DORA kræver to forskellige former for kontrol med rammen for IKT-risikostyring. Den ene er virksomhedens egen gennemgang, som efter art. 6, stk. 5, skal ske mindst én gang om året og desuden efter bestemte begivenheder. Den anden er den interne revision efter stk. 6, som udføres af revisorer med tilstrækkelig viden om IKT-risici og tilstrækkelig uafhængighed. Stk. 7 binder dem sammen med en formel proces for opfølgning, og efter art. 5, stk. 2, litra f, godkender og gennemgår ledelsesorganet revisionsplanerne og revisionerne. Artiklen beskriver, hvad hver del kræver, hvad rapporten om gennemgangen bør indeholde, og hvordan rollerne holdes adskilt.
Gennemgangen efter stk. 5
Rammen skal være dokumenteret og gennemgås mindst én gang om året. Gennemgangen skal desuden ske i tre situationer:
- efter større IKT-relaterede hændelser,
- efter tilsynsinstrukser fra myndigheden,
- efter konklusioner fra test af den digitale operationelle modstandsdygtighed eller fra revision.
For mikrovirksomheder er kravet en regelmæssig gennemgang. Enheder med forenklet ramme skal efter art. 16, stk. 2, dokumentere og gennemgå rammen regelmæssigt og efter større hændelser.
Gennemgangen skal ende i en rapport, og myndigheden kan bede om at få den. Rapporten skal derfor kunne stå alene og forstås af en læser, der ikke har været med i arbejdet.
Hvad rapporten bør indeholde
Forordningen fastsætter ikke rapportens opbygning. En rapport, der kan bruges både af ledelsesorganet og ved et tilsyn, kan have disse afsnit:
- Omfang og periode · hvilke dele af rammen der er gennemgået, og hvilket tidsrum gennemgangen dækker.
- Anledning · den årlige gennemgang eller en af de tre særlige begivenheder.
- Ændringer siden sidst · nye systemer, nye leverandører, organisationsændringer og ændrede forretningsplaner.
- Hændelser og test · de større IKT-relaterede hændelser i perioden og de væsentligste konklusioner fra test.
- Vurdering af rammen · om strategien, politikkerne og procedurerne fortsat passer til virksomheden og forordningen.
- Afvigelser og forslag · hvad der skal rettes, med ejer og frist.
- Status på tidligere punkter · hvad der er lukket siden sidste gennemgang.
Rapporten forelægges ledelsesorganet, og referatet bør vise, hvilke forslag der blev godkendt. Det er en naturlig lejlighed til også at tage strategien og risikotoleranceniveauet op igen, se strategien for digital operationel modstandsdygtighed.
Den interne revision efter stk. 6
Virksomheder, der ikke er mikrovirksomheder, skal regelmæssigt have rammen revideret internt. Forordningen stiller to krav til revisorerne. De skal have tilstrækkelig viden om IKT-risici, og de skal være tilstrækkeligt uafhængige.
Revisionen er den tredje forsvarslinje. Den vurderer, om rammen og kontrolfunktionen virker. Derfor kan den hverken udføres af dem, der driver systemerne, eller af dem, der har bygget og efterprøvet rammen. Hvordan opgaverne fordeles mellem driften, kontrolfunktionen og revisionen, er beskrevet i kontrolfunktionen efter DORA.
Ledelsesorganet godkender revisionsplanen og gennemgår revisionerne efter art. 5, stk. 2, litra f. Planen bør vise, hvilke dele af rammen der revideres hvornår, og hvordan revisionen prioriterer ud fra risiko.
Opfølgningen efter stk. 7
Revisionens konklusioner skal følges op i en formel proces. I praksis betyder det en liste over konklusioner med ejer, frist og status, som ledelsesorganet ser jævnligt. Lukkes et punkt, bør det fremgå, hvem der har kontrolleret, at rettelsen virker. Den generelle tilgang til rettelser står i korrigerende foranstaltninger.
Opfølgningslisten og afvigelserne fra den årlige gennemgang kan med fordel samles ét sted. Så ser ledelsen hele billedet, og det bliver tydeligt, når samme svaghed dukker op begge steder.
Fordelingen af rollerne
I en mindre virksomhed er det nyttigt at skrive ned, hvem der gør hvad:
- Direktionen ejer rammen og har ansvaret for, at gennemgangen bliver gennemført.
- Kontrolfunktionen forbereder den årlige gennemgang og rapporten og følger op på afvigelserne.
- De interne revisorer reviderer rammen efter en godkendt plan og rapporterer deres konklusioner.
- Ledelsesorganet godkender revisionsplanen, behandler rapporten og revisionerne og beslutter rettelserne.
En ekstern CISO kan påtage sig opgaverne i punkt 2: udarbejde rapporten om den årlige gennemgang, holde opfølgningslisten og forberede ledelsesorganets behandling. Den interne revision af en ramme, som den eksterne selv har været med til at gennemgå, bør ligge hos andre. Den eksterne kan også hjælpe ledelsesorganet med at formulere, hvilke krav til viden og uafhængighed revisorerne skal opfylde, så beslutningen om valg af revisorer kan dokumenteres.
Det skal I lade være med
- At gennemføre gennemgangen uden at skrive rapporten · myndigheden kan bede om den.
- At lade samme person gennemgå og revidere rammen · stk. 6 kræver tilstrækkelig uafhængighed.
- At vente til næste år efter en større hændelse · stk. 5 kræver en gennemgang i forlængelse af den.
- At lukke revisionspunkter uden kontrol af rettelsen · stk. 7 kræver en formel opfølgning.
Det skal I kræve af den eksterne
- ☐ Rapporten om den årlige gennemgang i en form, der kan forelægges Finanstilsynet uden omskrivning.
- ☐ En opfølgningsliste med ejer, frist og status for hvert punkt.
- ☐ Et udkast til de særlige gennemgange efter hændelser, tilsynsinstrukser og test.
- ☐ Et oplæg til ledelsesorganets krav til revisorernes viden og uafhængighed.
- ☐ En klar markering af, hvor den eksterne selv har bidraget, så revisionen kan se på netop dét.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (eur-lex.europa.eu): art. 5, stk. 2, litra f, om revisionsplaner og revisioner, art. 6, stk. 5 til 7, om gennemgang, intern revision og opfølgning, art. 16, stk. 2, for den forenklede ramme.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kontrolfunktionen efter DORA · Ledelsesorganets ansvar efter DORA
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
