DORA-Compliance for SMV'er: Hvad skal I vide som finansvirksomhed?

Som finansiel virksomhed eller fintech-SMV står I over for nye og skærpede krav med indførelsen af DORA-forordningen (Digital Operational Resilience Act). Denne EU-forordning har til formål at styrke den digitale operationelle modstandsdygtighed i den finansielle sektor og kræver, at I systematisk identificerer, beskytter mod, detekterer, håndterer og rapporterer cybertrusler og ICT-relaterede forstyrrelser. Forordningen trådte i kraft den 16. januar 2023 og skal være fuldt implementeret inden 17. januar 2025.

Hvad er DORA-forordningen, og hvem gælder den for?

DORA afspejler en anerkendelse af den finansielle sektors afhængighed af informations- og kommunikationsteknologi (IKT) og behovet for at sikre modstandsdygtighed over for digitale forstyrrelser. Forordningen gælder for en bred vifte af finansielle enheder, herunder banker, forsikringsselskaber, investeringsselskaber, kryptovalutaudbydere og også tredjepartsudbydere af kritiske IKT-tjenester. Formålet er at etablere en harmoniseret ramme på tværs af EU, der sikrer, at finansielle virksomheder kan modstå, reagere på og genoprette sig efter alle typer af IKT-relaterede forstyrrelser og trusler – fra cyberangreb til systemnedbrud. Dette sikrer fortsat funktionalitet selv under pres.

Nøgleområder og krav i DORA for SMV'er

DORA fokuserer på fem primære søjler, som er afgørende for jeres **DORA-compliance**: IKT-risikostyring, håndtering af IKT-hændelser, test af digital operationel modstandsdygtighed, styring af tredjeparts-IKT-risici og informationsdeling. For SMV'er er det vigtigt at fokusere på:

• **IKT-risikostyring (Artikel 6-15):** I skal have et robust IKT-risikostyringsrammeværk, der proaktivt identificerer, vurderer og mitigerer risici relateret til jeres IKT-systemer og processer. Dette inkluderer at dokumentere og forstå jeres digitale aktiver og afhængigheder.
• **Håndtering af IKT-hændelser (Artikel 17-22):** Effektive processer skal være på plads for at registrere, klassificere, spore og rapportere IKT-relaterede hændelser, herunder cyberangreb, hurtigt og konsistent til relevante myndigheder. Dette kræver en klar incident response-plan.
• **Test af digital operationel modstandsdygtighed (Artikel 24-27):** Regelbunden testning af jeres IKT-systemer og -værktøjer er et krav. Dette omfatter sårbarhedsscanninger og penetrationstests for at sikre, at jeres forsvar er effektivt.
• **Styring af tredjeparts-IKT-risici (Artikel 28-32):** Mange SMV'er benytter eksterne IKT-leverandører. DORA stiller krav til en grundig risikovurdering og løbende overvågning af disse tredjeparter for at sikre, at jeres afhængigheder ikke skaber unødige risici. Dette gælder for eksempel cloud-leverandører og softwareudbydere.

Sådan kommer I i gang med DORA-compliance

Implementering af DORA kan virke omfattende, men en struktureret tilgang er afgørende:

1. **Foretag en gapanalyse:** Identificer, hvor jeres nuværende IKT-sikkerhedspraksis afviger fra DORA's krav. Vurder jeres eksisterende IKT-risikostyringsrammeværk og incident response-planer. 2. **Kortlæg jeres IKT-systemer og afhængigheder:** Få et klart overblik over kritiske systemer, data og leverandører. Forstå jeres digitale fødekæde. 3. **Opdater politikker og procedurer:** Revider jeres interne retningslinjer for IKT-sikkerhed, risikostyring og hændelseshåndtering for at afspejle DORA's bestemmelser. 4. **Implementer teststrategier:** Udvikl og udfør en plan for regelmæssig test af jeres digitale modstandsdygtighed, inklusiv sårbarhedsscanninger og penetrationstests. 5. **Etabler effektiv tredjepartsstyring:** Udarbejd en robust proces for at vurdere og overvåge IKT-risici forbundet med jeres eksterne leverandører.

THINGGAARD IT kan hjælpe jer med at navigere i DORA-forordningens krav og styrke jeres digitale operationelle modstandsdygtighed. Vi tilbyder rådgivning og løsninger, der sikrer, at jeres finansvirksomhed lever op til de nye standarder.