Förordningen om digital operativ motståndskraft (DORA) gäller nu och sätter en gemensam standard för hur finansiella aktörer hanterar teknik- och cyberrisk i hela EU. Den omfattar långt fler än banker — betaltjänstföretag, försäkringsbolag, värdepappersbolag och många av deras it-leverantörer ingår.
Fem områden att organisera arbetet kring
DORA vilar på fem delar: hantering av ict-risk, incidentrapportering, test av motståndskraft, hantering av tredjepartsrisk och informationsdelning. Att se dem som ett sammanhängande program — inte fem separata projekt — är skillnaden mellan verklig efterlevnad och bockar i en lista.
Tredjepartsrisken är den känsliga punkten
De flesta företag är beroende av en väv av moln- och programvaruleverantörer. DORA förväntar sig att ni kartlägger dessa beroenden, bygger in motståndskraft och avvecklingsplaner i avtalen och löpande följer upp kritiska leverantörer. Här upptäcker många att de saknar en fullständig bild av sin egen leverantörskedja.
Var ni bör börja
- Bygg ett register över alla ict-avtal med tredje part och märk ut de kritiska.
- Definiera ert flöde för klassificering och rapportering av incidenter innan något händer.
- Planera in test av motståndskraft och dokumentera resultaten.
DORA belönar företag som kan bevisa motståndskraft, inte bara påstå den. De som agerar först lägger mindre tid på att släcka bränder och mer på att bygga förtroende hos både tillsynsmyndigheter och kunder.
