Hvad er DORA-forordningen?
DORA står for Digital Operational Resilience Act: Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor. Den har fundet anvendelse siden den 17. januar 2025. Formålet er at samle og harmonisere de IT-risikokrav, der før lå spredt i sektorlovgivning og vejledninger, så hele den finansielle sektor arbejder efter samme regler for cybersikkerhed og driftsstabilitet. Fordi DORA er en forordning og ikke et direktiv, gælder den direkte i Danmark, og i modsætning til meget anden regulering stiller den også krav i retning af leverandørerne bag de finansielle virksomheder.
Hvem er omfattet af DORA?
DORA gælder for finansielle enheder i bred forstand: kreditinstitutter, betalings- og e-pengeinstitutter, investeringsselskaber, forsikrings- og pensionsselskaber og en række andre aktørtyper i den finansielle sektor. I Danmark er det Finanstilsynet, der fører tilsyn med efterlevelsen.
Derudover omfatter forordningen IKT-tredjepartsleverandører, altså leverandører af IT-ydelser til de finansielle virksomheder. De leverandører, der udpeges som kritiske for sektoren, underlægges en fælles europæisk tilsynsramme forankret hos de europæiske finanstilsynsmyndigheder. Arbejder I som IT-leverandør for kunder i den finansielle sektor, mærker I derfor DORA gennem jeres kunders kontrakt- og dokumentationskrav, uanset om I selv er udpeget som kritisk.
De fem søjler i DORA
- IKT-risikostyring: Et dokumenteret rammeværk for styring af IT-risici med ledelsen som ansvarlig, fra identifikation af kritiske systemer til beskyttelse, opdagelse og reetablering.
- Håndtering og rapportering af IKT-hændelser: Hændelser skal klassificeres efter fælles kriterier, og større hændelser skal rapporteres til myndighederne efter faste processer.
- Test af digital operationel modstandsdygtighed: Løbende test af systemer og beredskab, fra sårbarhedsscanninger til avancerede trusselsbaserede penetrationstest for udvalgte enheder.
- Styring af IKT-tredjepartsrisiko: Kontrakter med IT-leverandører skal indeholde bestemte vilkår, leverandørforholdene skal registreres og overvåges, og der skal være en plan for exit.
- Informationsdeling: Frivillige ordninger, hvor finansielle enheder deler viden om cybertrusler og sårbarheder med hinanden.
Hvad betyder DORA for jeres IT-leverandør?
Er I en finansiel virksomhed, flytter DORA en del af compliance-byrden ind i leverandørstyringen: Jeres IT-leverandører skal kunne acceptere de kontraktvilkår, forordningen kræver, dokumentere deres egen sikkerhed og levere den information, jeres risikostyring og register over IKT-aftaler bygger på. En leverandør, der ikke kan svare klart på spørgsmål om adgangsstyring, backup, hændelseshåndtering og undermodleverandører, bliver selv en DORA-risiko.
Vi kender kravene fra praksis: MI Support IT leverer blandt andet sikkerhedsrådgivning til AP Pension, hvor opgaven netop er at beskytte følsomme kundedata i en stærkt reguleret finansiel sektor.
DORA vs. NIS2: hvad er forskellen?
De to regelsæt deler formål, men ikke form. NIS2 er et direktiv, der dækker 18 samfundskritiske sektorer og implementeres i national lov, mens DORA er en forordning målrettet den finansielle sektor, som gælder direkte. For finansielle enheder er DORA den specifikke regel, der på sit område går forud for NIS2's generelle krav. I praksis: Er I en bank eller et pensionsselskab, er DORA jeres primære ramme; er I fx en produktionsvirksomhed, er det NIS2, I skal kigge på.
Sådan hjælper MI Support IT
Vi hjælper finansielle virksomheder og deres IT-leverandører med at omsætte DORA til hverdag: gap-analyse af den tekniske sikkerhed via et IT-sikkerhedstjek, hærdning, overvågning og dokumentation som en del af et samlet IT-sikkerhedsarbejde, og leverandørdokumentation, der kan holde til jeres kunders DORA-krav. Kontakt os, hvis I vil vide, hvor I står, før tilsynet eller kunderne spørger.