DORA kræver, at en finansiel virksomhed har en strategi for digital operationel modstandsdygtighed, som indgår i virksomhedens ramme for IKT-risikostyring. Art. 6, stk. 8, opregner i litra a til h, hvad strategien skal indeholde, og art. 5, stk. 2, litra d, lægger opgaven med at fastlægge og godkende den hos ledelsesorganet, herunder det passende risikotoleranceniveau. Strategien er det dokument, der forbinder forretningsstrategien med de konkrete krav til sikkerhed, drift og leverandører. Her gennemgår vi de otte elementer, de beslutninger, bestyrelsen skal træffe undervejs, og hvordan strategien holdes levende efter godkendelsen.
Hvem skal have en strategi?
Kravet står i art. 6 og gælder dermed ikke for de enheder, art. 16 giver en forenklet ramme, da art. 5 til 15 ikke finder anvendelse for dem. Øvrige finansielle enheder skal have strategien. Størrelse og risikoprofil har betydning for omfanget, fordi reglerne efter art. 4 gennemføres under hensyn til proportionalitet. En mindre virksomhed kan derfor have en kort strategi, så længe alle otte elementer er behandlet.
De otte elementer
a) Sammenhængen med forretningsstrategien. Strategien skal redegøre for, hvordan rammen for IKT-risikostyring understøtter virksomhedens forretningsstrategi. Bestyrelsens spørgsmål: hvilke planer for de kommende år, fx nye produkter, nye kanaler eller skift af kernesystem, ændrer IKT-risikoen?
b) Risikotoleranceniveauet. Strategien skal fastlægge, hvor meget IKT-risiko virksomheden vil acceptere,. Det er den vigtigste beslutning i dokumentet, og den behandles særskilt nedenfor.
c) Informationssikkerhedsmål med nøgletal. Strategien skal fastsætte informationssikkerhedsmål med nøgletal. Bestyrelsens spørgsmål: hvilke få tal vil vi følge hvert kvartal for at se, om målene nås? Inspiration til valget findes i nøgletal for sikkerhed.
d) IKT-referencearkitekturen. Strategien skal redegøre for virksomhedens IKT-referencearkitektur. For bestyrelsen er det nok at forstå de hovedlinjer, som beslutningerne om investeringer bygger på.
e) Mekanismer til detektion og beskyttelse. Strategien beskriver de mekanismer, virksomheden bruger til at opdage IKT-relaterede hændelser og beskytte sig mod dem. Bestyrelsens spørgsmål: hvem opdager et angreb uden for arbejdstid, og hvor hurtigt?
f) Status ud fra hændelser og forebyggelse. Strategien dokumenterer den aktuelle modstandsdygtighed ud fra de indberettede større IKT-relaterede hændelser og forebyggelsens effektivitet. Elementet gør strategien til et dokument, der skal opdateres med virkeligheden.
g) Test. Strategien skal gennemføre test af den digitale operationelle modstandsdygtighed efter forordningens kapitel IV. Ledelsens opgaver omkring testprogrammet er beskrevet i ledelsen og testprogrammet.
h) Kommunikationsstrategien ved hændelser. Strategien skal fastlægge, hvordan der kommunikeres ved IKT-relaterede hændelser. Kommunikationen med kunderne ved en større hændelse er gennemgået i kunderne skal have besked.
Efter stk. 9 kan strategien også omfatte en strategi for brug af flere IKT-udbydere, hvis virksomheden vælger det.
Risikotoleranceniveauet
Litra b og art. 5, stk. 2, litra d, nævner begge risikotoleranceniveauet. Det er altså en beslutning, som ledelsesorganet selv skal træffe.
Et brugbart risikotoleranceniveau skrives i forretningens sprog. Det kan fx sige, hvor længe en kritisk eller vigtig funktion højst må være utilgængelig, hvor meget data virksomheden kan tåle at miste, og hvilke typer risiko der aldrig accepteres, uanset omkostningen ved at fjerne dem. Formuleringerne skal kunne bruges, når en konkret risiko senere skal vurderes. Hvordan ledelsen formulerer sin vilje til at tåle risiko, er beskrevet i risikovillighed, og hvem der må acceptere den enkelte risiko, står i hvem må acceptere en risiko?.
Toleranceniveauet hænger sammen med beredskabet. De mål for genopretning, som beredskabet efter art. 11 og 12 bygger på, bør passe til de grænser, strategien sætter.
Godkendelsen
Ledelsesorganet fastlægger og godkender strategien efter art. 5, stk. 2, litra d. En god godkendelse indeholder tre ting i referatet:
- den godkendte version med dato,
- ledelsesorganets egen formulering af risikotoleranceniveauet, hvis den er justeret i forhold til udkastet,
- en dato for næste gennemgang og en ejer af opdateringerne.
Fordi strategien er en del af rammen, er den årlige gennemgang af rammen efter art. 6, stk. 5, det naturlige tidspunkt at tage den op igen. Større hændelser og nye forretningsplaner kan give anledning til at gøre det tidligere.
Forskellen fra en almindelig sikkerhedsstrategi
Mange virksomheder har allerede en sikkerhedsstrategi, fx skrevet med NIS2 eller en kundes krav for øje. Den kan bruges som grundlag. Strategien efter DORA har dog elementer, som en almindelig sikkerhedsstrategi ofte ikke har, især referencearkitekturen, statusopgørelsen ud fra indberettede hændelser og kommunikationsstrategien. En gennemgang af den eksisterende strategi mod de otte litra viser hurtigt, hvad der mangler. Den generelle tilgang til en sikkerhedsstrategi står i artiklen om sikkerhedsstrategi.
Opgaverne for en ekstern CISO
Med en ekstern CISO kan strategien blive skrevet i udkast med alle otte elementer. Den eksterne kan også forberede ledelsesorganets drøftelse af risikotoleranceniveauet og foreslå de nøgletal, målene følges med. Statusopgørelsen efter litra f kan den eksterne holde ajour mellem gennemgangene. Fastlæggelsen og godkendelsen er ledelsesorganets beslutning.
Det skal I lade være med
- At formulere risikotoleranceniveauet i tekniske termer · bestyrelsen skal kunne bruge det, når en risiko skal vurderes.
- At godkende strategien én gang og lægge den væk · litra f forudsætter, at den opdateres med hændelser og resultater.
- At genbruge en sikkerhedsstrategi uden at holde den op mod de otte litra · flere elementer er særlige for DORA.
Det skal I kræve af den eksterne
- ☐ Strategien i udkast, med hvert af de otte elementer i stk. 8 behandlet.
- ☐ Et oplæg til risikotoleranceniveauet formuleret i forretningens sprog.
- ☐ Nøgletal til hvert informationssikkerhedsmål.
- ☐ En sammenhæng mellem toleranceniveauet og genopretningstiderne i beredskabet.
- ☐ En statusopgørelse, der opdateres efter større hændelser og test.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (eur-lex.europa.eu): art. 4 om proportionalitet, art. 5, stk. 2, litra d, om godkendelsen, art. 6, stk. 5, 8 og 9 om rammen og strategien, art. 11 og 12 om indsats og genopretning, art. 16 om den forenklede ramme.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ledelsesorganets ansvar efter DORA · Den årlige gennemgang af IKT-risikostyringen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
