Escrow-agent en compliance: naleving van wet- en regelgeving

Compliance rond digitale continuïteit draait steeds vaker om aantoonbaarheid. Toezichthouders en auditors willen niet alleen horen dat een organisatie voorbereid is op het wegvallen van een kritieke leverancier, maar ook zien hoe die voorbereiding is vormgegeven. Een escrowregeling levert precies dat: een contractueel vastgelegde, door een onafhankelijke partij uitgevoerde waarborg die je kunt overleggen. In dit artikel bespreken we hoe een escrow-agent bijdraagt aan naleving van de AVG, DORA en NIS2, en welke concrete bewijsstukken dat oplevert.

AVG: toegang tot gegevens bij calamiteiten

De Algemene Verordening Gegevensbescherming verplicht organisaties om de beschikbaarheid en veerkracht van verwerkingssystemen te borgen. Wie persoonsgegevens laat verwerken door een applicatie van een externe leverancier, moet kunnen aantonen dat de toegang tot die gegevens ook bij een calamiteit bij de leverancier behouden blijft.

Een escrowregeling maakt die aantoonbaarheid concreet. De escrowovereenkomst legt vast dat broncode, documentatie en waar relevant datamodellen in depot zijn gegeven, en onder welke voorwaarden de organisatie er toegang toe krijgt. De registratie- en verificatierapporten van de escrow-agent tonen bovendien aan dat het depot actueel en bruikbaar is. Voor een auditor is dat een stuk sterker bewijs dan een interne memo die stelt dat men erop vertrouwt dat de leverancier blijft bestaan.

DORA: exitstrategie voor kritieke ICT-derden

De Digital Operational Resilience Act verplicht financiële entiteiten om voor kritieke of belangrijke ICT-dienstverleners een exitstrategie te hebben: een gedocumenteerd plan voor het geval de relatie met die dienstverlener eindigt, ongeacht de reden. DORA eist daarnaast dat contracten met kritieke leveranciers specifieke bepalingen bevatten over continuïteit en toegang tot gegevens.

Een escrowregeling is een van de weinige instrumenten die een exitstrategie ook technisch uitvoerbaar maakt. De overeenkomst definieert de releasevoorwaarden die overeenkomen met exitscenario's, zoals faillissement of stopzetting van de dienst, en de escrow-agent beheert het materiaal dat bij zo'n exit nodig is. De periodieke deponeringsregistraties en verificatierapporten van de escrow-agent kunnen direct als bewijs dienen in het raamwerk van operationele weerbaarheid dat DORA voorschrijft.

NIS2: continuïteit van kritieke software

NIS2 verplicht essentiële en belangrijke entiteiten om maatregelen te nemen voor de continuïteit van hun bedrijfsvoering, inclusief de beveiliging van de toeleveringsketen. Wie afhankelijk is van kritieke software van derden, moet aantonen hoe de beschikbaarheid van die software is geborgd wanneer de leverancier uitvalt.

Ook hier levert de escrow-agent concrete bewijsstukken. De escrowovereenkomst toont welke continuïteitsmaatregelen contractueel zijn vastgelegd, de deponeringsregistraties tonen dat het depot wordt bijgehouden, en de verificatierapporten tonen dat het vrij te geven materiaal daadwerkelijk bruikbaar is. Samen vormen deze documenten een verdedigbaar dossier richting toezichthouder.

Wat een escrow-agent concreet oplevert

In de praktijk leveren escrowregelingen drie categorieën bewijs op voor audits en toezicht: de escrowovereenkomst zelf, waarin partijen, materiaal en releasevoorwaarden zijn vastgelegd; de registratie van elke deponering, inclusief datum en omvang; en de periodieke verificatie- en statusrapporten van de escrow-agent. Juist omdat deze documenten door een onafhankelijke derde zijn opgesteld, wegen ze zwaarder dan interne verklaringen.

Veelgestelde vragen

Is een escrowregeling wettelijk verplicht onder AVG, DORA of NIS2? Nee, geen van deze regelgeving schrijft escrow expliciet voor. Wel verplichten ze tot aantoonbare continuïteits- en exitmaatregelen, en een escrowregeling is een van de meest directe manieren om daaraan te voldoen.

Welke documenten van de escrow-agent kan ik aan een auditor laten zien? De escrowovereenkomst, de deponeringsregistraties en de verificatie- of statusrapporten. Deze worden door de escrow-agent als neutrale partij opgesteld.

Geldt dit ook als mijn leverancier een grote, stabiele partij is? Ja. De verplichtingen onder DORA en NIS2 gelden ongeacht de omvang van de leverancier. Ook bij grote leveranciers kan continuïteit in geding komen, bijvoorbeeld door productstopzetting of een overname.