I december 2024, en måned før DORA begyndte at finde anvendelse, offentliggjorde de europæiske tilsynsmyndigheder (ESA'erne) resultaterne af en frivillig prøvekørsel af informationsregistret. Næsten 1.000 finansielle enheder deltog. Af de analyserede registre bestod kun 6,5 % alle 116 datakvalitetskontroller. Øvelsen blev udført på en best-effort-basis, og halvdelen af de resterende registre fejlede i færre end fem kontroller, så ESA'erne var forsigtigt optimistiske. Alligevel var det mest almindelige problem sigende: 86 % af fejlene skyldtes manglende obligatoriske oplysninger.

Det er en nyttig vinkel på DORA som helhed. Reglerne er velforståede nu. Det, der afgør, hvordan en tilsynscyklus forløber, er, om en organisations data, processer og dokumentation kan følge med dem, cyklus efter cyklus.

Hvad er DORA-forordningen?

DORA-forordningen, formelt forordning (EU) 2022/2554, er EU's ramme for digital operationel modstandsdygtighed i den finansielle sektor. EU indførte den for at harmonisere det, der havde været et kludetæppe af nationale regler om informations- og kommunikationsteknologi (IKT)-risiko, og erstatte uensartede forventninger med én direkte gældende forordning på tværs af alle medlemsstater.

Cybersikkerhed alene dækker det dog ikke. DORA handler om en organisations evne til at modstå, håndtere og komme sig over IKT-forstyrrelser, hvilket samler governance, forretningskontinuitet og IKT-risikostyring under én samlet ansvarsstruktur i stedet for at behandle dem som adskilte områder. Da DORA er en forordning frem for et direktiv, finder den direkte anvendelse. Der er ingen national lovgivning at vente på, og der er ikke plads til, at en medlemsstat udvander kravene.

Hvem gælder DORA-forordningen for?

Artikel 2 fastlægger DORA's anvendelsesområde og dækker direkte en bred vifte af finansielle enheder samt rammer indirekte IKT-tredjepartsleverandører gennem disse enheders egne forpligtelser.

Visse mindre og mindre indbyrdes forbundne enheder, såsom små og ikke-indbyrdes forbundne investeringsselskaber, kan anvende et forenklet IKT-risiko styrings framework i henhold til artikel 16. De grundlæggende principper gælder dog stadig: et dokumenteret framework, overvågning, forretningskontinuitet og bevidsthedstræning.

Blandt IKT-tredjepartsleverandører reguleres en mindre gruppe strengere: kritiske IKT-tredjepartsleverandører (CTPP'er), som udpeges individuelt af ESA'erne og underlægges direkte tilsyn på EU-plan i stedet for den indirekte vej, som alle andre leverandører følger.

NIS2 omfatter et tilsvarende bredt udsnit af enheder på tværs af kritiske sektorer. For finansielle enheder har DORA dog forrang som det sektorspecifikke regelsæt for styring af IKT-risici og hændelsesrapportering. IKT-leverandører stiller sig anderledes: de kan i sig selv være omfattet af NIS2, samtidig med at de betjener finansielle enheder under DORA.

Hvad er de 5 søjler i Dora-forordningen?

De fem søjler danner rammen for alle DORA’s krav, og de hænger tættere sammen, end det umiddelbart ser ud til: Et svagt punkt i den ene søjle viser sig ofte som en mangel i en anden.

IKT-risikostyring

Finansielle enheder skal have et dokumenteret framework for at identificere, beskytte mod, opdage, håndtere og genoprette efter IKT-risici, og det skal fungere i praksis, ikke kun på papiret. Ledelsesorganet bærer det endelige ansvar herfor. Dette framework skal også styre, hvordan IKT-tredjepartsrisici identificeres og overvåges.

Håndtering og indberetning af IKT-relaterede hændelser

Større IKT-relaterede hændelser skal klassificeres efter harmoniserede kriterier og indberettes til den kompetente myndighed i tre faser. Den første underretning skal indgives inden for fire timer efter, at en hændelse er klassificeret som større, og senest 24 timer efter, at man er blevet opmærksom på den. En mellemliggende rapport følger inden for 72 timer efter den første underretning, og en slutrapport inden for en måned efter den seneste mellemliggende rapport.

Test af digital operationel modstandsdygtighed

Finansielle enheder skal teste, om deres IKT-systemer og modstandsdygtighedskontrolforanstaltninger holder i praksis. For de fleste enheder betyder det et regelmæssigt testprogram. Enheder, der udpeges af deres kompetente myndighed, skal desuden gennemføre trusselsbaseret penetrationstest (TLPT) mindst hvert tredje år på live produktionssystemer og på baggrund af reel trusselsunderretning.

Styring af IKT-tredjepartsrisici

For mange organisationer er dette den mest krævende søjle. Finansielle enheder har brug for kontrakter, der indeholder DORA-påkrævede klausuler, som dækker områder som revisionsrettigheder, dataplacering og exit-strategier, samt en løbende vurdering af koncentrationsrisikoen på tværs af deres leverandørbase.

I centrum står informationsregistret (RoI). I henhold til artikel 28, stk. 3, skal finansielle enheder føre og ajourføre et register over alle kontraktlige ordninger om IKT-tjenester fra tredjepartsleverandører i det standardiserede format, der er fastsat i de gennemførelsesmæssige tekniske standarder, og stille det til rådighed for deres kompetente myndighed. Tilsynsmyndighederne indsamler registret én gang om året med skæringsdato den 31. december og nationale indberetningsvinduer i det første kvartal. For et nærmere kig på, hvad registret indeholder, og hvordan det holdes opdateret, se vores side om informationsregistret.

Deling af oplysninger og efterretninger

DORA giver også finansielle enheder mulighed for at dele oplysninger og efterretninger om cybersikkerhedstrusler med hinanden inden for betroede fællesskaber. Deltagelse er frivillig, og formålet er at hjælpe sektoren med at reagere på trusler, som sjældent begrænser sig til én enkelt organisation.

DORA-forordningens sanktioner og konsekvenser af manglende overholdelse

Håndhævelsen varetages af de nationale kompetente myndigheder, som fører direkte tilsyn med finansielle enheder og kan anvende de administrative sanktioner og afhjælpende foranstaltninger, som den enkelte medlemsstat har fastsat. I modsætning til den generelle databeskyttelsesforordning (GDPR) fastsætter DORA ikke en EU-dækkende maksimumbøde for finansielle enheder: Artikel 50 overlader beløbene til national lovgivning. Håndhævelse er heller ikke begrænset til bøder. Tilsynsforanstaltninger, påbudt afhjælpning og tættere granskning er alle en del af værktøjskassen, og for mange organisationer kan de omdømmemæssige og driftsmæssige omkostninger ved forlænget tilsynsopmærksomhed overstige selve bøden.

Kritiske Tredjepartsleverandører af IKT-tjenester hører under en helt anden mekanisme. De overvåges direkte på EU-niveau, ikke gennem en national myndighed. Hvis en leverandør ikke samarbejder med sin ledende overvåger, for eksempel ved at lade anmodninger om oplysninger stå ubesvarede hen, forhindre undersøgelser eller inspektioner eller undlade at afrapportere om de afhjælpende tiltag, den har truffet, kan den ledende overvåger pålægge tvangsbøder i henhold til artikel 35. Disse opkræves dagligt, indtil leverandøren efterkommer kravene, i højst seks måneder, og de kan udgøre op til 1 % af leverandørens gennemsnitlige daglige globale omsætning i det foregående regnskabsår. Når beløbet fastsættes, tager den ledende overvåger hensyn til, hvor alvorlig og langvarig manglen på efterlevelse er, om den var forsætlig eller uagtsom, og hvor godt leverandøren samarbejdede.

Tilsynsanbefalinger fungerer anderledes. Hvis en leverandør ikke følger dem, kan den ledende overvåger offentliggøre dette, og som en sidste udvej kan de kompetente myndigheder kræve, at finansielle enheder suspenderer eller afbryder deres brug af denne leverandørs tjenester.

Sådan implementeres DORA-compliance i praksis

At forstå forordningen og at drive den i hverdagen er to forskellige udfordringer. Dette er den rækkefølge, som de fleste organisationer i praksis har brug for at arbejde sig igennem:

1. Bekræft DORA's anvendelsesområde: Fastlæg, hvilken enhedskategori der finder anvendelse, og om den forenklede ordning er tilgængelig.

2. Identificer kritiske og vigtige funktioner: DORA's øvrige krav skalerer ud fra denne liste, så at få den på plads tidligt forhindrer omarbejde senere.

3. Kortlæg IKT-aktiver og afhængigheder: Forbind systemer, leverandører og forretningsfunktioner, før du forsøger at risikovurdere i forhold til dem.

4. Assess the ICT risk management framework: Compare what's documented against what Articles 5 to 16 require.

5. Etabler workflows for hændelsesstyring: Indbyg klassificering og rapportering i en proces, ikke i et dokument man kun åbner, når noget går i stykker.

6. Opbyg og vedligehold informationsregisteret: Behandl det som levende driftsdata, ikke en årlig eksportøvelse.

7. Etabler programmet for digital operational resiliens-testning: Afgræns, planlæg og dokumenter testning på en tilbagevendende basis, herunder TLPT hvor det finder anvendelse.

8. Overvåg og vedligehold compliance: Genbesøg alt ovenstående, i takt med at leverandører, systemer og tilsynsmæssige forventninger ændrer sig.

Trin 3 og 6 tager typisk længst tid, i høj grad fordi de afhænger af data, der er spredt på tværs af indkøb, IT og forretningsenheder. Formalize samler IKT-risiko-frameworket, hændelsesarbejdsgange, testplaner, tredjepartsregisteret og de bagvedliggende kontroller ét sted sammen med dit ISO 27001- og NIS2-arbejde, i stedet for at det er opdelt på tværs af regneark og separate værktøjer. Informationsregisteret holdes opdateret, i takt med at kontrakter og leverandører ændrer sig, i stedet for at skulle opbygges fra bunden ved hver rapporteringscyklus.

Sådan støtter Formalize DORA-compliance

Formalize er bygget til den del af DORA, der gentager sig: At holde data og dokumentation opdateret mellem cyklusser i stedet for at opbygge det fra bunden hver gang.

• Et informationsregister, der holdes opdateret. Leverandører, kontrakter, IKT-tjenester og forretningsfunktioner forbliver forbundne, fejl flages ved indtastning, og registeret eksporteres i det officielle format. Læs mere på siden om informationsregisteret.

• En gratis RoI-validator. Den kører 294 kontroller på tværs af alle 15 rapporter i det officielle format uden registrering, uanset om du bruger Formalize eller ej.

• Risiko, hændelser og testning ét sted. Hver med navngivne ansvarlige, deadlines og dokumentation vedhæftet i takt med, at arbejdet udføres.

• DORA side om side med ISO 27001, NIS2 og GDPR i det samme system i stedet for i separate værktøjer.

Mere end 8.000 organisationer i hele Europa bruger allerede Formalizes produkter.

Hvor kan du downloade DORA-forordningen som PDF?

For selve forordningen er EUR-Lex den autoritative kilde. Sekundære resuméer er nyttige til orientering, men teksten offentliggjort i Den Europæiske Unions Tidende er den juridisk gældende.

Forordningen alene udgør dog ikke det samlede billede. De 13 RTS og ITS nævnt ovenfor udfylder de operationelle detaljer, som DORA i sig selv ikke specificerer, og tilsynsmæssig vejledning fra De Europæiske Tilsynsmyndigheder fortsætter med at præcisere, hvordan tilsynet forventer, at kravene opfyldes i praksis. Implementering udelukkende baseret på forordningens tekst, uden de understøttende tekniske standarder, vil typisk overse præcis de detaljer, som tilsynet vil spørge ind til først.