DORA

DORA er en EU-forordning om digital operationel modstandsdygtighed i den finansielle sektor. Reglerne skal sikre, at finansielle virksomheder kan forebygge, håndtere og komme sig efter alvorlige IT- og cyberhændelser.

Hvorfor er begrebet vigtigt?

DORA er vigtig, fordi finansielle tjenester er afhængige af stabile IT-systemer og eksterne teknologileverandører. Nedbrud eller cyberangreb kan derfor påvirke både virksomheder, kunder og den finansielle stabilitet.

Forordningen har været gældende siden den 17. januar 2025. Den stiller blandt andet krav til styring af IKT-risici, rapportering af større hændelser, test af digital modstandsdygtighed og kontrol med IKT-tredjepartsleverandører.

Typisk misforståelse

Den mest almindelige fejl er at tro, at DORA kun handler om tekniske sikkerhedsprodukter. Reglerne omfatter også ledelsesansvar, processer, dokumentation, hændelsesrapportering, test, beredskab og kontrakter med leverandører.

Eksempel

En finansiel virksomhed kortlægger sine kritiske systemer og IKT-leverandører. Den fastlægger procedurer for hændelser, tester sin evne til at fortsætte driften under nedbrud og sikrer, at leverandørkontrakter indeholder de nødvendige krav.

Best practice

• Afklar om virksomheden er omfattet af DORA.

• Kortlæg kritiske systemer, data og IKT-leverandører.

• Etablér et dokumenteret rammeværk for IKT-risikostyring.

• Fastlæg procedurer for hændelser, rapportering og genopretning.

• Test regelmæssigt den digitale operationelle modstandsdygtighed.

• Gennemgå kontrakter og risici hos tredjepartsleverandører.