Hva som endret seg i 2025
Digital Operational Resilience Act gjelder for finansforetak i EU fra januar 2025 og fastsetter hvordan de må styre IKT-risiko, inkludert risikoen fra tredjepartsleverandører. De må føre et register over hver IKT-leverandør, vurdere hver av dem før kontraktsinngåelse, ta inn bestemte klausuler i hver kontrakt, og anvende strengere regler der leverandøren støtter en kritisk eller viktig funksjon. Spørreskjemaet du mottar, er vurderingen; kontraktstillegget som følger, er klausulene.
Hva et DORA-spørreskjema spør om
Utover de vanlige sikkerhetsspørsmålene kan du vente deg seksjoner du kanskje ikke har sett før:
- Din IKT-risikostyring: hvordan du identifiserer, beskytter, oppdager, responderer og gjenoppretter, og hvem som er ansvarlig på ledelsesnivå.
- Hendelsesrapportering: din klassifisering, dine varslingstider, og om du kan støtte kundens egen rapportering til tilsynsmyndigheten.
- Motstandsdyktighetstesting: hvilken testing du gjør, hvor ofte, og om du ville deltatt i kundens trusselbaserte penetrasjonstesting.
- Forretningskontinuitet og exit: gjenopprettingsmål, testede kontinuitetsplaner, og hvordan kunden ville avsluttet eller migrert bort fra tjenesten din, med hvilken hjelp og innen hvilken tid.
- Underleverandører: hvem dine egne leverandører er, hvor de er, og hvordan du ville varslet kunden før du bytter dem.
- Lokasjon: hvor data behandles og lagres, og hvor tjenesten driftes fra.
- Revisjons- og tilgangsrettigheter: om kunden, kundens revisorer og tilsynsmyndighet kan kontrollere deg, og hvordan.
Å svare som leverandør
De fleste radene besvares fra samme bibliotek som ethvert sikkerhetsspørreskjema. De DORA-spesifikke krever en beslutning, ikke bare et faktum: hvilken varslingstid du forplikter deg til, hvilken exit-bistand du gir, om du godtar revisjonsrettigheter og på hvilke vilkår, og hvor lang varslingsfrist du gir før du bytter underdatabehandler. Bestem dette én gang, sammen med den som signerer kontraktene dine, skriv det ned, og besvar hvert DORA-spørreskjema med samme tekst. En leverandør som besvarer disse radene konsekvent på tvers av kunder, har det lettere i kontraktsfasen, fordi tillegget da stemmer med spørreskjemaet.
Dokumentasjon de vil be om
En attestasjonsrapport om kontrollene dine (ISAE 3000, ISAE 3402 eller SOC 2 Type II) forkorter gjennomgangen betydelig og er ofte forskjellen på et spørreskjema og en revisjon på stedet. Resultater fra kontinuitetstester, hendelsesplanen og listen over underdatabehandlere etterspørres nesten hver gang. Hold dem oppdatert med datoer; DORA-vurderere sjekker datoer. Responsemate holder dokumentasjonen ved siden av svarene med en utløpsdato på hver, og lager utkast til radene i spørreskjemaet fra beslutningene du skrev ned én gang. Slik holdes filer og dokumentasjon oppdatert.
Vanlige spørsmål
Gjelder DORA for programvareleverandører?
Ikke direkte, med mindre du er utpekt som kritisk IKT-tredjepartsleverandør. Men den gjelder for finanskundene dine, og den forteller dem i detalj hva de må vite om deg og hva kontrakten med deg må inneholde. Spørreskjemaet og kontraktstillegget er måten de etterlever den på.
Hva er en kritisk eller viktig funksjon under DORA?
En funksjon der svikt vesentlig ville svekke finansforetakets drift, forpliktelser eller konsesjon. Støtter tjenesten din en slik, kan du vente deg det lengste spørreskjemaet, exit-planer, revisjonsrettigheter og en registeroppføring med opplysningene dine.