DORA for finansielle virksomheder: ledelsens ansvar

DORA, forordning (EU) 2022/2554, har fundet anvendelse siden den 17. januar 2025 og gælder direkte for en lang række finansielle virksomheder. Efter art. 5, stk. 2, litra a, er det ledelsesorganet, der bærer det endelige ansvar for at styre IKT-risikoen. Siden samler artiklerne om DORA set fra direktion og bestyrelse i en mindre finansiel virksomhed uden egen CISO: hvad forordningen kræver af ledelsen, hvilke beslutninger der skal stå i referatet, og hvad en ekstern CISO konkret kan udføre. Artiklerne er ikke juridisk rådgivning.

Det, der går igen

Tre spørgsmål kommer op i næsten alle artiklerne. Hvilke funktioner er kritiske eller vigtige? Hvem i ledelsen ejer den enkelte pligt? Og hvilken dokumentation kan udleveres, når Finanstilsynet beder om den? Svarene hænger sammen med det almindelige sikkerhedsarbejde under risikovurdering og sikkerhedsstrategi, leverandørstyring og beredskab.

Er I omfattet?

• Er vi omfattet af DORA? De danske virksomhedstyper gennemgået Art. 2 opregner typerne og undtagelserne, og svaret skal stå på skrift.
• DORA eller NIS2: hvilke regler gælder for en finansiel virksomhed? DORA er grundlaget for de finansielle enheder, og NIS2-reglerne i finans står i lov om finansiel virksomhed, kapitel 19 c.
• Forsikringsmægler eller -agent: hvorfor de fleste står uden for DORA Undtagelsen for formidlere afhænger af størrelsen, og vurderingen skal gentages, når virksomheden vokser.
• Den forenklede ramme i artikel 16: hvem den gælder, og hvad den stadig kræver Fem virksomhedstyper har otte samlede krav i stedet for art. 5 til 15.
• Mikrovirksomhed under DORA: de lempelser, der findes, og dem, der ikke findes Kontrolfunktion, intern revision og testprogram falder bort, men ledelsesorganets ansvar er det samme.
• Uden for DORA, men ikke uden IT-krav Gruppe 2-forsikringsselskaber har bilag 4 med bestyrelsens IT-sikkerhedspolitik og en beredskabsplan, der testes.
• Hvad skete der med Finanstilsynets IT-regler, da DORA trådte i kraft? Bilag 5 i ledelsesbekendtgørelsen er ophævet, og den gamle IT-sikkerhedspolitik skal holdes op mod forordningen.

Ledelse og organisering

• Ledelsesorganets ansvar efter DORA: det, bestyrelsen selv skal godkende Godkendelserne og gennemgangene i art. 5, stk. 2, med en fast plads i årshjulet.
• Bestyrelsens egen viden om IKT-risiko: kravet i artikel 5, stk. 4 Medlemmerne skal holde deres viden ajour, og det skal kunne dokumenteres.
• Kontrolfunktionen efter DORA: uafhængighed, tre forsvarslinjer og hvor en ekstern CISO passer ind Art. 6, stk. 10, tillader outsourcing af efterprøvningen, og ansvaret bliver hos virksomheden.
• Strategien for digital operationel modstandsdygtighed: indholdet og bestyrelsens godkendelse Otte punkter i art. 6, stk. 8, med risikotoleranceniveauet som det, bestyrelsen skal tage stilling til.
• Den årlige gennemgang af rammen for IKT-risikostyring og den interne revision Gennemgangen, rapporten til myndigheden og opfølgningen på revisionen.

Hændelser, beredskab og test

• IKT-driftsstabilitet, indsats og genopretning: det, DORA kræver af beredskabet Politik, planer, krisestyring, backup og gendannelse efter art. 11 og 12.
• Hvornår er det en større IKT-relateret hændelse? Klassificeringen efter DORA Kriterierne i art. 18, og hvem der klassificerer uden for arbejdstid.
• Indberetning til Finanstilsynet: 4 timer, 72 timer og en måned De tre meldinger, og hvad ledelsen godkender i hver af dem.
• Kunderne skal have besked: underretning og kommunikation ved en større IKT-hændelse Pligten i art. 19, stk. 3, og planerne for kommunikation.
• Ledelsen og testprogrammet: det, bestyrelsen skal sikre om test efter DORA Et risikobaseret program med uafhængige testere, set fra ledelsens beslutninger.

IT-leverandører og aftaler

• Informationsregistret: hvad det er, og hvem i ledelsen der ejer det Registret over alle aftaler om IKT-tjenester, som indberettes til Finanstilsynet hvert år.
• Kritiske eller vigtige funktioner: klassificeringen, der styrer resten af DORA Beslutningen, der afgør kravene til kontrakter, test og beredskab, og som skal tages op igen.
• Kontrakten med IT-leverandøren efter DORA artikel 30, set fra ledelsen Kravene til alle IKT-aftaler og de ekstra krav ved kritiske eller vigtige funktioner.
• Før en ny IKT-aftale: vurderingen, koncentrationsrisikoen og underretningen af Finanstilsynet Vurderingen før underskriften, koncentrationsrisikoen og underretningen via virk.dk.
• Kritiske tredjepartsudbydere af IKT-tjenester: hvad udpegningen betyder for jer som kunde De europæiske tilsynsmyndigheder udpeger leverandørerne, og ansvaret for jeres forpligtelser bliver hos jer.

Deling og tilsyn

• Deling af trusselsinformation efter DORA artikel 45 Udveksling i betroede fællesskaber, og hvem der beslutter, hvad der deles.
• Finanstilsynets IT-inspektion: det, ledelsen skal have klar Myndighedens beføjelser efter art. 50 og den dokumentation, der skal kunne udleveres på anmodning.

Når forordningen møder den mindre virksomhed

Efter art. 4 følger kravene virksomhedens størrelse, risikoprofil og kompleksitet. For en mindre virksomhed uden egen CISO er den største opgave at omsætte reglerne til dokumenter, ejere og faste punkter på bestyrelsens dagsorden. En ekstern CISO kan skrive udkastene og holde registret, mens godkendelserne bliver hos ledelsesorganet. Test og trusselsbaseret penetrationstest er beskrevet mere udførligt i red-teaming.dk’s gennemgang af testprogrammet.

Det skal I lade være med

• At lade IT-leverandøren eller koncernen besvare spørgsmålet om omfang · konklusionen hører hjemme i jeres eget referat.
• At genbruge en NIS2-dokumentation uden at tilpasse den · DORA har egne begreber, frister og modtagere.
• At udskyde klassificeringen af kritiske eller vigtige funktioner · den styrer kontrakter, test og beredskab.

Det skal I kræve af den eksterne

• ☐ Et omfangsnotat med henvisning til forordningens artikler.
• ☐ En oversigt over ledelsesorganets godkendelser med dato i årshjulet.
• ☐ Et informationsregister, der kan indberettes uden ekstraarbejde i marts.
• ☐ En klar grænse mellem det, den eksterne udfører, og det, I selv har ansvaret for.

Senest gennemgået: november 2026.

Næste skridt

• Er vi omfattet af DORA?
• Ledelsesorganets ansvar efter DORA

Læs også: Leverandørstyring på sikkerhed · Bestyrelsen og cybersikkerheden

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT