Artikel 5 i DORA er den bestemmelse, der placerer IKT-risikoen hos ledelsen. Efter stk. 2 er det ledelsesorganet, der “fastlægger, godkender, fører tilsyn med og har ansvar for gennemførelsen af alle ordninger” i rammen for IKT-risikostyring. Derefter følger ni opgaver, litra a til i, som hver kræver en beslutning eller en fast gennemgang. Stk. 3 kræver desuden, at nogen i virksomheden har til opgave at overvåge aftalerne med IKT-leverandørerne. Denne artikel gør de ni opgaver til en liste over godkendelser, giver hver af dem en plads i bestyrelsens år og beskriver, hvad referaterne bør vise. Den er skrevet til mindre finansielle virksomheder uden egen CISO.
Hvem er ledelsesorganet hos jer?
Forordningen bruger ordet ledelsesorganet uden at tage stilling til, hvordan opgaverne fordeles mellem bestyrelse og direktion i et dansk selskab. Det bør derfor stå i forretningsordenen og i selve rammen, hvem der godkender hvad. En klar fordeling gør det også lettere at vise et tilsyn, at hver godkendelse er truffet af den rigtige instans.
Gælder den forenklede ramme i art. 16 for virksomheden, finder art. 5 ikke anvendelse. Reglerne for de virksomheder står i den forenklede ramme i artikel 16.
De ni opgaver i stk. 2
a) Det endelige ansvar. Ledelsesorganet “har det endelige ansvar for styringen af den finansielle enheds IKT-risiko”. Ledelsen kan lade andre udføre arbejdet og bevarer alligevel ansvaret. Referaterne bør vise, at ledelsen faktisk har forholdt sig til risikobilledet.
b) Politikker for tilgængelighed, autenticitet, integritet og fortrolighed. Ledelsesorganet indfører dem. I praksis betyder det en godkendt informationssikkerhedspolitik med de fire hensyn beskrevet, og en dato for næste gennemgang.
c) Roller og ansvar for alle IKT-funktioner. Hvem ejer driften, hvem ejer kontrollen, og hvem rapporterer til hvem? En oversigt over sikkerhedsorganisationen med navne og stedfortrædere dækker punktet.
d) Strategien for digital operationel modstandsdygtighed. Ledelsesorganet fastlægger og godkender den, herunder risikotoleranceniveauet. Indholdet er gennemgået i strategien for digital operationel modstandsdygtighed.
e) Driftsstabiliteten og planerne for indsats og genopretning. Her bruger forordningen tre verber: godkende, føre tilsyn med og gennemgå. En godkendelse ved indførelsen er altså utilstrækkelig, hvis planerne aldrig tages op igen.
f) Interne IKT-revisionsplaner og revisioner. Ledelsesorganet godkender planen og gennemgår resultaterne. Sammenhængen med den årlige gennemgang står i artiklen om den årlige gennemgang.
g) Budget. Ledelsesorganet tildeler og gennemgår et passende budget, som også dækker bevidstgørelse og kurser. Punktet hører naturligt sammen med virksomhedens almindelige budgetproces.
h) Politikken om IKT-tredjepartsudbydere. Den godkendes og gennemgås. Den beskriver, hvordan leverandører vælges, følges og udskiftes.
i) Indberetningskanaler. Ledelsesorganet skal indføre kanaler, så det bliver underrettet om aftaler med IKT-leverandører, om planlagte væsentlige ændringer og deres mulige virkninger på kritiske eller vigtige funktioner og om større IKT-relaterede hændelser. Punktet handler om, hvordan oplysningerne når frem til ledelsen.
Et årshjul for de ni punkter
Forordningen fastsætter ikke, i hvilken måned de enkelte punkter skal behandles. Et årshjul med fire bestyrelsesmøder kan se sådan ud:
- Første møde: godkendelse af den interne IKT-revisionsplan for året (f) og gennemgang af sidste års revisionsresultater.
- Andet møde: gennemgang af driftsstabilitetspolitikken og genopretningsplanerne, gerne sammen med resultatet af årets test (e), og gennemgang af politikken for tredjepartsudbydere (h).
- Tredje møde: gennemgang af strategien og risikotoleranceniveauet (d) og af politikkerne for informationssikkerhed (b) som led i den årlige gennemgang af rammen.
- Fjerde møde: budget for det kommende år, også til bevidstgørelse og kurser (g), og en kontrol af, at roller og ansvar stadig passer (c).
Indberetningskanalerne (i) har ingen fast plads, fordi de skal virke hele året. Et fast punkt på hvert møde om nye leverandøraftaler, væsentlige ændringer og større hændelser viser, at kanalen bruges. Det generelle årshjul for sikkerhedsarbejdet er beskrevet i årshjul for sikkerhed.
Stk. 3: overvågning af aftalerne med IKT-leverandørerne
Er virksomheden større end en mikrovirksomhed, kræver stk. 3 én af to løsninger. Enten får en funktion til opgave at holde øje med aftalerne om IKT-tjenester, eller også bliver en person fra den øverste ledelse udpeget til at føre tilsynet. Valget er en ledelsesbeslutning, og det bør stå i referatet, hvilken model der er valgt, og hvem der har opgaven.
I en mindre virksomhed er det ofte enklest at udpege en direktør. Den løsning kræver, at direktøren har overblikket, og at registret over aftalerne bliver holdt ajour. Registret er beskrevet i informationsregistret.
Det, referaterne skal kunne vise
Et tilsyn vil spørge efter beslutningerne. Referaterne bør derfor angive, hvilket dokument der blev godkendt, i hvilken version, og hvilke bemærkninger ledelsen havde. Ved gennemgange bør det fremgå, hvad der blev ændret, eller at ledelsen fandt dokumentet dækkende. Et bilag med en samlet beslutningslog for de ni punkter gør det let at se, om noget mangler.
Den eksterne CISO’s del
En ekstern CISO kan skrive udkastene til politikkerne og strategien, forberede beslutningsoplæggene til hvert møde og holde beslutningsloggen. Den eksterne kan også stå for rapporteringen gennem indberetningskanalen, så nye aftaler og hændelser når ledelsen i en fast form. Ansvaret efter litra a er fortsat ledelsesorganets.
Det skal I lade være med
- At godkende en politik uden dato for næste gennemgang · stk. 2 forudsætter, at dokumenterne tages op igen.
- At lade budgettet til kurser gå op i et samlet IT-budget · litra g nævner det særskilt.
- At udpege en direktør efter stk. 3 uden at give vedkommende overblikket · udpegningen skal kunne bære et tilsyn.
Det skal I kræve af den eksterne
- ☐ Beslutningslog for de ni punkter i art. 5, stk. 2.
- ☐ Et årshjul, der fordeler punkterne på bestyrelsens møder.
- ☐ Beslutningsoplæg med versionsnummer og en kort opsummering af ændringerne.
- ☐ Et fast punkt om nye aftaler, ændringer og hændelser på hvert møde.
- ☐ Et oplæg til valget efter stk. 3 med fordele og ulemper ved de to modeller.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (eur-lex.europa.eu): art. 5, stk. 2, litra a til i, og stk. 3 om ledelsesorganet, art. 16 om den forenklede ramme.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Bestyrelsens egen viden om IKT-risiko · Kontrolfunktionen efter DORA
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
