Hvem forordningen rammer
DORA rammer bredt i den finansielle værdikæde. Banker og kreditinstitutter, forsikrings- og pensionsselskaber, betalings- og e-pengeinstitutter, fondsmæglere, investeringsforvaltere, kryptoudbydere og en lang række andre finansielle enheder. I alt over tyve kategorier. I Danmark fører Finanstilsynet tilsyn.
Nybruddet er, at IKT-tredjepartsleverandører bliver trukket direkte ind. Leverer I drift, hosting, software eller sikkerhedsovervågning til finansielle virksomheder, bliver DORA’s krav jeres virkelighed gennem kontrakterne. De mest kritiske leverandører kommer endda under direkte europæisk tilsyn.
DORA er en forordning og gælder derfor umiddelbart i alle medlemslande. Deri adskiller den sig fra direktivet NIS2, som DORA fortrænger på sit eget område.
DORA’s fem søjler
1. IKT-risikostyring. En dokumenteret ramme med ledelsesforankring. Identifikation af kritiske funktioner, beskyttelse, detektion, respons og genopretning. Ledelsesorganet bærer det endelige ansvar.
2. Hændelsesrapportering. Klassificering af IKT-hændelser efter fælles kriterier og indrapportering af større hændelser til Finanstilsynet i tre trin med faste frister.
3. Test af modstandsdygtighed. Et løbende testprogram med sårbarhedsscanninger og penetrationstest. For de største enheder desuden trusselsbaseret penetrationstest mindst hvert tredje år.
4. Styring af IKT-tredjepartsrisiko. Et register over alle IT-leverandøraftaler, risikovurdering før indgåelse, obligatoriske kontraktbestemmelser om revisionsadgang, exitstrategier og sikkerhedskrav, og særlig skærpelse for kritiske funktioner.
5. Informationsdeling. Frivillige rammer for udveksling af trusselsefterretninger mellem finansielle enheder.
Hvad det betyder for mindre aktører
DORA anvender proportionalitet, så kravene skaleres efter størrelse og risikoprofil. Men ingen er fritaget.
For mindre finansielle virksomheder og deres leverandører er smertepunkterne leverandørregistret, kontraktopdateringerne og det dokumenterede testprogram. Det er overkommeligt med en struktureret tilgang. Det er til gengæld umuligt at improvisere sig ud af ved et tilsynsbesøg. Vi tager forløbet under DORA-compliance.