4:175 Artikel 17, § 1, 7° van de toezichtswet beursvennootschappen bepaalt dat er controle- en beveiligingsmechanismen op IT-gebied moeten worden ingesteld die afgestemd zijn op de werkzaamheden van de vennootschap en die voldoende deugdelijk zijn om de beveiliging en authenticatie van de middelen voor de informatieoverdracht te garanderen, het risico op datacorruptie en ongeoorloofde toegang tot een minimum te beperken en te voorkomen dat informatie uitlekt, teneinde de vertrouwelijkheid van de gegevens te allen tijde te bewaren.

4:176 Zo ziet het wettelijk bestuursorgaan erop toe dat het governancesysteem van de vennootschap, met name het systeem voor risicobeheer en interne controle, de risico's die verband houden met informatie- en communicatietechnologie (ICT) en informatiebeveiliging op passende wijze beheert.

4:177 De vennootschap moet in het kader van haar governancesysteem en in overeenstemming met het evenredigheidsbeginsel een informatiebeveiligingsfunctie opzetten, die onder meer tot doel heeft: (i) sturing te geven aan de visie en de strategie van de vennootschap op het gebied van informatiebeveiliging, rekening houdend met alle relevante informatie; (ii) erop toe te zien dat de in deze strategie omschreven doelstellingen en maatregelen op het gebied van informatiebeveiliging worden vertaald in een algemeen beleidskader voor informatiebeveiliging; (iii) dit beleidskader voor informatiebeveiliging naar behoren bekend te maken aan alle belanghebbenden, zowel intern als, in voorkomend geval, extern; (iv) het strategisch kader voor informatiebeveiliging te beoordelen en te monitoren en de naleving ervan te garanderen, en dit kader zo nodig aan te passen; en (v) processen voor het beheer en de melding van beveiligingsrisico's vast te stellen, die geïntegreerd zijn in het algemeen risicobeheerkader van de vennootschap.

4:178 Er wordt aanbevolen dat de informatiebeveiligingsfunctie binnen de vennootschap een hogere functie (niveau "N-1” of “N”) is die rechtstreeks verslag kan uitbrengen aan het wettelijk bestuursorgaan en de effectieve leiding of, in voorkomend geval, het directiecomité. De verantwoordelijkheid voor de informatiebeveiligingsfunctie kan worden toegewezen aan de zogenaamde Chief Information Security Officer (CISO).

4:179 Voor meer informatie zij verwezen naar de relevante thematische NBB-circulaires (met name circulaire NBB_2019_19, die geldt voor alle gevallen van uitbesteding, inclusief gevallen van uitbesteding aan aanbieders van clouddiensten (cloud outsourcing), circulaire NBB_2009_17, enz.).