For en finansiel virksomhed under DORA er beredskabet en fast del af rammen for IKT-risikostyring, og ledelsesorganet har selv en rolle i det. Artikel 5, stk. 2, litra e, pålægger ledelsesorganet at godkende, føre tilsyn med og gennemgå politikken for IKT-driftsstabilitet og de tilhørende planer for indsats og genopretning. Indholdet står i artikel 11 og 12: en politik, planer, en analyse af konsekvenserne for forretningen, en krisestyringsfunktion, test af planerne, backup og gendannelse samt mål for, hvor hurtigt og fra hvilket punkt driften skal genoprettes. Denne artikel gennemgår kravene set fra direktion og bestyrelse og peger på de beslutninger, der skal stå i et referat. Artiklen er ikke juridisk rådgivning.
Hvad ledelsesorganet skal godkende
Politikken for IKT-driftsstabilitet er det overordnede dokument. Den beskriver, hvordan virksomheden vil holde sine kritiske eller vigtige funktioner kørende, når IKT svigter, og hvordan den kommer tilbage til normal drift. Under politikken ligger planerne for indsats og genopretning, som omsætter den til konkrete trin.
Ledelsesorganets opgave efter artikel 5 har tre led. Det godkender politikken og planerne, det fører tilsyn med, at de bliver gennemført, og det gennemgår dem med jævne mellemrum. Hvert led bør kunne genfindes i bestyrelsens årshjul, så en revisor eller Finanstilsynet kan se, hvornår planerne sidst blev forelagt, og hvad der blev besluttet. Grundlaget for årshjulet som helhed er beskrevet i ledelsesorganets ansvar efter DORA.
Hvilke funktioner der er kritiske eller vigtige, styrer omfanget af hele beredskabet. Den klassificering bør ligge fast, før planerne skrives, se kritiske eller vigtige funktioner.
Artikel 11: politik, analyse og krisestyring
Artikel 11 samler beredskabets byggesten. Fire af dem har direkte betydning for ledelsen.
- Forretningskonsekvensanalysen (stk. 5). Virksomheden skal vurdere, hvad alvorlige forstyrrelser betyder for forretningen. Analysen er udgangspunktet for, hvilke funktioner der genoprettes først, og den kræver forretningens vurdering. Prioriteringen mellem fx betalinger, kundeservice og intern rapportering er en ledelsesbeslutning.
- Krisestyringsfunktionen (stk. 7). Der skal være en funktion, der træder til ved en krise og har mandat til at handle. Ledelsen afgør, hvem der sidder i den, hvem der leder den, og hvem der overtager, når lederen er fraværende.
- Test af planerne (stk. 4). Planerne skal testes regelmæssigt. En plan, der aldrig er afprøvet, siger meget lidt om, hvad der faktisk sker en fredag aften.
- Uafhængig intern revision (stk. 3). Virksomheder, der ikke er mikrovirksomheder, skal lade planerne gennemgå af en uafhængig intern revision. Revisionens konklusioner skal følges op på samme måde som andre revisionsfund.
Kommunikationen hører med i samme helhed. Strategien for digital operationel modstandsdygtighed skal efter artikel 6, stk. 8, litra h, fastlægge en kommunikationsstrategi ved hændelser, og artikel 14 stiller krav til kommunikationsplanerne. Den del er beskrevet i kommunikation ved en større IKT-hændelse.
Artikel 12: backup, gendannelse og genopretning
Artikel 12 handler om data og systemer. Virksomheden skal have politikker og procedurer for backup og for gendannelse. Tre krav er værd at kende for ledelsen.
Gendannelse skal ske på IKT-systemer, der er adskilt fra kildesystemet (stk. 3). Formålet er, at en angriber eller en fejl, der har ramt produktionen, ikke samtidig rammer det sted, hvor data skal hentes tilbage fra. Spørgsmålet til leverandøren er derfor, hvor backuppen ligger, og om den kan nås med de samme adgange som produktionen.
Virksomheder, der ikke er mikrovirksomheder, skal have redundante IKT-kapaciteter (stk. 4). Valget afhænger af funktionernes betydning og af risikoen, og det har en omkostning, som ledelsen skal tage stilling til.
Virksomheden skal fastsætte mål for genopretningstid og genopretningspunkt (stk. 6). Genopretningstiden, ofte kaldet RTO, er den tid, der højst må gå, før en funktion kører igen. Genopretningspunktet, RPO, angiver, hvor gamle data der højst må være efter en gendannelse, og dermed hvor meget arbejde der kan gå tabt. Begge mål er forretningsvalg. Et kort mål kræver mere af teknik og leverandører, et langt mål betyder længere tid uden tjenesten. Målene skal kunne holdes op mod det, driftsaftalen faktisk lover.
Når en leverandør driver systemerne
I mindre finansielle virksomheder ligger driften ofte hos en IT-leverandør eller i en cloudtjeneste. Ansvaret flytter ikke med. Efter artikel 28, stk. 1, litra a, hæfter virksomheden altid fuldt ud for, at forordningens krav bliver opfyldt. Ligger aftalen bag en kritisk eller vigtig funktion, skal leverandørens egne beredskabsplaner og sikkerhedsforanstaltninger desuden afprøves, jf. artikel 30, stk. 3, litra c.
Beredskabet hos jer og hos leverandøren skal derfor passe sammen. Lover jeres plan en genopretning inden for et bestemt tidsrum, og har leverandøren aftalt et længere, er det jeres plan, der ikke holder. Hvordan kravene skrives ind i aftalen, er gennemgået i kontrakten med IT-leverandøren efter DORA og mere generelt i leverandørstyring.
Den forenklede ramme og mikrovirksomheder
Virksomheder, som hører under den forenklede ramme (artikel 16), er ikke omfattet af artikel 11 og 12. De skal i stedet have planer, der holder de kritiske eller vigtige funktioner i gang, og planerne skal mindst dække backup og gendannelse (stk. 1, litra f). Planerne skal også testes regelmæssigt (litra g). Kravene er færre, men ledelsen skal fortsat kunne vise planerne og resultatet af testene, se den forenklede ramme.
Mikrovirksomheder er omfattet af artikel 11 og 12, men nogle af kravene gælder kun for virksomheder, der ikke er mikrovirksomheder, fx den uafhængige interne revision af planerne og de redundante kapaciteter. Definitionen i artikel 3, nr. 60, bygger på to forhold: færre end 10 ansatte, og en omsætning eller balance, der ikke overstiger grænsen i definitionen.
Beredskabet efter en hændelse
Efter en større IKT-relateret hændelse skal rammen for IKT-risikostyring gennemgås (artikel 6, stk. 5). Det gælder også politikken og planerne for indsats og genopretning. Ledelsen bør efter hver større hændelse få forelagt, om planerne virkede, hvor de svigtede, og hvilke rettelser der foreslås. Beslutningen om rettelserne og deres finansiering skal stå i referatet. Det generelle beredskabsarbejde set fra ledelsen er samlet under beredskab.
Det skal I lade være med
- At godkende en plan, ingen har testet. Kravet om test står i artikel 11, og resultatet skal kunne vises.
- At lade leverandøren fastsætte genopretningsmålene. Målene udspringer af jeres forretning og skal derefter afstemmes med aftalen.
- At opbevare backup med samme adgange som produktionen. Gendannelsen skal kunne ske fra adskilte systemer.
- At springe forretningskonsekvensanalysen over. Uden den mangler prioriteringen i planerne et grundlag.
Det skal I kræve af den eksterne
- ☐ Et udkast til politik for IKT-driftsstabilitet, der kan forelægges ledelsesorganet.
- ☐ En forretningskonsekvensanalyse, hvor ledelsen fastsætter prioriteringen.
- ☐ Forslag til mål for genopretningstid og genopretningspunkt for hver kritisk eller vigtig funktion.
- ☐ En sammenligning af målene med det, driftsaftalerne lover.
- ☐ En testplan for beredskabet og en kort rapport efter hver test.
- ☐ Opfølgning på den interne revisions konklusioner i den faste rapport til ledelsen.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (EUR-Lex): art. 5, stk. 2, litra e, art. 6, stk. 5 og stk. 8, litra h, art. 11, stk. 3, 4, 5 og 7, art. 12, stk. 3, 4 og 6, art. 14, art. 16, stk. 1, litra f og g, art. 28, stk. 1, litra a, og art. 30, stk. 3, litra c.
- Delegeret forordning (EU) 2024/1774 (EUR-Lex): detaljer om den forenklede ramme i afsnit III.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvornår er det en større IKT-relateret hændelse? · Ledelsen og testprogrammet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
