenen en verzekeringen, heeft in haar ICT-richtlijnen aanvullende guidance gepubliceerd die DNB als referentiekader gebruikt. Instellingen die hun cloudgebruik niet kunnen rechtvaardigen met aantoonbare risicobeheersing, lopen het risico op een formele aanwijzing of een bestuurlijke maatregel.
| Vereiste | AVG artikel 28 | DORA (2022/2554/EU) | DNB Uitbestedingsbeleid |
|---|---|---|---|
| Verwerkersovereenkomst | Verplicht | Verplicht (uitgebreider) | Verplicht |
| Auditrecht bij leverancier | Aanbevolen | Verplicht | Verplicht |
| Exitstrategie | Niet specifiek | Verplicht | Verplicht |
| Jurisdictierisico-analyse | Impliciet (SCC’s) | Impliciet | Expliciet verwacht |
| ICT-incidentmelding | Datalekmelding (72u) | ICT-incidentmelding toezichthouder | Melding bij DNB |
Soevereine IT-infrastructuur inrichten
Een soevereine IT-infrastructuur voor een pensioenfonds of vermogensbeheerder is geen theoretisch ideaal, maar een praktisch ontwerp dat aan meerdere normen tegelijk voldoet.
Het uitgangspunt is dat kritieke systemen draaien op infrastructuur waarover de instelling volledige juridische zeggenschap heeft. Dat kan on-premise zijn, in een Europees datacentrum zonder banden met Amerikaanse moedermaatschappijen, of in een Zwitserse privécloud die buiten het bereik van de CLOUD Act valt. Zwitserland is geen EU-lid maar heeft een adequaatheidsbesluit van de Europese Commissie, wat gegevensuitwisseling onder de AVG vergemakkelijkt.
Voor informatiebeveiliging is NEN-ISO/IEC 27001 de meest gehanteerde norm in Nederland en wordt door DNB en de AFM als referentiekader erkend. Certificering volgens ISO/IEC 27001 toont aan dat een instelling een systematisch informatiebeveiligingsbeheersysteem (ISMS) heeft ingericht, inclusief risicobeheer, toegangscontrole en incidentbeheer.
Ransomware vormt een concreet operationeel risico. Pensioenfondsen die kritieke backups opslaan in dezelfde cloudomgeving als hun primaire systemen, zijn kwetsbaar voor versleuteling van zowel productiesystemen als backups. Een soevereine infrastructuur scheidt deze lagen fysiek en logisch, met immutable backups op geïsoleerde media.
Soevereine alternatieven voor deelnemersbeheer en samenwerking
De meest gebruikte kantoorautomatisering bij pensioenfondsen is Microsoft 365. Die suite verwerkt e-mail, documenten en vergaderdata via Microsoft-servers waarop de CLOUD Act van toepassing is. Een migratie naar een soeverein alternatief is technisch haalbaar maar vereist zorgvuldige planning.
Nextcloud, gehost op eigen infrastructuur of bij een Europese hostingpartner, biedt een volledig equivalent voor documentbeheer, e-mail, agenda en videovergaderen. De software is open source, en de code is auditeerbaar. Alle data blijft binnen de gekozen jurisdictie. Voor deelnemersbeheer bestaan Europese pensioenadministratiesystemen die on-premise kunnen draaien en volledig AVG-conform zijn, mits voorzien van een verwerkersovereenkomst op grond van artikel 28 AVG.
Kunstmatige intelligentie vormt een groeiend onderdeel van beleggings- en risicoanalyse bij vermogensbeheerders. Lokaal gehoste AI-modellen, die uitsluitend draaien op eigen infrastructuur en nooit trainen op klantdata, zijn een alternatief voor cloudgebaseerde AI-diensten van Amerikaanse aanbieders. Dit elimineert het risico dat gevoelige beleggingsposities of deelnemersdata worden gebruikt voor modeltraining buiten de controle van de instelling.
Uit een rapport van EIOPA uit 2023 blijkt dat meer dan 60% van de Europese pensioeninstellingen afhankelijk is van ICT-dienstverlening door externe partijen, waaronder grote Amerikaanse cloudproviders. DNB ontving in 2023 meer dan 90 meldingen van ernstige ICT-incidenten van onder toezicht staande instellingen, wat de operationele urgentie onderstreept.
Praktische stappen naar naleving
Voor compliance officers en IT-beslissers bij pensioenfondsen en vermogensbeheerders zijn de volgende concrete stappen relevant. Begin met een volledige inventarisatie van alle ICT-uitbestedingsrelaties, inclusief sub-verwerkers, en documenteer per relatie de jurisdictie van de aanbieder. Beoordeel vervolgens welke van die relaties kritieke functies ondersteunen in de zin van DORA en het DNB-uitbestedingsbeleid.
Sluit aanvullende contractuele afspraken met leveranciers die nog niet voldoen aan de DORA-minimumeisen, met name rond auditrechten en exitbepalingen. Voer voor leveranciers in derde landen een expliciete jurisdictierisicoanalyse uit en documenteer de mitigerende maatregelen. Zorg dat uw informatiebeveiligingsbeleid aansluit bij NEN-ISO/IEC 27001 en laat dit periodiek toetsen door een onafhankelijke auditor.
Tot slot: de transitie naar soevereine IT is geen eenmalig project maar een doorlopend governance-vraagstuk. DNB en de AFM verwachten dat besturen van pensioenfondsen en vermogensbeheerders aantoonbaar betrokken zijn bij de ICT-risicobeheersing, niet alleen op papier maar ook in de boardroomverslaglegging.
Veelgestelde vragen
Mogen pensioenfondsen deelnemersdata opslaan bij een Amerikaanse cloudprovider?
Technisch is dit mogelijk mits er aanvullende waarborgen zijn, zoals standaardcontractbepalingen (SCC’s). De CLOUD Act geeft Amerikaanse autoriteiten echter toegang tot die data ongeacht de serverlocatie, wat een structureel jurisdictierisico oplevert dat moeilijk contractueel te mitigeren is. DNB verwacht dat pensioenfondsen dit risico expliciet adresseren in hun uitbestedingsbeleid.
Wat verandert DORA concreet voor de ICT-uitbesteding van pensioenfondsen?
DORA, van toepassing vanaf januari 2025, verplicht financiële entiteiten inclusief bepaalde pensioeninstellingen tot een aantoonbaar ICT-risicobeheerkader, periodieke dreigingstests, meldplicht voor ICT-incidenten en contractuele minimumeisen aan derde ICT-aanbieders, inclusief uitstaprechten en auditbevoegdheden.
Wat is het verschil tussen een verwerkersovereenkomst onder AVG artikel 28 en de contractvereisten onder DORA?
Een verwerkersovereenkomst op grond van AVG artikel 28 regelt de verwerking van persoonsgegevens en de instructiebevoegdheid van de verwerkingsverantwoordelijke. DORA gaat verder: het vereist ook afspraken over ICT-continuïteit, incidentbeheer, auditrechten en exitstrategieën, ook voor ICT-diensten die geen persoonsgegevens verwerken.
Welke certificering is relevant voor een soevereine IT-infrastructuur bij een pensioenfonds?
NEN-ISO/IEC 27001 is de meest erkende norm voor informatiebeveiliging en wordt door DNB en de AFM als referentiekader gehanteerd. Aanvullend kan ISAE 3402 (SOC 2) relevant zijn voor uitbestedingspartners. Voor cloudaanbieders is ook het Europese EUCS-schema van ENISA in ontwikkeling als aanvullende garantie voor soevereiniteit.
Zijn er soevereine alternatieven voor Microsoft 365 die geschikt zijn voor deelnemersbeheer bij pensioenfondsen?
Ja. Platforms zoals Nextcloud, gehost op Europese of on-premise infrastructuur, bieden functionaliteit voor documentbeheer, communicatie en samenwerking zonder afhankelijkheid van Amerikaanse cloudverwerkers. Voor deelnemersbeheer bestaan specifieke pensioenadministratiesystemen van Europese leveranciers die on-premise of in een Europese private cloud kunnen draaien, mits voorzien van een AVG-conforme verwerkersovereenkomst op grond van artikel 28.
