31 oktober 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
GLBA en FFIEC Pentest: Wat Amerikaanse Banken, Credit Unions en Niet-Bancaire Financiële Instellingen Moeten Testen, Hoe Vaak en voor Wie
De Gramm-Leach-Bliley Act stelde één doel, het beschermen van financiële klantgegevens, en liet vijf toezichthouders bepalen hoe. De FTC verplicht niet-bancaire instellingen nu tot een jaarlijkse penetratietest en halfjaarlijkse kwetsbaarheidsbeoordelingen; de bankentoezichthouders en de NCUA toetsen aan het FFIEC-handboek en verwachten onafhankelijke tests van de systemen die geld verplaatsen. Deze gids legt Nederlandse en Europese instellingen met Amerikaanse activiteiten de verplichtingen uit en de scope die een examinator verwacht.
Wat GLBA vereist en de twee toezichtsporen
De Gramm-Leach-Bliley Act van 1999 verplicht financiële instellingen om de beveiliging en vertrouwelijkheid van niet-openbare persoonsgegevens van klanten te beschermen. Sectie 501(b) van de wet droeg de financiële toezichthouders op om beveiligingsnormen te schrijven, en dat deden zij langs twee sporen die het landschap in 2026 nog altijd bepalen. Banken, spaarbanken en hun holdings vallen onder de Interagency Guidelines Establishing Information Security Standards van het Office of the Comptroller of the Currency (OCC), de Federal Deposit Insurance Corporation (FDIC) en de Federal Reserve Board (FRB), getoetst met het IT Examination Handbook van de Federal Financial Institutions Examination Council (FFIEC). Federaal verzekerde credit unions (coöperatieve kredietinstellingen) vallen onder de National Credit Union Administration (NCUA) en haar gelijkwaardige richtlijnen in 12 CFR Part 748. Alle anderen die 'in belangrijke mate' financiële activiteiten verrichten maar geen bank zijn, vallen onder de Safeguards Rule van de Federal Trade Commission (FTC), 16 CFR Part 314.
De niet-bancaire groep is veel groter dan de meeste mensen aannemen: hypotheekbemiddelaars en niet-bancaire kredietverstrekkers, autodealers die financiering regelen, flitskrediet- en termijnkredietverstrekkers, leningbeheerders, incassobureaus, belastingadviseurs, geldwisselkantoren en geldtransactiekantoren die niet anders zijn gereguleerd, beleggingsadviseurs die niet bij de SEC zijn geregistreerd, en de duizenden hogescholen en universiteiten die deelnemen aan federale studiefinanciering, waarvoor het Department of Education de naleving van de Safeguards Rule handhaaft. Europese fintechs die via een Amerikaanse entiteit in de VS lenen, beheren of bemiddelen, en Europese groepen met Amerikaanse niet-bancaire dochters, behoren tot deze groep.
De twee sporen verschillen in stijl. De FTC-regel is voorschrijvend, met benoemde maatregelen en frequenties. Het spoor voor banken en credit unions is principegebaseerd en examengedreven: de richtlijnen vereisen regelmatige tests van sleutelmaatregelen door onafhankelijke partijen, en het FFIEC-handboek vertelt examinatoren hoe een geloofwaardig testprogramma eruitziet. In de praktijk komen beide sporen uit op dezelfde verwachting: een onafhankelijke penetratietest van de systemen die klantgeld en klantgegevens bewaren of verplaatsen, minimaal jaarlijks, zowel vanaf internet als van binnenuit.
De FTC Safeguards Rule: wat 16 CFR Part 314 sinds juni 2023 vereist
De FTC-wijzigingen van 2021, waarvan de meeste bepalingen op 9 juni 2023 in werking traden, maakten van een korte principeregel een maatregelencatalogus. Sectie 314.4 somt de onderdelen van een conform informatiebeveiligingsprogramma op.
314.4(d)(2): jaarlijkse penetratietest en halfjaarlijkse kwetsbaarheidsbeoordelingen
Tenzij de instelling continue monitoring toepast, moet zij minimaal jaarlijks, op basis van de risicobeoordeling, penetratietesten van haar informatiesystemen uitvoeren, en minimaal elke zes maanden kwetsbaarheidsbeoordelingen, inclusief systematische scans of beoordelingen die redelijkerwijs zijn ontworpen om publiek bekende kwetsbaarheden te vinden, plus aanvullend bij materiële wijzigingen in de bedrijfsvoering of samenwerkingen en bij omstandigheden die een materiële impact op het programma kunnen hebben. Instellingen die gegevens van minder dan 5.000 consumenten bewaren, zijn van dit onderdeel vrijgesteld.
314.4(c): de technische maatregelen die de test meet
Toegangsbeheer en minimale rechten, een inventaris van gegevens, personeel, apparaten en systemen, versleuteling van klantgegevens in transit over externe netwerken en in opslag, veilige ontwikkelpraktijken voor eigen applicaties, multifactorauthenticatie voor iedere persoon die toegang heeft tot een informatiesysteem, veilige vernietiging van klantgegevens uiterlijk twee jaar na het laatste gebruik, procedures voor wijzigingsbeheer, en monitoring en logging van de activiteit van geautoriseerde gebruikers. Dit zijn de maatregelen die een penetratietest op de proef stelt; de test is hoe onderdeel (d) bevestigt dat onderdeel (c) echt is.
314.4(h) en (i): incident-responsplan en het jaarlijkse bestuursrapport
Een schriftelijk incident-responsplan met doelen, interne processen, rollen, externe communicatie, herstel en documentatie, en een jaarlijks schriftelijk rapport van de Qualified Individual aan het bestuur of een senior functionaris over de status van het programma, de risicobeoordeling, testresultaten, beveiligingsincidenten en aanbevolen wijzigingen. Penetratietestresultaten zijn met name genoemde inhoud van dat rapport.
314.4(j): melding aan de FTC binnen 30 dagen
Sinds 13 mei 2024 moet een meldingsplichtig incident met onversleutelde klantgegevens van minimaal 500 consumenten zo snel mogelijk en uiterlijk 30 dagen na ontdekking aan de FTC worden gemeld via het online formulier van de FTC. De melding wordt openbaar. Het verband met testen is direct: de meest voorkomende incidenten (gecompromitteerde inloggegevens zonder MFA, blootgestelde bestandsoverdrachtsystemen, ongepatchte perimeterapparatuur) zijn precies wat een jaarlijkse externe en interne test als eerste moet vinden.
Wie houdt toezicht op wie, en wat ieder van testen verwacht
Het type instelling bepaalt de toezichthouder, de examenstijl en de meldtermijn bij incidenten. De testverwachting is over de hele tabel vergelijkbaar; het papierwerk niet.
| Instelling | Primaire toezichthouder en regel | Testverwachting | Incidentmelding |
|---|---|---|---|
| Niet-bancaire financiële instellingen (kredietverstrekkers, bemiddelaars, beheerders, dealers, hoger onderwijs) | FTC, Safeguards Rule 16 CFR Part 314 (het Department of Education handhaaft voor Title IV-instellingen) | Jaarlijkse penetratietest plus kwetsbaarheidsbeoordelingen elke zes maanden, of continue monitoring; resultaten in het jaarlijkse bestuursrapport | FTC binnen 30 dagen bij incidenten met 500 of meer consumenten |
| Nationale banken en federale spaarbanken | OCC, 12 CFR Part 30 Appendix B; FFIEC IT Handbook | Regelmatige tests van sleutelmaatregelen door onafhankelijke partijen, scope en frequentie bepaald door risico; examinatoren verwachten jaarlijks externe en interne tests van kritieke systemen | Primaire toezichthouder binnen 36 uur na een meldingsplichtig incident |
| Staatsbanken zonder Fed-lidmaatschap | FDIC, 12 CFR Part 364 Appendix B; FFIEC IT Handbook | Dezelfde interagency-richtlijnen; FDIC-IT-examens gebruiken de FFIEC InTREx-procedures | Binnen 36 uur |
| Staatsbanken met Fed-lidmaatschap en bankholdings | Federal Reserve Board, bijlagen bij 12 CFR Part 208 en 225; FFIEC IT Handbook | Dezelfde interagency-richtlijnen; holdings worden geacht toezicht te houden op het testen bij dochters | Binnen 36 uur |
| Federaal verzekerde credit unions | NCUA, 12 CFR Part 748 Appendix A; Information Security Examination (ISE) | Onafhankelijke tests van maatregelen in verhouding tot omvang en complexiteit; de ISE beoordeelt het testprogramma en de opvolging | NCUA binnen 72 uur na een meldingsplichtig cyberincident (12 CFR 748.1(c)) |
| Elk van bovenstaande met een vergunning in New York | Tevens NYDFS, 23 NYCRR Part 500 | Jaarlijkse penetratietest van binnen en van buiten onder 500.5, bovenop het bovenstaande | NYDFS binnen 72 uur; afpersingsbetalingen binnen 24 uur |
Het FFIEC-handboek, het einde van de CAT en de NCUA ISE
Voor banken en credit unions is de werkende tekst het FFIEC IT Examination Handbook, in het bijzonder het Information Security-boekje (2016) en het Architecture, Infrastructure and Operations-boekje (2021). De sectie over programma-effectiviteit in het Information Security-boekje beschrijft de assurance-activiteiten die examinatoren verwachten: audits, kwetsbaarheidsbeoordelingen en penetratietesten, uitgevoerd door partijen die onafhankelijk zijn van wie de maatregelen bouwt en beheert, met een scope die uit de risicobeoordeling volgt, resultaten die aan het bestuur worden gerapporteerd en bevindingen die tot sluiting worden gevolgd. Het boekje is expliciet dat een penetratietest kwetsbaarheden moet proberen uit te buiten in plaats van ze op te sommen, en dat de instelling moet testen vanuit het perspectief van een buitenstaander op internet en van een insider of gecompromitteerde host.
De FFIEC Cybersecurity Assessment Tool (CAT), die veel instellingen sinds 2015 gebruikten om hun inherente risico en volwassenheid zelf te beoordelen, is op 31 augustus 2025 ingetrokken. De FFIEC wees instellingen op alternatieven: het NIST Cybersecurity Framework 2.0, het Cyber Risk Institute (CRI) Profile, de sectorspecifieke uitwerking van NIST CSF, de Cross-Sector Cybersecurity Performance Goals van CISA en de CIS Critical Security Controls. Welk kader een instelling ook kiest, de testverwachting verschuift niet: elk van deze kaders bevat de uitkomst dat maatregelen op effectiviteit worden getest, en examinatoren zullen vragen hoe.
Credit unions worden door de NCUA getoetst volgens haar Information Security Examination (ISE), ingevoerd in 2023 en geschaald naar de omvang en complexiteit van de instelling. De ISE beoordeelt governance, risicobeoordeling, maatregelen en, specifiek, het testprogramma: wie testte, wanneer, wat werd gevonden en of het management de bevindingen heeft gesloten. Sinds september 2023 moeten credit unions bovendien binnen 72 uur een meldingsplichtig cyberincident bij de NCUA melden, wat dezelfde premie zet op het vinden van blootstellingen door testen voordat een aanvaller dat doet.
Wat een penetratietest voor een bank of credit union moet dekken
Examinatoren beoordelen de scope aan de risicobeoordeling en de bedrijfsvoering van de instelling. Voor de meeste banken en credit unions lopen klantgeld en klantgegevens op de volgende systemen risico.
- Online en mobiel bankieren: authenticatie- en registratieflows, paden naar accountovername, transactieautorisatie, sessiebeheer en de API's achter de mobiele applicaties
- Koppelingen met het kernbanksysteem en de core processor, inclusief bestandsoverdrachten, batchjobs en de bevoorrechte accounts die ze beheren (de eigen omgeving van de processor wordt gedekt door zijn SOC-rapporten; uw kant van de koppeling moet u zelf testen)
- Betalingsinitiatie: wire-, ACH- en instant-betaalsystemen, handhaving van het vier-ogenprincipe, en de werkplekken en gebruikers die betalingen kunnen initiëren of goedkeuren
- Het interne netwerk vanuit een assumed-breach-positie: Active Directory, paden naar bevoorrechte toegang, segmentatie tussen filiaal-, backoffice- en betaalomgevingen
- Externe toegang, VPN en virtuele desktopinfrastructuur, inclusief toegang van derden en externe medewerkers
- Filiaal- en geldautomaatnetwerken, baliesystemen en de verbindingen daartussen en met het datacenter of de cloud
- E-mail en social engineering: phishingweerbaarheid van medewerkers met betaal- of beheerrechten, in lijn met de trainingseis in beide sporen
- Fintech-, banking-as-a-service- en leverancierskoppelingen: de API's, inloggegevens en datastromen die partners gebruiken, en wat een gecompromitteerde partnerverbinding zou kunnen bereiken
- Waar de instelling SWIFT-gebruiker is: de secure zone, operator-pc's en de maatregelen uit het Customer Security Controls Framework
- Detectie: wat het SOC of de managed detection and response-dienstverlener tijdens de interne test zag, en hoe lang dat duurde
Derden, banking-as-a-service en SWIFT
Beide GLBA-sporen maken de instelling verantwoordelijk voor haar dienstverleners. De FTC-regel vereist dat instellingen dienstverleners selecteren die beveiligingsmaatregelen kunnen handhaven, dat zij die contractueel eisen en dat zij ze periodiek beoordelen. De Interagency Guidance on Third-Party Relationships van de bankentoezichthouders uit juni 2023 beschrijft de levenscyclus: due diligence, contractering, doorlopende monitoring en beëindiging, met verscherpt toezicht voor kritieke activiteiten. Banking-as-a-service-constructies, waarin een bank de vergunning levert en een fintech de klantrelatie en de technologie, leidden in 2024 en 2025 tot een reeks handhavingsmaatregelen, juist omdat de sponsorbank niet had getest of gemonitord wat haar partner had gebouwd. Het praktische gevolg voor een fintechpartner is dat de sponsorbank een actueel penetratietestrapport van het fintechplatform en van de koppeling zal vragen, en voor Europese fintechs die Amerikaanse banken bedienen komt die vraag al tijdens de onboarding.
Instellingen die op SWIFT zijn aangesloten, dragen een verder programma: het Customer Security Programme (CSP) en zijn Customer Security Controls Framework, waarover jaarlijks attestatie wordt afgelegd in de KYC Security Attestation-applicatie, met sinds 2021 een verplichte onafhankelijke beoordeling. Het kader bevat een adviserende maatregel voor penetratietesten (7.3A) die de SWIFT secure zone, operator-pc's en connectors dekt, en een verplichte maatregel voor kwetsbaarheidsscans. Een bank die haar jaarlijkse penetratietest afstemt op de CSCF-scope en de secure zone test vanuit de positie van een gecompromitteerde kantoorwerkplek, beantwoordt met één opdracht zowel haar GLBA-examinatoren als haar SWIFT-beoordelaar.
Hoe HackersHub GLBA- en FFIEC-testprogramma's ondersteunt
Wij scopen de opdracht op de systemen in de risicobeoordeling van de instelling die klantgegevens bewaren of verplaatsen: online en mobiel bankieren, betalingsinitiatie, kernkoppelingen, het interne netwerk en de koppelingen met partners en processors. De test combineert een extern onderdeel tegen de internet-facing perimeter en applicaties, een assumed-breach-onderdeel vanaf een standaardwerkplek om te meten wat een gephiste medewerker of een gecompromitteerde leveranciersverbinding zou kunnen bereiken, en een detectieverslag dat toont wat de monitoring van de instelling zag. Voor instellingen onder FTC-toezicht structureren wij de jaarlijkse test en de halfjaarlijkse kwetsbaarheidsbeoordelingen als één programma met één bewijsspoor voor het jaarrapport van de Qualified Individual. Voor banken en credit unions is het rapport geschreven om aan de examinator te worden overhandigd: scope gekoppeld aan de risicobeoordeling, methodiek benoemd (NIST SP 800-115, OWASP), onafhankelijke testers bij naam, bevindingen met risicoklasse en een hertest.
Testers zijn OSCP-gecertificeerd en worden in het rapport bij naam genoemd. HackersHub is gevestigd in Amsterdam, Nederland en werkt voor financiële instellingen en fintechs in Europa en de Verenigde Staten; Amerikaanse omgevingen worden op afstand getest binnen afgesproken vensters en Amerikaanse kantooruren, en voor Europese groepen met Amerikaanse dochters stemmen wij de GLBA-opdracht af op het DORA-programma, zodat één jaarlijkse penetratietest beide dient.
Veelgestelde vragen
Bereidt u zich voor op uw volgende IT-examen?
Wij testen de systemen die klantgeld bewaren en verplaatsen vanaf internet en van binnenuit, leggen vast wat uw monitoring detecteerde en schrijven het rapport voor de examinator die het leest. Praat met een expert.