Hvad ændrede sig i 2025
Digital Operational Resilience Act gælder for finansielle enheder i EU fra januar 2025 og beskriver, hvordan de skal håndtere IKT-risiko, herunder risikoen fra tredjepartsleverandører. De skal føre et register over hver IKT-leverandør, vurdere hver enkelt før kontraktindgåelse, medtage specifikke klausuler i hver kontrakt og anvende strengere regler, når leverandøren understøtter en kritisk eller vigtig funktion. Det spørgeskema, du modtager, er vurderingen; kontrakttillægget, der følger efter, er klausulerne.
Hvad et DORA-spørgeskema spørger om
Ud over de sædvanlige sikkerhedsspørgsmål kan du forvente afsnit, du måske ikke har set før:
- Din IKT-risikostyring: hvordan du identificerer, beskytter, opdager, reagerer og gendanner, og hvem der har ansvaret på ledelsesniveau.
- Hændelsesrapportering: din klassificering, dine varslingstider, og om du kan understøtte kundens egen rapportering til sin myndighed.
- Robusthedstest: hvilke test du udfører, hvor ofte, og om du ville deltage i kundens trusselsstyrede penetrationstest.
- Forretningskontinuitet og exit: genopretningsmål, testede kontinuitetsplaner, og hvordan kunden kan forlade eller migrere væk fra din tjeneste, med hvilken hjælp og inden for hvilken tid.
- Underleverandører: hvem dine egne leverandører er, hvor de er, og hvordan du vil informere kunden, før du ændrer dem.
- Placering: hvor data behandles og opbevares, og hvor tjenesten drives fra.
- Revision og adgangsrettigheder: om kunden, kundens revisorer og kundens myndighed kan inspicere jer, og hvordan.
At svare som leverandør
De fleste rækker besvares fra det samme bibliotek som ethvert sikkerhedsspørgeskema. De DORA-specifikke kræver en beslutning, ikke kun et faktum: hvilken underretningsfrist du forpligter dig til, hvilken exitbistand du tilbyder, om du accepterer revisionsrettigheder og på hvilke vilkår, og hvor lang varsel du giver, før du ændrer en underdatabehandler. Beslut det én gang sammen med dem, der underskriver dine kontrakter, skriv det ned, og besvar alle DORA-spørgeskemaer ud fra den samme tekst. En leverandør, der besvarer de rækker ens på tværs af kunder, får lettere ved kontraktfasen, fordi tillægget så matcher spørgeskemaet.
Det underlag, de vil bede om
En erklæringsrapport om dine kontroller, ISAE 3000, ISAE 3402 eller SOC 2 Type II, forkorter gennemgangen betydeligt og er ofte forskellen på et spørgeskema og en audit på stedet. Resultater af kontinuitetstest, planen for håndtering af sikkerhedshændelser og listen over underdatabehandlere bliver efterspurgt næsten hver gang. Hold dem ajour med datoer, DORA-gennemgange kontrollerer datoer. Responsemate opbevarer dokumentationen ved siden af svarene med en udløbsdato på hver og laver udkast til spørgeskemarækkerne ud fra de beslutninger, du skrev ned én gang. Sådan holdes filer og dokumentation ajour.
Spørgsmål, folk stiller
Gælder DORA for softwareleverandører?
Ikke direkte, medmindre du er udpeget som kritisk tredjepartsudbyder af ICT. Men det gælder for dine finansielle kunder, og det beskriver i detaljer, hvad de skal vide om dig, og hvad deres kontrakt med dig skal indeholde. Spørgeskemaet og kontrakttillægget er den måde, de overholder kravene på.
Hvad er en kritisk eller vigtig funktion under DORA?
En funktion, hvor et svigt væsentligt ville forringe den finansielle enheds resultater, forpligtelser eller tilladelse. Hvis din service understøtter en sådan funktion, kan du forvente det længste spørgeskema, exitplaner, revisionsrettigheder og en registerpost med dine oplysninger.