DORA artikel 24 kræver, at finansielle virksomheder, der ikke er mikrovirksomheder, har et testprogram for den digitale operationelle modstandsdygtighed, som er risikobaseret og hører under rammen for IKT-risikostyring. Testene udføres af specialister, og programmet bag dem hviler på beslutninger, som ledelsen skal træffe og kunne dokumentere: hvad der testes og hvorfor, hvem der må teste, hvordan fund følges op, og hvordan resultaterne når frem til ledelsesorganet. Denne artikel handler om de beslutninger. Selve testtyperne og den trusselsbaserede test er gennemgået andre steder, og der linkes til dem undervejs. Teksten bygger på forordningen og er ingen juridisk rådgivning.
Hvorfor testprogrammet er et ledelsesanliggende
Artikel 5, stk. 2, giver ledelsesorganet det endelige ansvar for styringen af IKT-risiko og pålægger det at fastlægge og godkende strategien for digital operationel modstandsdygtighed. Efter artikel 6, stk. 8, litra g, skal strategien omfatte gennemførelsen af test efter forordningens kapitel IV. Testprogrammet er dermed en del af det dokument, bestyrelsen selv godkender, se strategien for digital operationel modstandsdygtighed.
Testene er også ledelsens redskab til at se, om politikker og planer holder, når de bliver prøvet. Efter artikel 6, stk. 5, skal rammen gennemgås, når konklusioner fra test giver anledning til det.
Første beslutning: omfanget
Programmet skal være risikobaseret, og ledelsens del er at afgøre, hvilke systemer og funktioner der skal have mest opmærksomhed. Udgangspunktet er klassificeringen af kritiske eller vigtige funktioner, se kritiske eller vigtige funktioner.
Efter artikel 24, stk. 6, skal hvert system og hver applikation bag en kritisk eller vigtig funktion have en passende test mindst én gang årligt. Det er et minimum, som ledelsen kan bygge videre på. Ledelsen bør have forelagt en oversigt, der for hvert af disse systemer viser, hvornår det sidst blev testet, og hvornår næste test er planlagt. Mangler et system på oversigten, er det et spørgsmål til klassificeringen eller til programmet.
Omfanget skal også dække systemer, der drives af leverandører. Artikel 30, stk. 3, litra c, kræver for aftaler bag kritiske eller vigtige funktioner, at leverandørens beredskab og sikkerhedstiltag bliver testet. Om leverandørens egne test dækker jeres behov, eller om aftalen skal give jer adgang til at teste, bør afklares, før programmet godkendes.
Hvordan programmet kan sammensættes, og hvilke testtyper forordningen nævner, er forklaret i gennemgangen af testprogrammet på red-teaming.dk.
Anden beslutning: hvem der tester
Efter artikel 24, stk. 4, skal testene udføres af uafhængige parter. De kan være interne eller eksterne. Det afgørende er, at den, der tester, ikke vurderer sit eget arbejde. Driftsleverandøren, der har sat systemet op, er derfor sjældent det rette valg til at teste det.
Ledelsen bør beslutte, hvordan uafhængigheden sikres, og skrive begrundelsen ned. Bruges interne testere, skal det fremgå, hvorfor de er uafhængige af det, de tester. Bruges en ekstern, bør det stå i aftalen, at testeren ikke samtidig leverer drift eller løsninger på de samme systemer.
Tredje beslutning: opfølgningen
Efter artikel 24, stk. 5, skal de fund, testene giver, prioriteres og afhjælpes. Det er ofte her, programmet svigter. En test, hvis fund bliver liggende, giver dokumentation for et problem, virksomheden kendte.
Ledelsen bør fastsætte:
- Frister for afhjælpning efter fundenes alvor.
- Hvem der må acceptere et fund, der ikke afhjælpes, og på hvilket grundlag.
- Hvordan det kontrolleres, at et fund faktisk er lukket.
- Hvad ledelsen får at se, fx antallet af åbne alvorlige fund og fund, der har overskredet fristen.
Reglen for risikoaccept i almindelighed står i hvem må acceptere en risiko.
Fjerde beslutning: rapporteringen
Testresultaterne skal nå ledelsesorganet i en form, det kan handle på. Efter artikel 13, stk. 5, rapporterer højtstående IKT-personale mindst årligt til ledelsesorganet. Testprogrammet bør have en fast plads i den rapport med status på årets test, de væsentligste fund og afhjælpningen.
Budgettet hører med. Artikel 5, stk. 2, litra g, pålægger ledelsesorganet at tildele og gennemgå et passende budget. Testprogrammet bør derfor godkendes sammen med de midler, der skal til for at gennemføre testene og rette fundene.
Virksomheder med andre testregler
Artikel 24 retter sig mod de finansielle virksomheder, som ikke er mikrovirksomheder. Den forenklede ramme har sit eget krav i artikel 16, stk. 1, litra g, om regelmæssig test af planer og kontroller, og samspillet med testkapitlet bør afklares for den enkelte virksomhed. Testreglerne for de mindre virksomheder er gennemgået i en artikel om test uden TLPT på red-teaming.dk.
Enkelte virksomheder udpeges desuden til trusselsbaseret penetrationstest, TLPT, efter artikel 26. Udpegningen kommer fra myndighederne, og den lægger sig oven på programmet i artikel 24 uden at erstatte det.
Det skal I lade være med
- At lade driftsleverandøren teste sine egne systemer. Artikel 24 kræver uafhængige testere.
- At godkende et testprogram uden budget til afhjælpning. Fundene skal prioriteres og rettes.
- At modtage testrapporter uden en status på fundene. Ledelsen skal kunne se, hvad der stadig er åbent.
- At glemme systemerne hos leverandørerne. De kritiske eller vigtige funktioner kører ofte der.
Det skal I kræve af den eksterne
- ☐ Et udkast til testprogram, der bygger på klassificeringen af kritiske eller vigtige funktioner.
- ☐ En årsplan, der viser den årlige test af hvert system bag en kritisk eller vigtig funktion.
- ☐ Krav til testernes uafhængighed, som kan skrives ind i aftalerne.
- ☐ En procedure for prioritering, afhjælpning og kontrol af fund.
- ☐ Status på testprogrammet i den faste rapport til ledelsesorganet.
- ☐ Hjælp til at vælge testere uden økonomisk interesse i valget.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (EUR-Lex): art. 5, stk. 2, herunder litra g, art. 6, stk. 5 og stk. 8, litra g, art. 13, stk. 5, art. 16, stk. 1, litra g, art. 24, stk. 1 og 4 til 6, art. 26 og art. 30, stk. 3, litra c.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Den årlige gennemgang af IKT-risikostyringen · Hvem må acceptere en risiko?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
