At navigere i DORA: EU-forordningen om digital robusthed i finanssektoren

12. maj 2025 10 min læsning

Siden den blev vedtaget, er Digital Operational Resilience Act (DORA) blevet en afgørende faktor for, hvordan den finansielle sektor håndterer ICT-risiko, sikkerhed og afhængighed af tredjeparter. Mens meningen med DORA er klar i teorien - en samlet ramme for at styrke den digitale robusthed - efterlader anvendelsen af den på tværs af systemer, leverandører og operationer stadig mange institutioner i uvished.

Dette er ikke bare endnu et resumé af DORA-reglerne. Du forstår allerede, hvad der står på spil. Det virkelige spørgsmål er: Er dine systemer, partnere og interne kontroller virkelig i overensstemmelse med DORA-rammen, og hvad er din strategi for langsigtet, bæredygtig overholdelse?

Så tag plads - jeg vil gennemgå, hvad DORA egentlig forventer af din virksomhed, og endnu vigtigere, hvordan du kan leve op til de forventninger uden at sætte farten ned.

DORA-rammen og indsatsen for en samlet digital risikostyring

DORA, formelt kendt som Forordning (EU) 2022/2554er en bindende EU-forordning, der trådte i kraft den 16. januar 2023 og blev anvendt den 17. januar 2025. Dens lancering var ikke et teoretisk træk. Det var et direkte svar på de eskalerende cybertrusler i den finansielle sektor. Da finansielle institutioner i stigende grad er afhængige af cloud-infrastruktur, SaaS-platforme og andre eksterne partnere til at levere digitale tjenester, er de også blevet mere sårbare over for indbyrdes forbundne risici, der er vanskelige at forudsige, inddæmme og komme sig over.

Tallene taler for sig selv: I 2024 ville de gennemsnitlige omkostninger ved et databrud i finansverdenen ramme $6,08 millionersom er 22% højere end det globale gennemsnit på $4,88 millioner på tværs af alle brancher.

Hændelser i den virkelige verden har kun forstærket behovet for stærkere modstandsdygtighed. I 2018 forsøgte TSB sig med en større migrering af kernebankplatformen. Dårlig risikostyring, utilstrækkelig testning og ineffektiv håndtering af hændelser førte til udbredte nedbrud, hvor tusindvis af kunder blev låst ude af deres konti. Som følge heraf gav tilsynsmyndighederne en bøde TSB 48,65 millioner pund for operationelle risici og ledelsessvigt.

I 2019 blev Capital One udsat for et massivt sikkerhedsbrud på grund af en fejlkonfigureret firewall i deres cloud-infrastruktur, som afslørede data fra over 100 millioner kunder. Efterspillet omfattede $80 millioner i bøder og store afhjælpningsomkostninger.

Problemerne stoppede ikke der. De CrowdStrike-nedbrud i juli 2024 gjorde sammenkoblingen af digital infrastruktur smerteligt tydelig. Den blev udløst af en fejlbehæftet opdatering og spredte sig til kritiske systemer - med flyveforbud, fastfrysning af bankforretninger og stop for professionelle tjenester. Det var ikke bare en teknisk fejl; det var en fuldskala forretningskontinuitetskrise, der viste, hvordan tredjeparts ICT-fejl kan have systemiske konsekvenser.

Så DORA blev EU's svar: en omfattende forordning, der kan håndhæves, og som er bygget til at lukke hullet i den digitale modstandskraft med klar ansvarlighed, harmoniserede standarder og en ramme, der passer til nutidens sammenkoblede økonomi.

Hvorfor DORA-overholdelse nu er en forretningskritisk prioritet

Tænk på det på denne måde: Cybersikkerhed plejede at være noget, man tjekkede af med årlige revisioner, nogle hændelsesmanualer og en håndfuld siloopdelte politikker gemt i IT's hjørne. Men med DORA er den model ikke længere god nok. Nu er DORA-sikkerhed alles ansvar - fra ingeniører til ledere.

Det handler ikke kun om at bevise, at man har en firewall - det handler om at bevise, at hele den digitale forsyningskæde kan tåle et slag og fortsætte med at køre. DORA bringer cybersikkerhed ud af skyggen og ind i bestyrelseslokalet og tvinger virksomheder til at behandle digital risiko som et forretningskritisk problem, ikke bare et teknisk.

Hvem skal overholde reglerne?

DORA EU-forordningen gælder for mere end 20 kategorier af finansielle enheder i hele EU, herunder:

Banker, forsikringsselskaber og investeringsselskaber
Betalings- og e-pengeinstitutter
Udbydere af krypto-aktiver
Handelspladser, clearinghuse og værdipapircentraler
Kreditvurderingsbureauer, crowdfunding-platforme og meget mere

Men DORA's betydning rækker ud over den traditionelle finansverden. Forordningen sætter også kritiske ICT-tjenesteudbydere i søgelyset. Det betyder, at hvis du leverer teknologi, der understøtter en finansiel enheds kernefunktion - uanset om det er cloud-infrastruktur, dataanalyse, SaaS til betalinger eller onboarding, KYC/AML-værktøjer, AI-baseret svindelregistrering eller endda API-platforme, der forbinder kernesystemer - så er du en del af compliance-kæden nu.

Risikoen for manglende overholdelse

Hvis du ikke lever op til DORA-standarderne, er det en risiko for din drift, dit omdømme og din langsigtede strategi. I henhold til DORA skal Europæiske tilsynsmyndigheder (EBA, ESMA og EIOPA) har nu beføjelse til at udstede økonomiske sanktioner, offentlige irettesættelser og bindende afhjælpningsforanstaltninger. Mere kritisk er det, at i tilfælde, hvor en tredjeparts ICT-leverandør anses for at være en trussel mod driftsstabiliteten, giver DORA tilsynsmyndighederne mulighed for at gennemtvinge opsigelse af kontrakter, selv med de leverandører, der leverer kerneinfrastruktur eller vigtige digitale tjenester.

Men de lovgivningsmæssige konsekvenser er kun en del af billedet. De reelle omkostninger ved manglende overholdelse er flerdimensionelle:

Regulatorisk omdømme: Institutioner, der ikke lever op til DORA-kravene, kan blive markeret som højrisiko, hvilket fører til skærpet tilsyn, flere inspektioner og mindre fleksibilitet i det lovgivningsmæssige samspil.
Regulatorisk omdømme: Institutioner, der ikke lever op til DORA-kravene, kan blive markeret som højrisiko, hvilket fører til skærpet tilsyn, flere inspektioner og mindre fleksibilitet i det lovgivningsmæssige samspil.
Ansvarlighed på bestyrelsesniveau: DORA opfatter operationel robusthed som et ledelsesmæssigt spørgsmål. Bestyrelser skal fastsætte risikotærskler, godkende ICT-rammer og føre tilsyn med risikohåndtering med potentielt personligt ansvar for større fejl.
Forretningskontinuitet: En enkelt IT-fejl, enten internt eller hos en tredjepart, kan forårsage omfattende forstyrrelser og brud på compliance, hvilket skader tilliden og omdømmet.
Investor- og medieovervågning: Offentlige ICT-fiaskoer kan skabe overskrifter og værdiansættelser med langvarige effekter på kundernes tillid, investorernes holdning og teamets moral.

Derfor er finansielle institutioner ikke bare på udkig efter leverandører - de er på udkig efter resilienspartnere. De vil have teknologileverandører, der forstår DORA-overholdelseskravene, tilbyder reviderbare løsninger og deler ansvaret gennem stærke SLA'er, gennemsigtige processer og fælles testning.

Beskyt din virksomhed. Opnå DORA-overholdelse med sikkerhed.

Den virkelige fordel bag DORA's finansforordning

For finansielle institutioner markerer DORA-rammen et grundlæggende skift i, hvordan operationel modstandsdygtighed definerer markedsledelse. Compliance alene er ikke længere nok. DORA tvinger finansielle virksomheder til at bevise, at de kan opretholde kritiske tjenester gennem alvorlige ICT-forstyrrelser - selv når der opstår fejl i outsourcede økosystemer uden for deres direkte kontrol.

Det er her, den strategiske værdi opstår:

Modstandsdygtighed som en markedsreference: Institutioner, der tilpasser sig DORA-standarder og kan demonstrere reel driftsmæssig robusthed - testet, reviderbar og løbende overvåget - er bedre positioneret til at vinde kundernes tillid, sikre B2B-partnerskaber og tiltrække investorernes tillid. I en finanssektor, der i stigende grad defineres af digital oplevelse og kontinuitet, bliver dokumenteret robusthed en lige så stærk differentiator som prisfastsættelse eller produktinnovation.
Hurtigere genopretning som en strategisk fordel: Tænk på to betalingsudbydere, der rammes af det samme nedbrud i cloud-tjenesten. Det firma, der omdirigerer transaktioner inden for få minutter takket være testede failover-systemer og stærk beredskabsplanlægning fra tredjepart, bevarer sine kunder og sit omdømme på markedet. Det firma, der er flere timer om at komme sig, risikerer kundeflugt, regulatoriske sanktioner og offentlig granskning.
Tredjepartskontrol som driftsstabilitet: DORA tvinger virksomheder til at udvide styringen af outsourcede ICT-funktioner og kræver fuld kontraktlig ret til at revidere, overvåge og gribe ind i tredjepartsoperationer. Institutioner, der proaktivt håndterer disse afhængigheder, kan undgå alvorlige risici, der kommer fra ustrukturerede leverandørforhold.
Integration på bestyrelsesniveau som et tillidssignal: Robusthed er ikke længere en it-funktion, der ligger begravet i tekniske afdelinger. I henhold til EU-forordningen DORA skal bestyrelser aktivt styre ICT-risici. Institutioner, der integrerer KPI'er for robusthed i virksomhedens risikorammer sammen med kapital-, likviditets- og kreditrisiko, viser tilsynsmyndigheder, kunder og partnere, at de mener det alvorligt med operationel holdbarhed.

Faktisk forvandler DORA's finansforordning modstandsdygtighed fra en defensiv compliance-øvelse til en proaktiv forretningsstrategi. Institutioner, der behandler DORA som en mulighed, vil bevæge sig hurtigere, komme sig stærkere og opbygge dybere tillid end konkurrenter, der stadig kun fokuserer på tekniske sikkerhedsforanstaltninger.

"Hos Innowise har vi grundigt analyseret DORA's krav og styrket vores engagement i digital robusthed på alle niveauer. Uanset om du har brug for rådgivning, DevSecOps-integration, robusthedstest eller fuld compliance-support, har vi ekspertisen til at holde dig foran. Vi har også de rigtige værktøjer og den operationelle disciplin til at hjælpe dig med at opbygge fremtidens sikre finansverden."

Dzianis Kryvitski

Delivery Manager i FinTech

DORA-standarder vs. eksisterende cybersikkerhedsrammer

Du tænker måske: Hvis forordninger som NIS 2 (Network and Information Security Directive) og GDPR (General Data Protection Regulation) allerede var på plads, hvorfor var DORA så overhovedet nødvendig? God pointe - og faktisk spiller NIS 2 og GDPR stadig en vigtig rolle i forhold til at styrke cybersikkerhed og databeskyttelse i hele EU. Den største forskel er dog, at DORA-rammen går videre end til at beskytte information. Den fokuserer på at sikre kontinuerlig levering af kritiske finansielle tjenester, selv under alvorlige IKT-forstyrrelser.

For at gøre forskellene tydelige har jeg samlet de vigtigste forskelle i tabellen nedenfor:

Beskrivelse	DORA	NIS 2	GDPR
Omfang	Gælder for finansielle enheder og kritiske IKT-tredjepartsleverandører i hele EU's finansielle sektor	Gælder for væsentlige og vigtige enheder på tværs af kritiske sektorer i EU	Gælder globalt for organisationer, der håndterer EU-borgeres persondata
Formål	At styrke IKT-risikostyring, tredjepartsovervågning og operationel modstandsdygtighed for uafbrudt levering af finansielle tjenester	At forbedre de generelle cybersikkerhedsstandarder på tværs af vigtige tjenester, herunder energi, transport, sundhedspleje og digital infrastruktur.	At beskytte EU-borgernes personlige data og ret til privatlivets fred
Rapportering af hændelser	Større IKT-relaterede hændelser skal rapporteres uden unødig forsinkelse ved hjælp af standardiserede skabeloner	Væsentlige cybersikkerhedshændelser skal rapporteres inden for 24 timer til de nationale myndigheder	Brud på persondatasikkerheden skal indberettes inden for 72 timer til tilsynsmyndigheden
Tredjeparts risikostyring	Obligatorisk kontraktligt tilsyn, overvågning og exit-strategier for kritiske ICT-tredjepartsleverandører	Risikostyring af cybersikkerhed i forsyningskæden tilskyndes, men er mindre præskriptiv end DORA	Databehandlere skal sikre persondatasikkerheden, men kravene til leverandørernes driftsikkerhed er ikke defineret.
Test- og revisionskrav	Kræver periodisk modstandsdygtighedstest, herunder avanceret trusselsstyret penetrationstest (TLPT) hvert tredje år for kritiske enheder	Kræver risikovurderinger og generelle cybersikkerhedsforanstaltninger, men ingen obligatoriske standarder for modstandsdygtighed eller penetrationstest.	Kræver passende tekniske og organisatoriske sikkerhedsforanstaltninger, men ingen obligatorisk test af modstandsdygtighed
Styring og ansvarlighed	Bestyrelse og ledelse skal definere, godkende, overvåge og være ansvarlig for ICT-risikostyring	Ledelsen skal godkende cybersikkerhedsforanstaltninger, men styringen af den operationelle robusthed er mindre detaljeret	Dataansvarlige og databehandlere er ansvarlige for databeskyttelse, men der er ikke noget specifikt krav om styring af operationel modstandsdygtighed.
Enalties	Ingen faste sanktioner defineret; nationale og EU-tilsynsmyndigheder har beføjelse til at pålægge bøder, påbud om afhjælpning eller mandat til opsigelse af kritiske tredjepartskontrakter	Væsentlige enheder: op til 10 mio. euro eller 2% af den globale omsætning; Vigtige enheder: op til 7 mio. euro eller 1,4% af den globale omsætning	Alvorlige overtrædelser: op til 20 mio. euro eller 4% af den globale omsætning; Mindre alvorlige overtrædelser: op til 10 mio. euro eller 2% af den globale omsætning

Omsætning af DORA-krav til forretningsaktiviteter

DORA-overholdelse er bygget på fem søjler. Tilsammen udfordrer disse søjler de finansielle institutioner til at gentænke, hvordan de håndterer digital risiko som en kerneforretning. Lad os gennemgå, hvad der betyder mest, og hvordan Innowise kan hjælpe dig med at tage de rigtige skridt mod fuld compliance.

1. IKT-risikostyring: opbygning af digital modstandsdygtighed i kerneaktiviteter

DORA kræver, at finansielle institutioner indbygger digital robusthed i alle dele af deres drift - fra at identificere risici til at beskytte, opdage, reagere og genoprette. Det handler ikke om at reagere, når noget går galt. Det handler om at være et skridt foran, minimere forstyrrelser og styrke dine systemer, før problemerne opstår.

Hvordan Innowise kan støtte

Kritiske systemer og risikokortlægning: Vi kortlægger dine kerneforretningsfunktioner og ICT-aktiver for at finde svage punkter, før de bliver til kriser.
Registrering af trusler i realtid: Vores teams konfigurerer og finjusterer SIEM- og SOAR-platforme, så de leverer løbende overvågning i overensstemmelse med DORA's sikkerhedsprincipper.
Integration af GRC-platform: Vi hjælper dig med at vælge, tilpasse og forbinde GRC-værktøjer til dine arbejdsgange og gøre risikosporing til en del af din daglige forretning.
Kontinuerlig risikotestning og -overvågning: Vi kører regelmæssigt trusselsmodellering, penetrationstest og automatiserede kodescanninger for at fange risici tidligt og styrke forsvaret.
DevSecOps bedste praksis: Vi integrerer sikkerhedstjek direkte i dine udviklingspipelines, så modstandsdygtigheden er indbygget, ikke påklistret.

2. Rapportering af hændelser: strømlining af opdagelse og lovpligtige meddelelser

Finansielle institutioner skal opdage, klassificere og rapportere IKT-relaterede hændelser til myndighederne hurtigt og følge strenge skabeloner og tidsfrister. En uorganiseret eller forsinket reaktion kan føre til skade på omdømmet, regulatoriske sanktioner eller endnu værre, tab af markedets tillid. For at leve op til DORA's krav er virksomhederne nødt til at forvandle ad hoc-processer til strømlinede, reviderbare arbejdsgange.

Hvordan Innowise kan støtte

Automatiseret detektion og respons: Vi opretter smarte systemer, der markerer, klassificerer og eskalerer hændelser med det samme baseret på kritikalitet.
Rapporteringsværktøjer, der er klar til myndighederne: Vores eksperter bygger eller tuner dine rapporteringssystemer, så de automatisk genererer rapporter, der opfylder DORA's krav.
Simulationsøvelser og bordtest: Vi organiserer øvelser med levende ild for at stressteste jeres respons på hændelser og rapporteringsprocesser.
Hurtig støtte ved hændelser: Vores teams er her for at guide dig gennem eskalering af virkelige hændelser og rapporteringsfrister uden panik.
Opdagelse af hændelser med sikkerhed først: Vi rådgiver også om implementering af sikker kodningspraksis og realtidsovervågning for at fange problemer tidligere, ikke efter at skaden er sket.

3. Test af digital operationel modstandsdygtighed: stresstest af systemer, før de fejler

DORA kræver ikke bare, at virksomheder hævder at være modstandsdygtige. Det kræver, at de beviser det gennem regelmæssige, trusselsstyrede digitale operationelle robusthedstest (TLPT). Institutioner skal udsætte kritiske systemer for ekstreme, realistiske scenarier for at afsløre skjulte sårbarheder og validere genoprettelsesmuligheder.

Hvordan Innowise kan støtte

Penetrationstestning og red teaming: Vi simulerer cyberangreb og systemfejl fra den virkelige verden for at finde svagheder, før angriberne gør det.
Trusselsstyrede testprogrammer: Vores specialister designer TLPT-programmer, der er skræddersyet til dine forretningsrisici og lovgivningsmæssige behov.
Test af katastrofeplan: Vi kører komplette katastrofeøvelser og test af genoprettelsespunkter for at tjekke, om din virksomhed kan komme tilbage, når det gælder. .
Automatiserede test-frameworks: Vi hjælper med at automatisere resiliens-tests og spore resultaterne, så du kan vise regulatorer reelle beviser.
Sikker udvikling og modstandsdygtighed: Vi rådgiver også om sikker softwareudvikling, trusselsmodellering og risikovurdering for at styrke systemerne, før de bliver testet.

4. Styring af ICT-risici for tredjeparter: Styring af risici uden for din perimeter

I henhold til DORA er finansielle institutioner direkte ansvarlige for deres tredjeparts ICT-leverandørers robusthed - fra cloud-tjenester og softwareleverandører til outsourcede IT-partnere. En leverandørs svigt kan øjeblikkeligt blive en regulatorisk krise for dig. Derfor kræver DORA's finansforordning løbende tilsyn og dokumenterede kontroller på tværs af alle ICT-partnere.

Hvordan Innowise kan støtte

Opbygning af leverandørens risikoliste: Innowise skaber centraliserede systemer, der sporer alle dine ICT-leverandører, afhængigheder og huller i modstandsdygtigheden.
Tredjeparts audits og vurderinger: Vores teams gennemfører detaljerede audits af kritiske leverandørers modstandsdygtighed - fra cybersikkerhedsforsvar til beredskab over for hændelser.
Tredjepartsovervågning i realtid: Vi integrerer smarte værktøjer, der løbende sporer leverandørrisici, kontraktoverholdelse og tidlige advarselssignaler. .
Rådgivning om modstandsdygtighed på kontrakt: Vores eksperter gennemgår og styrker ICT-leverandørkontrakter med indbygget risikominimering, gennemsigtighed og exit-klausuler.
Tredjeparts DevSecOps-tilpasning: Vi hjælper med at sikre, at dine kritiske leverandører lever op til sikre udviklings- og driftsstandarder lige fra onboarding.

5. Informationsdeling: styrkelse af sektorens modstandsdygtighed gennem samarbejde

DORA's cybersikkerhedsforordning opfordrer finansielle enheder til aktivt at dele oplysninger om cybertrusler, sårbarheder og hændelser, ikke som en formalitet, men som en strategisk forsvarsmekanisme. Ved at bidrage til pålidelige netværk styrker organisationer den kollektive modstandsdygtighed og får tidlige advarsler, der kan forhindre større forstyrrelser.

Hvordan Innowise kan støtte

Opsætning af platform for trusselsinformation: Vi forbinder dine systemer med pålidelige efterretningsnetværk og integrerer trusselsfeeds i dit interne forsvar.
Sikre arbejdsgange for informationsdeling: Vores konsulenter opbygger sikre og lovlige måder at dele og modtage information om trusler på uden at eksponere følsomme data.
Analyse af cyberefterretninger: Vi hjælper med at omdanne indgående trusselsfeeds til klare, handlingsrettede indsigter, der forbedrer din risikostilling..
Støtte til offentlig-privat samarbejde: Vi hjælper med tekniske og juridiske rammer for at arbejde tæt sammen med tilsynsmyndigheder og sektorens modstandsdygtighedsprogrammer.
Proaktiv risikomodellering: Vi hjælper også med at modellere risici baseret på oplysninger om eksterne trusler, så du forbereder dig på det, der kommer, i stedet for at reagere på det, der allerede er sket.

Opbyg ustoppelig modstandskraft, og hold dig foran med Innowise.

Start din rejse mod fuld DORA-sikkerhed

Opfyldelse af DORA-kravene kræver en klar, struktureret tilgang, der forbinder risikostyring, respons på hændelser, tredjepartsovervågning og driftstest. Jeg har kortlagt de vigtigste trin for at hjælpe dig med at gå fra overholdelse på papiret til modstandsdygtighed i praksis.

Gennemgå din ramme for ICT-risikostyring

Tjek, om du har en formel ramme for ICT-risikostyring. Hvis ikke, bør det første skridt være at opbygge en. Brug etablerede standarder som fundament, og afstem dem med DORA's fulde risikolivscyklus.

Identificer huller i forhold til DORA-krav

Vurder, om dine nuværende rammer fuldt ud lever op til DORA's forventninger. Fokuser på SikkerhedstestKPI'er for modstandsdygtighed, tredjeparts risikostyring og styring for at forme dine umiddelbare prioriteter.

Styrk din reaktion på hændelser og rapportering

Evaluer din registrering, eskalering og rapportering af hændelser. Bekræft, at de lever op til DORA's tidslinjer og indholdskrav. Opgrader om nødvendigt workflows, rapporteringsskabeloner og eskaleringsstier.

Opbyg et trusselsstyret testprogram

Lav en plan for test af modstandsdygtighed. Definer, hvilke systemer du vil teste, hvor ofte, og hvordan resultaterne skal dokumenteres. Inkluder penetrationstest, scenariebaserede øvelser og red teaming, hvor det er relevant.

Udvikle en køreplan for overholdelse af DORA

Lav en struktureret køreplan, der dækker nødvendige investeringer, systemopgraderinger, ledelsesændringer og uddannelse af personale. Prioritér de kritiske områder først, og afstem tidslinjerne med de lovgivningsmæssige milepæle.

Automatiser risikoovervågning og compliance-rapportering

Automatiser risikovurderinger, sporing af hændelser og rapportering af compliance. Brugerdefineret software, DevSecOps-praksis og integrerede overvågningsværktøjer gør compliance skalerbar, gentagelig og reviderbar.

01 Gennemgå din ramme for ICT-risikostyring

02 Identificer huller i forhold til DORA-krav

03 Styrk din reaktion på hændelser og rapportering

04 Opbyg et trusselsstyret testprogram

05 Udvikle en køreplan for overholdelse af DORA

06 Automatiser risikoovervågning og compliance-rapportering

Selv om disse trin giver et solidt udgangspunkt, vil hver virksomheds vej til DORA-sikkerhed se lidt forskellig ud. Måske har du brug for et bredere spektrum, et dybere fokus eller bare mere tillid til, at du ikke har overset noget. I disse tilfælde er det smarteste træk at have Cybersikkerhedseksperter ved din side - fagfolk, der kan guide dig gennem hele processen og dykke dybt ned i de kritiske områder.

Innowise-ekspertise til overholdelse af DORA

Opnåelse af DORA-overholdelse kræver dokumenteret ekspertise inden for cybersikkerhed, driftsmæssig robusthed og lovgivningsmæssig parathed. Hos Innowise har vi et stærkt fundament af anerkendte standarder, rammer og tekniske evner fra den virkelige verden, som er i direkte overensstemmelse med DORA-krav.

Vores ekspertise inden for compliance og resiliens omfatter:

ISO 27001-certificering (ledelsessystem for informationssikkerhed)

Vi anvender ISO 27001 best practices til at opbygge stærke rammer for risikostyring, governance og incident response, som er det afgørende fundament for DORA-overholdelse.

Tilpasning til NIST-cybersikkerhedsrammen

Vi strukturerer vores resiliensprogrammer omkring NIST-principper, der dækker trusselsidentifikation, beskyttelse, detektion, respons og genopretning, helt i tråd med DORA's operationelle risikotilgang.

SOC 2 Type II-overholdelse (for cloud-baserede og administrerede tjenester)

Når vi leverer cloud- eller managed services, sikrer vores SOC 2-compliance robust kontrol med datasikkerhed, tilgængelighed og fortrolighed for at understøtte DORA's krav til tredjepartstilsyn.

Avanceret Cloud Security Posture Management (CSPM)

Vi bruger førende CSPM-værktøjer (som Chef Compliance, tfsec, OpenSCAP, CloudBots) til at opdage og rette fejlkonfigurationer på tværs af cloud-miljøer og dermed reducere den operationelle risiko.

Kontinuerlig overvågning og rapportering af compliance

Værktøjer som ELK, Nagios, Prometheus, Grafana og Kibana giver os mulighed for at levere compliance-status i realtid, indsigt i hændelser og resiliens-tendenser, som er afgørende for DORA's forventninger til overvågning og rapportering.

Indbygget kontrol af overholdelse

Vores udviklings- og driftspraksisser omfatter forhåndsgodkendte compliance-kontroller via værktøjer som Terraform og Ansible, hvilket sikrer, at vi er klar til at overholde lovgivningen i alle faser af teknologiens livscyklus.

Automatiserede compliance-audits

Regelmæssige robusthedsrevisioner ved hjælp af platforme som Lynis, Wazuh, Checkov, OpenSCAP og CIS-CAT holder den operationelle robusthedspraksis opdateret og klar til myndighedernes kontrol.

Fremtidssikr din compliance med Innowise-ekspertise.

DORA og fremtiden for finansiel cybersikkerhed

DORA rusker op i finansverdenen - og det går ikke stille for sig. Forordningen er nu i fuld gang, men for mange institutioner og leverandører føles tingene stadig lidt usikre. Jeg har på det seneste haft utallige samtaler med tekniske chefer, compliance-teams og bestyrelsesmedlemmer, der har forsøgt at pakke DORA's betydning ud i reelle, operationelle termer. Så jeg beskriver de mest almindelige spørgsmål, jeg får - og hvordan jeg ser det hele udfolde sig.

DORA er her. Og hvad så nu?

Nu, hvor DORA er live, er de fleste finansielle institutioner gået fra at planlægge til at gøre. Men her er virkeligheden - mange virksomheder er stadig ikke helt i mål. Ifølge en McKinsey-undersøgelse Fra midten af 2024 følte kun omkring en tredjedel af virksomhederne sig sikre på, at de ville opfylde alle DORA-krav inden januar 2025. Selv de, der var sikre, indrømmede, at de ville være i gang med at finpudse processerne langt ind i dette år. Det største smertepunkt? Håndtering af tredjepartsrisiko i stor skala. For mange har det været et projekt i sig selv bare at finde ud af, hvilke leverandører der tæller som "kritiske" under DORA-rammen.

Så hvad sker der egentlig i praksis? Teams bliver mere organiserede. Virksomhederne opretter dedikerede DORA-programmer, inddrager folk fra IT, jura, compliance og indkøb og investerer i platforme, der samler det hele under ét tag. Der er også et voksende skift fra at behandle DORA som "bare endnu en it-ting" til at gøre det til en samtale på bestyrelsesniveau. En tilbagevendende udfordring er at arbejde med mindre teknologileverandører, som simpelthen ikke har ressourcerne til at overholde alle krav. Det betyder, at nogle finansielle institutioner nu fungerer som supportpartnere, ikke bare som kunder.

Og presset stopper ikke ved DORA. Inden for EU strammer NIS 2 reglerne for kritisk infrastruktur, og Cyber Resilience Act er ved at sætte sikkerhed på produktniveau under lup. I mellemtiden holder tilsynsmyndigheder uden for EU nøje øje. Storbritanniens FCA og PRA har allerede indført deres egne regler for modstandsdygtighed, og i USA forventer SEC nu, at offentlige virksomheder oplyser, hvordan de håndterer cyberrisici. Hvis du tænker langsigtet, er DORA's finansielle regulering ikke bare en europæisk regel - det er et globalt udgangspunkt.

Vil AI og automatisering gøre compliance til en mindre hovedpine?

AI til overholdelse af lovgivningen kommer helt sikkert til at spille en større rolle - ikke bare i teorien, men i den daglige drift. Mange teams bruger allerede NLP-værktøjer (Natural Language Processing) til at gennemgå store bunker af kontrakter og leverandøraftaler. Disse værktøjer hjælper med at spotte røde flag automatisk, f.eks. manglende revisionsrettigheder eller vage garantier for gendannelsestid. I stedet for at stole på, at advokater eller compliance-ansvarlige scanner hver linje manuelt, bruger virksomhederne AI til at markere risici på forhånd og holde dokumentationen stram fra første dag.

På automatiseringssiden går tingene hurtigt. Værktøjer som SOAR - det er Security Orchestration, Automation and Response - gør det meget nemmere at håndtere hændelser uden kaos. Lad os sige, at noget går i stykker. Disse platforme kan udløse advarsler, låse ting ned og endda generere den første DORA-kompatible rapport til tilsynsmyndighederne, alt sammen uden at et menneske skal ind over først. Og GRC-platforme som ServiceNow eller MetricStream er også på vej op i niveau. De tilføjer smarte dashboards, automatiserede resiliens-tests og bots, der minder teams om, hvornår de skal køre øvelser eller tjekke tredjeparts KPI'er.

Hvordan påvirker DORA outsourcing af softwareudvikling?

DORA regulerer ikke teknologileverandører direkte, men den holder finansielle institutioner fuldt ansvarlige for robustheden af den software, de bruger. Det er en stor ting. Det betyder, at banker, forsikringsselskaber og fintechs ikke længere bare kan vælge et udviklingsteam baseret på hastighed eller budget. Hvis din kode ender i noget, der er bare nogenlunde kritisk - som betalinger, onboarding, handelsplatforme - så skal din kunde bevise, at softwaren er sikker, testet og sporbar fra ende til anden.

Så hvordan ser det egentlig ud i praksis? Indkøbsteams beder nu om ting som sikker SDLC-dokumentation, automatiserede testlogs og rapporter om sårbarhedsscanning lige fra starten. Kontrakterne bliver opdateret med klausuler om robusthed, der dækker alt fra backup-genoprettelsestider til ansvar for hændelsesrespons. Nogle virksomheder kører endda fælles testsessioner med deres leverandører for at stressteste responstider. Den nederste linje er, at hvis du bygger finansiel software for en kunde, er du nu en del af deres compliance-historie.

Afsluttende tanker

Jeg håber, at du går fra dette indlæg og føler dig lidt mere sikker på DORA - eller i det mindste stiller dig selv de rigtige spørgsmål. Og helt ærligt, det er allerede et stort skridt. Uanset om du lige er begyndt at sætte dig ind i forordningen eller er i fuld gang med at implementere den, behøver vejen til compliance ikke at være overvældende.

Hos Innowise er vi her for at hjælpe dig med at finde hoved og hale i DORA-labyrinten, opbygge ægte digital modstandsdygtighed og beskytte din virksomhed, ikke bare nu, men også i fremtiden.

Siarhei Sukhadolski

FinTech-ekspert

Siarhei leder vores FinTech-retning med dyb branchekendskab og et klart overblik over, hvor digital finans er på vej hen. Han hjælper kunder med at navigere i komplekse regler og tekniske valg og skaber løsninger, der ikke bare er sikre - men også bygget til vækst.

Læs mere om det

Indholdsfortegnelse

Kontakt os

Book et opkald eller udfyld formularen nedenfor, så vender vi tilbage til dig, når vi har behandlet din anmodning.

Navn

Virksomhed

E-mail

Telefon

Besked

Send os en talebesked

Vedhæft dokumenter

Upload fil

Du kan vedhæfte 1 fil på op til 2 MB. Gyldige filformater: pdf, jpg, jpeg, png.

Ved at klikke på Send accepterer du, at Innowise behandler dine personlige data i henhold til vores Politik for beskyttelse af personlige oplysninger for at give dig relevante oplysninger. Ved at indsende dit telefonnummer accepterer du, at vi kan kontakte dig via taleopkald, sms og beskedapps. Opkalds-, besked- og datatakster kan være gældende.

Du kan også sende os din anmodning
til contact@innowise.com

Hvad sker der nu?

Når vi har modtaget og behandlet din anmodning, vender vi tilbage til dig for at beskrive dine projektbehov og underskriver en NDA for at sikre fortrolighed.

Når vi har undersøgt dine ønsker, behov og forventninger, udarbejder vores team et projektforslag med forslag med arbejdets omfang, teamstørrelse, tids- og omkostningsoverslag.

Vi arrangerer et møde med dig for at diskutere tilbuddet og få detaljerne på plads.

Til sidst underskriver vi en kontrakt og begynder at arbejde på dit projekt med det samme.

At navigere i DORA: EU-forordningen om digital robusthed i finanssektoren

DORA-rammen og indsatsen for en samlet digital risikostyring