Hvad er DORA-forordningen?
DORA står for Digital Operational Resilience Act: Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor. Den har fundet anvendelse siden den 17. januar 2025. Formålet er at samle og harmonisere de IT-risikokrav, der før lå spredt i sektorlovgivning og vejledninger, så hele den finansielle sektor arbejder efter samme regler for cybersikkerhed og driftsstabilitet. Fordi DORA er en forordning og ikke et direktiv, gælder den direkte i Danmark, og i modsætning til meget anden regulering stiller den også krav i retning af leverandørerne bag de finansielle virksomheder.
Hvem er omfattet af DORA?
DORA gælder for finansielle enheder i bred forstand: kreditinstitutter, betalings- og e-pengeinstitutter, investeringsselskaber, forsikrings- og pensionsselskaber og en række andre aktørtyper i den finansielle sektor. I Danmark er det Finanstilsynet, der fører tilsyn med efterlevelsen.
Derudover omfatter forordningen IKT-tredjepartsleverandører, altså leverandører af IT-ydelser til de finansielle virksomheder. De leverandører, der udpeges som kritiske for sektoren, underlægges en fælles europæisk tilsynsramme forankret hos de europæiske finanstilsynsmyndigheder. Er din virksomhed IT-leverandør for kunder i den finansielle sektor, mærker den derfor DORA gennem kundernes kontrakt- og dokumentationskrav, uanset om den selv er udpeget som kritisk.
De fem søjler i DORA
- IKT-risikostyring: Et dokumenteret rammeværk for styring af IT-risici med ledelsen som ansvarlig, fra identifikation af kritiske systemer til beskyttelse, opdagelse og reetablering.
- Håndtering og rapportering af IKT-hændelser: Hændelser skal klassificeres efter fælles kriterier, og større hændelser skal rapporteres til myndighederne efter faste processer.
- Test af digital operationel modstandsdygtighed: Løbende test af systemer og beredskab, fra sårbarhedsscanninger til avancerede trusselsbaserede penetrationstest for udvalgte enheder.
- Styring af IKT-tredjepartsrisiko: Kontrakter med IT-leverandører skal indeholde bestemte vilkår, leverandørforholdene skal registreres og overvåges, og der skal være en plan for exit.
- Informationsdeling: Frivillige ordninger, hvor finansielle enheder deler viden om cybertrusler og sårbarheder med hinanden.
Hvad betyder DORA for din IT-leverandør?
Er din virksomhed finansiel, flytter DORA en del af compliance-byrden ind i leverandørstyringen: Dine IT-leverandører skal kunne acceptere de kontraktvilkår, forordningen kræver, dokumentere deres egen sikkerhed og levere den information, din risikostyring og dit register over IKT-aftaler bygger på. En leverandør, der ikke kan svare klart på spørgsmål om adgangsstyring, backup, hændelseshåndtering og underleverandører, bliver selv en DORA-risiko.
Kravene er kendt fra praksis: MI Support IT leverer blandt andet sikkerhedsrådgivning til en dansk pensionsvirksomhed, hvor opgaven netop er at beskytte følsomme kundedata i en stærkt reguleret finansiel sektor. Læs mere om arbejdet med den finansielle sektor.
DORA vs. NIS2: hvad er forskellen?
De to regelsæt deler formål, men ikke form. NIS2 er et direktiv, der dækker 18 samfundskritiske sektorer og implementeres i national lov, mens DORA er en forordning målrettet den finansielle sektor, som gælder direkte. For finansielle enheder er DORA den specifikke regel, der på sit område går forud for NIS2's generelle krav. I praksis: Er din virksomhed en bank eller et pensionsselskab, er DORA den primære ramme; er den fx en produktionsvirksomhed, er det NIS2, du skal kigge på.
Sådan hjælper MI Support IT
At omsætte DORA til hverdag er det, MI Support IT hjælper finansielle virksomheder og deres IT-leverandører med: gap-analyse af den tekniske sikkerhed via et IT-sikkerhedstjek, hærdning, overvågning og dokumentation som en del af et samlet IT-sikkerhedsarbejde, og leverandørdokumentation, der kan holde til dine kunders DORA-krav. Hele ydelsen er beskrevet under NIS2- og DORA-compliance. Kontakt os, hvis du vil vide, hvor du står, før tilsynet eller kunderne spørger.