Digital operasjonell motstandskraft i finanssektoren er selve formålet med DORA. Kravene i DORA er middelet for å oppnå målet. Disse kravene dekker finansforetakenes IKT-risikostyring, håndtering og rapportering av IKT-hendelser, testing av den digitale motstandsdyktigheten, bruk av IKT-leverandører og informasjonsdeling.
Vi har valgt å beholde de engelske begrepene, og så forklare det dem på norsk:
Digital operational resilience: Evnen til en finansinstitusjon til å forhindre, tilpasse seg, svare på og komme seg videre etter IKT-relaterte forstyrrelser.
ICT risk: Risikoen for forstyrrelser eller feil i informasjonsteknologi som kan påvirke driften av en finansinstitusjon.
ICT third-party service providers: Tredjepartsaktører som leverer IKT-tjenester, som skytjenester eller dataanalyse, som er kritiske for driften av finansinstitusjoner.
Threat-led penetration testing (TLPT): Testprosedyrer som er utformet for å simulere cyberangrep på IKT-systemer for å vurdere deres motstandskraft.
Critical functions: Funksjoner eller tjenester der en forstyrrelse kan ha betydelig innvirkning på finansstabilitet eller institusjonens drift.
Incident: En hendelse som faktisk har en negativ innvirkning på konfidensialiteten, integriteten eller tilgjengeligheten til et IKT-system eller data.
Impact tolerance: Det maksimale nivået av forstyrrelse som en finansinstitusjon kan tåle uten at det går utover deres kritiske operasjoner.
Resilience strategy: Den omfattende tilnærmingen en finansinstitusjon bruker for å håndtere og redusere IKT-risikoer, og sikre digital operasjonell motstandsdyktighet.
Operational disruption: Enhver hendelse som fører til at en finansinstitusjon ikke klarer å levere sine kritiske operasjoner eller tjenester.
De fleste foretakene i finanssektoren omfattes altså av DORA, med enkelte unntak. Revisorer, regnskapsførere, eiendomsmeglere og inkassoforetak er i utgangspunktet ikke omfattet av regelverket.
Styring av IKT-risiko: Dette handler om å etablere et solid rammeverk for å identifisere, vurdere og håndtere risikoer knyttet til informasjonsteknologi. Finansforetak må utvikle strategier, retningslinjer og prosedyrer for å sikre at de er rustet til å håndtere potensielle IKT-risikoer på en effektiv måte.
Håndtering av hendelser: Foretakene må ha en klar plan for å oppdage, rapportere og håndtere IKT-hendelser. Dette innebærer alt fra små driftsavbrudd til større cyberangrep, og sikrer at bedriften kan reagere raskt og effektivt for å minimere skadevirkningene.
Testing av motstandsdyktighet: Regelmessig testing av digitale systemers motstandsdyktighet er essensielt. Gjennom penetrasjonstester og andre former for stresstesting kan bedriften avdekke svakheter i sine systemer og iverksette nødvendige forbedringer for å sikre at systemene tåler ulike typer trusler.
Styring av tredjepartsrisiko: Mange finansinstitusjoner benytter seg av eksterne leverandører for IT-tjenester. DORA krever at disse leverandørene vurderes nøye, og at risikoen forbundet med slike tredjeparter håndteres gjennom hele samarbeidet.
Informasjonsdeling: Informasjonsdeling er avgjørende for å styrke cybersikkerheten. Finansinstitusjoner må samarbeide med hverandre og med relevante myndigheter for å dele kunnskap om trusler, sårbarheter og beste praksis for å øke den kollektive motstandsdyktigheten i sektoren.
Kravene som følger av de fem pilarene er bare delvis beskrevet i teksten ovenfor. Arbeidet vil være omfattende, selv for mindre finansinstitusjoner.
Book en digital demo av vår løsning for DORA i kalenderen