Finanstilsynet påser, at danske finansielle virksomheder overholder DORA, og har beføjelser til at kræve dokumenter, gennemføre inspektioner og kræve korrigende foranstaltninger. Flere af forordningens bestemmelser forudsætter desuden, at bestemte oplysninger kan forelægges myndigheden, når den beder om dem. For direktion og bestyrelse betyder det, at dokumentationen skal findes og kunne udleveres, før en inspektion bliver varslet. Artiklen gennemgår grundlaget for tilsynet, de dokumenter, forordningen selv peger på, og hvordan ledelsen kan forberede sig.
Grundlaget for tilsynet
Art. 46 i forordningen (EU) 2022/2554 overlader tilsynet til de kompetente myndigheder, og i Danmark er det for de fleste typer finansielle virksomheder Finanstilsynet. Lov nr. 481 af 22. maj 2024 indsatte DORA i § 344, stk. 1, i lov om finansiel virksomhed, hvor det fremgår, at Finanstilsynet påser overholdelsen.
Art. 50 giver myndighederne de beføjelser, de skal bruge. De omfatter adgang til dokumenter, inspektioner og undersøgelser og muligheden for at kræve korrigerende foranstaltninger. Medlemsstaterne fastsætter reglerne om administrative sanktioner.
Finanstilsynet offentliggør redegørelser om sine IT-inspektioner.
De dokumenter, forordningen selv nævner
Flere bestemmelser siger direkte, at noget skal kunne forelægges myndigheden. Det giver et godt udgangspunkt for, hvad der skal være klar:
- Oplysninger om rammen for IKT-risikostyring. Art. 6, stk. 3, kræver, at oplysninger om rammen forelægges myndigheden på anmodning.
- Rapporten om den årlige gennemgang. Art. 6, stk. 5, kræver, at rammen gennemgås årligt og efter større hændelser, og at rapporten om gennemgangen forelægges på anmodning.
- Det fulde informationsregister. Art. 28, stk. 3, kræver, at hele registret over aftaler om IKT-tjenester kan forelægges på anmodning, ud over den årlige indberetning.
- Indberetningerne om større hændelser. Rapporterne efter art. 19 er allerede sendt, men grundlaget for klassificeringen bør kunne vises.
Hertil kommer de dokumenter, som ledelsesorganet skal godkende efter art. 5, stk. 2. Det er blandt andet strategien for digital operationel modstandsdygtighed, politikken for IKT-driftsstabilitet med tilhørende planer for indsats og genopretning, de interne IKT-revisionsplaner og politikken for brug af IKT-leverandører. En inspektion vil naturligt spørge til, hvordan og hvornår de er godkendt og gennemgået.
Ledelsens spor i dokumentationen
Mange af forordningens krav retter sig mod ledelsesorganet, og derfor bør dokumentationen også vise, hvad ledelsen har gjort. Det betyder i praksis:
- Godkendelser med dato. Referater, der viser, at bestyrelsen har godkendt strategi, politikker og planer, og hvilken version der blev godkendt.
- Gennemgange. Dokumentation for, at ledelsen har gennemgået politikker og planer, når forordningen kræver det.
- Budget. Beslutningen om budget til IKT-risikostyring, bevidstgørelse og kurser efter art. 5, stk. 2, litra g.
- Egen viden. Oplysninger om de kurser, medlemmerne af ledelsesorganet har fulgt efter art. 5, stk. 4.
- Indberetningskanaler. Hvordan ledelsen får besked om aftaler, væsentlige ændringer og hændelser efter art. 5, stk. 2, litra i.
Et dokument uden dato, version og godkendelse er svært at bruge som bevis. Hvordan dokumenterne kan ordnes og ejes, står i sikkerhedsdokumenternes hierarki og ejerskab af sikkerhedsdokumenter.
Leverandørernes del
Mange af de systemer, en inspektion interesserer sig for, drives af leverandører. Art. 30, stk. 2, litra g, kræver, at kontrakten pålægger leverandøren at samarbejde med myndighederne, og for kritiske eller vigtige funktioner giver art. 30, stk. 3, litra e, også myndigheden adgang, inspektion og revision hos leverandøren. Gennemgå derfor, om jeres aftaler rummer bestemmelserne, og aftal med de vigtigste leverandører, hvem der er kontaktperson, hvis tilsynet henvender sig. Kravene til kontrakten står samlet under kontraktkrav efter DORA.
Forberedelsen
En inspektion bliver lettere, når materialet er samlet på forhånd. Forberedelsen kan bygges op i fire skridt:
- Lav en indholdsfortegnelse. List de dokumenter, forordningen nævner, og de godkendelser, ledelsen har givet, med placering og ejer.
- Kontrollér datoer og versioner. Notér for hvert dokument, hvornår det senest er godkendt og gennemgået.
- Find hullerne. Mangler der en godkendelse, en gennemgang eller en rapport, føres punktet ind som en opgave med ejer og frist.
- Udpeg kontaktpersoner. Bestem, hvem der tager imod tilsynet, hvem der svarer på spørgsmål om IKT-risiko, og hvem der taler med leverandørerne.
Indholdsfortegnelsen gennemgås mindst én gang om året, gerne i forbindelse med den årlige gennemgang af rammen. Den samme fremgangsmåde for tilsyn efter NIS2 er beskrevet i tilsyn efter NIS2.
Når tilsynet finder noget
Kræver Finanstilsynet korrigerende foranstaltninger, er det en ledelsesopgave at sikre, at de gennemføres. Hver foranstaltning bør have en ejer, en frist og en status, der rapporteres til bestyrelsen, til den er lukket. Art. 6, stk. 5, nævner tilsynsinstrukser som en anledning til at gennemgå rammen, så konklusionerne skal også føres ind i rammen og strategien. Hvordan opfølgningen kan organiseres, står i korrigerende foranstaltninger.
Det skal I lade være med
- At samle dokumentationen, når inspektionen er varslet. Huller bliver tydelige under tidspres.
- At gemme politikker uden dato og godkendelse. I skal kunne vise, hvad der gjaldt hvornår.
- At overse leverandørernes rolle. Tilsynet kan have brug for adgang til systemer, I ikke selv driver.
- At lade korrigerende foranstaltninger stå uden ejer. Bestyrelsen skal kunne følge dem til de er lukket.
Det skal I kræve af den eksterne
- ☐ En indholdsfortegnelse over de dokumenter, forordningen kræver kan forelægges, med ejer og placering.
- ☐ En kontrol af datoer, versioner og godkendelser i ledelsens referater.
- ☐ En gennemgang af leverandøraftalernes bestemmelser om samarbejde med myndigheden.
- ☐ En liste over kontaktpersoner ved tilsyn, også hos leverandørerne.
- ☐ En status til bestyrelsen på åbne korrigerende foranstaltninger.
Kilder
- Forordning (EU) 2022/2554 (DORA), EUR-Lex: art. 5, stk. 2 og 4, art. 6, stk. 3 og 5, art. 19, art. 28, stk. 3, art. 30, stk. 2, litra g, og stk. 3, litra e, art. 46 og art. 50.
- Lov nr. 481 af 22. maj 2024 (retsinformation.dk): DORA i § 344, stk. 1, i lov om finansiel virksomhed.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ledelsesorganets ansvar efter DORA · Informationsregistret
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
