Vad som ändrades 2025
Förordningen om digital operativ motståndskraft gäller för finansiella enheter i EU från januari 2025 och anger hur de måste hantera IKT-risk, inklusive risken från tredjepartsleverantörer. De måste föra ett register över varje IKT-leverantör, bedöma var och en innan avtal ingås, ta in särskilda klausuler i varje avtal och tillämpa strängare regler där leverantören stödjer en kritisk eller viktig funktion. Frågeformuläret du får är bedömningen; avtalstillägget som följer är klausulerna.
Vad ett DORA-frågeformulär frågar om
Utöver de vanliga säkerhetsfrågorna kan du räkna med avsnitt du kanske inte sett förut:
- Din IKT-riskhantering: hur du identifierar, skyddar, upptäcker, hanterar och återställer, och vem som är ansvarig på ledningsnivå.
- Incidentrapportering: din klassificering, dina anmälningstider och om du kan stödja kundens egen rapportering till dess tillsynsmyndighet.
- Motståndskraftstestning: vilka tester du gör, hur ofta, och om du skulle delta i kundens hotbildsstyrda penetrationstester.
- Kontinuitet och exit: återställningsmål, testade kontinuitetsplaner, och hur kunden skulle avsluta eller migrera bort från din tjänst, med vilken hjälp och inom vilken tid.
- Underleverantörer: vilka dina egna leverantörer är, var de finns och hur du skulle informera kunden innan du byter dem.
- Plats: var data behandlas och lagras, och varifrån tjänsten drivs.
- Revisions- och åtkomsträtt: om kunden, dess revisorer och dess tillsynsmyndighet får granska dig, och hur.
Att svara som leverantör
De flesta rader besvaras från samma bibliotek som vilket säkerhetsfrågeformulär som helst. De DORA-specifika kräver ett beslut, inte bara ett faktum: vilken anmälningstid du förbinder dig till, vilken hjälp du ger vid avslut, om du godtar revisionsrätt och på vilka villkor, och hur långt varsel du ger innan du byter underbiträde. Besluta det en gång, tillsammans med den som skriver under dina avtal, skriv ner det och besvara varje DORA-frågeformulär med samma text. En leverantör som svarar konsekvent på de raderna hos alla kunder får det lättare i avtalsskedet, eftersom tillägget då stämmer med frågeformuläret.
Underlag de kommer att be om
En bestyrkanderapport om dina kontroller (ISAE 3000, ISAE 3402 eller SOC 2 Type II) förkortar granskningen avsevärt och är ofta skillnaden mellan ett frågeformulär och en revision på plats. Resultat från kontinuitetstester, incidenthanteringsplanen och listan över underbiträden efterfrågas nästan varje gång. Håll dem aktuella med datum; DORA-granskare kontrollerar datum. Responsemate håller underlagen bredvid svaren med ett utgångsdatum på varje, och tar fram utkast till frågeformulärets rader från de beslut du skrev ner en gång. Så hålls filer och underlag aktuella.
Vanliga frågor
Gäller DORA för programvaruleverantörer?
Inte direkt, om du inte utsetts till kritisk tredjepartsleverantör av IKT-tjänster. Men den gäller för dina finansiella kunder, och den säger dem i detalj vad de måste veta om dig och vad deras avtal med dig måste innehålla. Frågeformuläret och avtalstillägget är hur de uppfyller kraven.
Vad är en kritisk eller viktig funktion enligt DORA?
En funktion vars bortfall väsentligt skulle försämra den finansiella enhetens verksamhet, skyldigheter eller tillstånd. Om din tjänst stödjer en sådan kan du räkna med det längsta frågeformuläret, exitplaner, revisionsrätt och en post i registret med dina uppgifter.