DORA-förordningen är EU:s ramverk för digital operationell motståndskraft i finanssektorn. Den skärper kraven på hur banker, försäkringsbolag, betaltjänstleverantörer, fondbolag och även deras IT-leverantörer hanterar cyberrisker, incidenter och kontinuitet. I den här artikeln går vi igenom vad DORA innebär, hur du kan arbeta praktiskt med kraven och vad som ofta förbises i implementeringen.
Kärnan i DORA är att ledningen har ett tydligt ansvar för digital risk och att arbetet är dokumenterat, testat och uppföljt. Det handlar om fem byggstenar: ramverk för IKT-risk, incidenthantering och rapportering, testning av motståndskraft, riskhantering för tredjepartsleverantörer samt informationsdelning. I praktiken betyder det till exempel att ni behöver en uppdaterad incidentprocess med tydliga kriterier för vad som är en rapporteringspliktig händelse, och rutiner för hur ni informerar myndighet inom tidsfristen.
Ett bra startsteg är att göra en gap-analys mot dora förordningen. Kartlägg era mest kritiska affärsprocesser, tillhörande system och leverantörskedjor. Identifiera vilka kontroller som redan finns, vilka som saknas och hur ni prioriterar åtgärder. Många organisationer underskattar mängden beroenden till moln, betalväxlar och identitetstjänster. En enkel visualisering av beroendekartan brukar göra riskerna mer konkreta och hjälper er att rikta insatserna rätt.
Testning är inte bara penetrationstester. DORA betonar scenariobaserade tester och övningar där teknik, process och människor provas tillsammans. Ett praktiskt upplägg är att genomföra en bordssimuleringsövning kring ett realistiskt scenario, till exempel en utpressningsattack mot er betalplattform en fredagseftermiddag. Mät tiden till upptäckt, beslutsvägar, kommunikationsflöde och återställning. Dokumentera lärdomar och koppla dem till förbättringsåtgärder med ansvar och deadlines.
DORA gör tredjepartsstyrning till en styrelsefråga, inte bara en upphandlingstext. Ni behöver veta vilka leverantörer som är kritiska, ha tydliga avtalade servicenivåer, rätten att revidera kontroller och planer för exit eller flytt. I verkligheten är det ofta här friktionen uppstår. Ett tips är att klassificera leverantörer i tre nivåer och kräva olika styrdjup, där nivå 1 får årlig revision och scenariotester tillsammans med er, medan nivå 3 får enklare självskattningar. På så sätt lägger ni mest kraft där risken är som störst.
Glöm inte dataplanen vid incident. Vem kommunicerar med kunder, vem tar dialogen med tillsynsmyndighet och hur samordnas budskapet med leverantörer som också är drabbade? En kort, konkret kommunikationsmanual med färdiga mallar sparar tid och minskar fel i skarpt läge. Jag brukar även rekommendera en enkel beslutsmatris: om påverkan är hög och tid kvarstår, eskalera till krisledning inom 15 minuter och utlös alternativa betalvägar om sådana finns.
Sammanfattningsvis handlar DORA om disciplin och transparens: att veta vad som är viktigt, testa det som kan gå fel och visa att ni har kontroll över er digitala risk. Börja med en fokuserad gap-analys, etablera en levande incidentprocess och ge tredjepartsstyrningen praktiska tänder. Vill du komma vidare, samla ett tvärfunktionellt team från IT, risk, juridik och affär och sätt ett 90-dagarsprogram med tre tydliga mål: beslutad riskstrategi, genomförd övning och en första leverantörsgenomlysning. Ta första steget idag så står ni starkare när nästa störning kommer.