DORA-förordningen: Vad är viktigast att fokusera på nu?

Många har haft omfattande DORA-complianceprojekt under en längre tid, för att förbereda organisationen på de nya kraven. Nu är dagen här och vi hoppas att många kan andas ut lite, även om arbetet inte tar slut här. Vi tar tillfället i akt att ta ett steg tillbaka och påminna oss om bakgrund och omfattning av denna viktiga lagstiftning.

Vad är DORA och vilka omfattas?

DORA omfattar ett brett spektrum av aktörer inom finanssektorn, inklusive banker, försäkringsbolag, betalningsinstitut och tredjepartsleverantörer av IT-tjänster. Syftet är att bygga upp en hållbar digital motståndskraft genom att stärka IT-säkerheten och minimera risker kopplade till tekniska avbrott eller cyberattacker.

Förordningen består av fem centrala pelare:

1. Riskhantering av IKT (Informations- och kommunikationsteknologi): Företag måste ha en strukturerad strategi för att identifiera och hantera digitala risker.
2. Rapportering av incidenter: Alla allvarliga incidenter måste rapporteras till relevanta tillsynsmyndigheter.
3. Operativa tester: Regelbundna tester av IT-system och affärskritiska funktioner är ett krav.
4. Riskhantering av tredjepartsleverantörer: Striktare kontroll över externa IT-leverantörer och avtal.
5. Informationsdelning: Främjande av informationsutbyte om hot och säkerhetshål inom sektorn.

Tre steg för att komma i fas med DORA

För att prioritera rätt och inte fastna i detaljer är det viktigt att ta ett steg tillbaka och fokusera på tre nyckelområden:

1. Utför en gap-analys

Första steget är att identifiera var ditt företag står idag i förhållande till DORA-kraven. Detta inkluderar:

• Riskhantering: Har ni redan processer på plats för att identifiera och hantera IKT-risker? Hur ser er incidentrapportering ut idag?
• IT-infrastruktur: Är era IT-system redo att motstå och återhämta sig från cyberattacker?
• Leverantörsöversyn: Vilken kontroll har ni över era externa leverantörer?

En grundlig gap-analys hjälper er att identifiera områden där det krävs omedelbara insatser.

2. Förstärk incidenthanteringsförmågan

Incidentrapportering är en av de mest kritiska komponenterna i DORA. Om detta inte redan finns på plats är det hög tid att:

• Sätta upp rutiner för att snabbt upptäcka och rapportera incidenter.
• Implementera verktyg som möjliggör realtidsövervakning och analys av IT-system.
• Träna personalen i hur de ska agera vid incidenter.

3. Säkra samarbete med tredjepartsleverantörer

Tredjepartsrisker är ett av de mest komplexa områdena inom DORA. Att snabbt få kontroll över era leverantörsavtal och riskhantering är avgörande. Detta innebär:

• Genomföra due diligence på alla IT-leverantörer.
• Försäkra att avtal innehåller specifika krav på säkerhet och kontinuitet.
• Implementera kontinuerlig övervakning av leverantörernas prestationer.

Prioriteringar för små och medelstora företag

Små och medelstora företag har ofta mindre resurser att avsätta för efterlevnad av nya regelverk. Här är tre tips för att göra arbetet mer hanterbart:

1. Automatisera där det är möjligt: Använd system som hjälper er att övervaka och rapportera IT-risker automatiskt.
2. Fokusera på det mest kritiska: Prioritera säkerhet för affärskritiska system och data.
3. Samarbeta med experter: Om intern kompetens saknas kan det vara kostnadseffektivt att anlita externa konsulter för specifika delar av DORA-implementeringen.

En återblick på tidslinjen

Det är värt att påminna sig om att DORA inte bara handlar om efterlevnad – det handlar om att bygga en säkrare och mer motståndskraftig verksamhet. Att implementera dessa förbättringar kan faktiskt innebära långsiktiga fördelar, som högre kundförtroende och bättre riskhantering.

Slutsats: Vad är viktigast just nu?

• Säkerställa en genomförd gap-analys för att få en tydlig bild av vad som saknas.
• Stärka era processer för incidenthantering och tredjepartsövervakning.
• Prioritera automatisering och samarbete med experter för att underlätta implementationen.

DORA är inte bara en utmaning – det är en möjlighet att bygga en robustare verksamhet för framtiden. 

Införandet av en plattform för hantering av styrdokument kan vara ett strategiskt steg i samband med de policyuppdateringar som krävs för att möta DORA:s krav. En plattform som North House kan underlätta arbetet genom att säkerställa struktur och effektivitet, inte bara vid implementeringen av nya regler utan även i det löpande arbetet. Med funktioner som versionshantering, samarbetsverktyg och påminnelser om deadlines blir det enklare att hålla ordning och uppnå regelefterlevnad. Att investera i en digital lösning nu kan därmed minska administrativa bördor och framtidssäkra organisationens styrningsprocesser.

‍

Mer om rapporteringen hos Finansinspektionen:

https://www.fi.se/sv/blanketter/#dora

https://www.fi.se/sv/publicerat/nyheter/2024/viktig-information-om-dora-rapportering-av-incidenter-och-cyberhot/

‍