DORA och digital operativ motståndskraft

DORA:s fem pelare

DORA beskrivs vanligtvis i termer av fem pelare. De fyra första bär bindande krav; den femte, informationsdelning, är ett frivilligt upplägg enligt artikel 45 snarare än en skyldighet. Nedan följer en översikt över varje och vad den innebär.

IKT-riskhantering

Organisationer måste ta fullt ansvar för att hantera IKT-risker genom att etablera en robust styrnings- och kontrollram för digital operativ motståndskraft. Det inkluderar kontinuerlig identifiering, bedömning och riskreducering av cyber- och teknikrisker, med definierade nivåer för riskaptit/tolerans. Organisationer förväntas förebygga och upptäcka IKT-incidenter proaktivt och vara förberedda på att agera och återhämta sig från störningar, samtidigt som man lär och utvecklar arbetssätt baserat på tidigare incidenter.

Rapportering av IKT-relaterade incidenter

DORA standardiserar hur allvarliga IKT-relaterade incidenter ska klassificeras och rapporteras inom EU. Finansiella aktörer behöver formella processer för att upptäcka incidenter, kategorisera allvarlighetsgrad (utifrån påverkan, varaktighet och påverkade tjänster) samt rapportera större incidenter till tillsynsmyndigheter utan dröjsmål. Målet är ökad transparens och snabb respons på systemiska problem. Organisationer behöver ofta stärka hur de bedömer incidenters påverkan och rotorsaker för att möta DORA:s kriterier. Internt innebär detta även tydliga incidentprocesser, kommunikationsflöden och eskaleringsvägar till ledning samt notifiering av berörda intressenter.

Testning av digital operativ motståndskraft

Regelbunden testning av IKT-system och säkerhetskontroller är obligatorisk för att säkerställa att organisationer kan stå emot och återhämta sig från störningar. DORA kräver ett riskbaserat program för testning av digital operativ motståndskraft. Programmet kan omfatta bland annat sårbarhetsanalyser, nätverkssäkerhetsbedömningar, scenariobaserade tester, end-to-end-tester och penetrationstestning, samt snabb åtgärd av identifierade sårbarheter. För andra finansiella företag än mikroföretag ska lämpliga tester genomföras minst årligen på IKT-system och applikationer som stöder kritiska eller viktiga funktioner. Vissa finansiella företag som identifieras enligt DORA:s kriterier ska dessutom genomföra avancerad threat-led penetration testing (TLPT) minst vart tredje år. Testets omfattning täcker flera eller alla kritiska eller viktiga funktioner och de produktionssystem som stöder dem. DORA ställer särskilda krav på testarnas kompetens och oberoende och tillåter under vissa förutsättningar både interna och externa testare. Testprogrammen validerar att försvar och backup-planer fungerar i realistiska förhållanden.

Tredjepartsriskhantering för IKT

Finansiella aktörer är fortsatt ansvariga för risker som uppstår via leverantörer och tjänsteleverantörer. DORA ställer därför krav på rigorös tredjepartsstyrning. Organisationer måste genomföra due diligence vid val av IKT-leverantörer, säkerställa att avtal innehåller krav på motståndskraft och säkerhet, samt löpande övervaka leverantörers prestanda och risk under hela relationen. Syftet är att förhindra att en svag länk hos en moln- eller IT-leverantör hotar organisationens (eller systemets) stabilitet. Det inkluderar även strategier för att undvika överberoende av enskilda kritiska leverantörer och att ha exitplaner om en leverantör inte kan möta DORA:s krav.

Informationsdelning

DORA uppmuntrar finansiella aktörer att dela cyberhotinformation och best practice som en del av en gemensam resiliensinsats. Genom betrodda upplägg för informationsdelning (t.ex. i branschforum eller via tillsyn) kan aktörer höja medvetenheten om nya risker, begränsa spridning av attacker och stödja samordnade åtgärder i sektorn. Även om denna pelare är mindre “styrande” i detalj understryker den att ingen aktör är isolerad – att dela hotinformation och lärdomar stärker hela ekosystemets försvar.

Vanliga utmaningar

Att anpassa sig till DORA kan vara utmanande eftersom efterlevnad kräver nya förmågor och tvärfunktionellt arbete. Vanliga utmaningar inkluderar.

Tvärfunktionell samordning

DORA ställer höga krav på samarbete mellan IT, säkerhet, risk, compliance och verksamhet. Organisationer har ofta svårt att bryta silos, till exempel att synka cybersäkerhet med risk- och kontinuitetsplanering, men ett samlat angreppssätt krävs för att möta DORA:s mål. Att få styrelsens/ledningens stöd och engagera intressenter på alla nivåer är avgörande men kan vara svårt i praktiken.

Nya testkrav

DORA inför avancerade testkrav (som årlig testning av kritiska system och TLPT) som många organisationer inte genomfört i den omfattning eller frekvens som krävs. Testerna är resurskrävande, och TLPT ställer krav på testarnas kompetens och oberoende, vilket kräver specialistkompetens och budget. Organisationer med äldre IT-miljöer kan uppleva det svårt att skapa realistiska scenarier, åtgärda sårbarheter och hålla den frekvens DORA kräver.

Leverantörsberoenden

Att säkerställa att tredjepartsleverantörer (moln, kärnsystemleverantörer m.m.) uppfyller DORA:s krav är komplext. Finansiella aktörer behöver inventera leverantörer, bedöma risk, och ofta uppdatera många avtal med DORA-krav. Att hantera detta kan vara överväldigande, särskilt med många och olika leverantörer. Dessutom är man beroende av leverantörers medverkan – om en kritisk leverantör inte lever upp till kraven eller vägrar avtalsändringar kvarstår compliance-risken hos den finansiella aktören.

Policyharmonisering

DORA behöver integreras i befintliga ramverk för risk, cybersäkerhet och styrning utan att skapa gap eller dubbelarbete. Många följer redan riktlinjer (EBA, ISO 27001, nationella regler); att mappa DORA mot dessa kan vara komplext. Policys för incidenthantering, kontinuitet och outsourcing kan behöva uppdateras. Att skapa konsekvens, tydlighet och samtidigt utbilda personal under tighta deadlines är en påtaglig utmaning.

Vi hjälper er att nå efterlevnad

Kristensson i Skåne AB är en oberoende konsultpartner med spets inom informationssäkerhet, IT-styrning och regelefterlevnad. Vi hjälper finansiella organisationer att navigera DORA-beredskap och bygga långsiktig operativ motståndskraft genom ett strukturerat och praktiskt angreppssätt.

DORA-beredskapsbedömning och gap-analys

Vi börjar med att granska era nuvarande arbetssätt för IKT-risk och kontinuitet mot DORA:s krav. Gap-analysen visar tydligt var ni redan uppfyller kraven och vad som behöver förbättras. Ni får en tydlig roadmap med åtgärder prioriterade efter risk, så att ni kan börja med de mest kritiska gapen.

Ramverk för riskhantering och styrning

Kristensson hjälper er att utveckla eller förbättra ert ramverk för IKT-riskhantering i linje med DORA. Vi etablerar styrningsstrukturer (t.ex. roller, kommittéer) och processer för att identifiera, förebygga, upptäcka, hantera och återhämta sig från IKT-risker enligt regulatoriska förväntningar. Det kan innebära uppdatering av policys för incidenthantering, kontinuitet och disaster recovery samt att integrera dem i ett samlat resiliensprogram.

Implementering av incidentrapportering och resiliens-testning

Vi hjälper er att bygga de incidenthanterings- och rapporteringsförmågor som krävs. Vi tar fram interna eskaleringsflöden och anpassning till EU:s rapportmallar och tidslinjer. Vi hjälper också etablera ett testprogram för digital operativ motståndskraft – från sårbarhetsanalyser och tabletop-övningar till koordinering av TLPT. Fokus är att testning inte bara “bockas av”, utan att fynd åtgärdas och lärdomar matas tillbaka i riskcykeln.

Stöd för tredjepartsriskhantering

Vi stärker er kontroll över IKT-leverantörer genom att bygga ett leverantörsriskregister och due diligence-processer för kritiska leverantörer och koncentrationsrisk. Vi granskar och rekommenderar uppdateringar i leverantörsavtal med DORA-klausuler (säkerhet, kontinuitet, revisionsrätt m.m.) och hjälper er ta fram uppföljningsstrategier samt beredskaps- och exitplaner om en leverantör inte möter kraven.

Dokumentation och utbildning

DORA kräver omfattande dokumentation och hög intern medvetenhet. Vi hjälper er ta fram eller revidera nödvändiga dokument (IKT-riskpolicys, playbooks, återställningsplaner, governance charter) anpassade till DORA. Vi genomför även utbildningar och workshops så att IT, risk, ledning och andra funktioner förstår sina roller. För ledningsorganet, som enligt DORA artikel 5.4 ska hålla sin kunskap om IKT-risk aktuell genom regelbunden utbildning, erbjuder vi en anpassad utbildning för ledning och styrelse. På så vis bygger ni en resilienskultur som går bortom checklistor.

Kontinuerlig förbättring och löpande efterlevnad

Vårt stöd slutar inte vid första implementeringen. Vi hjälper er etablera mekanismer för kontinuerlig uppföljning och förbättring så att digital resiliens blir ett pågående program. Det inkluderar återkommande granskningar, uppdateringar vid nya hot och förändringar samt stöd i att hålla dokumentation aktuell. Målet är att ni inte bara uppfyller DORA, utan använder det som en strategisk fördel över tid.