DORA-förordningen: vad den innebär och hur du förbereder din organisation

DORA-förordningen, EU:s Digital Operational Resilience Act, syftar till att stärka den digitala motståndskraften i den finansiella sektorn. Kort sagt ska banker, försäkringsbolag, betalningsinstitut, fondbolag och deras kritiska IT-leverantörer kunna förebygga, tåla och återhämta sig från IT-störningar och cyberangrepp. I den här artikeln går vi igenom vad DORA kräver i praktiken, vilka områden som ofta missas och hur du kan komma igång på ett effektivt sätt.

Kärnkrav i DORA: från styrning till testning

DORA bygger på fem pelare: styrning och riskhantering, incidenthantering och rapportering, testning av digital operativ motståndskraft, hantering av tredjepartsrisker samt informationsdelning. Det låter abstrakt, men i praktiken betyder det att ledningen måste ta ett tydligt ansvar, att incidenter ska klassas och rapporteras snabbt och att IT-miljön ska testas regelbundet och realistiskt.

• Styrning och risk: Styrelsen behöver godkänna en sammanhållen IKT-riskstrategi. Ett vanligt misstag är att den blir ett dokument i hyllan. Undvik det genom att koppla riskerna till konkreta åtgärder, som patchrutiner, backupfrekvens och övningar.
• Incidenthantering: Upprätta klassificeringskriterier i förväg. Ett betalningsavbrott på 15 minuter kan vara mindre allvarligt än en läcka av kunddata. Ha fördefinierade eskaleringsvägar och kontaktlistor.
• Testning: Förutom sårbarhetsscanning och penetrationstester behövs scenarioövningar. En övning jag ofta ser ge effekt är en tabletop kring dubbla samtidiga incidenter, exempelvis ransomware samtidigt med leverantörsavbrott.
• Tredjepartsrisker: Inventera alla leverantörer, inte bara de stora molnaktörerna. Även en liten e‑signaturtjänst kan vara affärskritisk. Säkra att avtal innehåller rätt till insyn, rapportering och exit-plan.
• Informationsdelning: Delta i branschforum eller ISAC-liknande samarbeten. Delad lägesbild minskar tiden till åtgärd vid nya hotmönster.

Ett konkret exempel: ett mindre betalningsinstitut genomförde en mock-restore av kritiska databaser varje kvartal i stället för årligen. Det upptäckte att återläsningstiden var dubbelt så lång som RTO-målet. Genom att optimera backupkedjan kortade de återställningstiden och uppfyllde därmed både DORA:s anda och verksamhetens krav.

Så kommer du igång: en 90‑dagars plan som fungerar i verkligheten

Många frågar om man behöver nya verktyg. Ofta räcker det att strukturera det man redan har och täppa till luckor. Nedan är en praktisk startplan som jag brukar rekommendera, särskilt för organisationer utan stor säkerhetsstab.

• Dag 1–30: Kartläggning. Gör en enkel, uppdaterad tillgångs- och leverantörsförteckning. Koppla varje kritisk tjänst till ansvarig ägare, RTO/RPO och fallback. Identifiera 5 största riskerna och bestäm ägare.
• Dag 31–60: Snabba förbättringar. Städa behörigheter, slå på MFA överallt, säkerställ kryptering av backup och gör en provåterläsning. Etablera incidentklassning och ett kort playbook-dokument med kontaktlistor.
• Dag 61–90: Test och styrning. Kör en tabletop-övning med ledning och IT. Uppdatera riskregistret efter lärdomarna. Förbered rapporteringsflöden och mätetal, till exempel tid till detektion och tid till återställning.

Tänk också på interoperabilitet med andra regelverk. Har ni redan arbetat enligt NIS2 eller ISO 27001 kan mycket återanvändas. DORA sätter dock högre krav på finansiella tjänsters beroenden till tredjepart och på incidentrapporteringens tempo, så se till att anpassa avtalsvillkor och notifieringsprocesser.

Två vanliga följdfrågor: Behöver vi ett särskilt SIEM eller SOAR? Inte nödvändigtvis från start. Fokusera på loggkällor, retention och larmtrösklar som täcker de viktigaste riskerna. När växlingskostnaden är motiverad kan ett centraliserat verktyg ge bättre överblick. Hur mycket dokumentation krävs? Tillräcklig för att visa spårbarhet och konsekvens, men undvik överproduktion. En kort, levande risklogg som ägs av verksamheten slår en 80-sidig policy som ingen följer.

Sammanfattningsvis handlar DORA om att göra det viktiga synligt och robust: tydlig styrning, snabba incidentflöden, realistiska tester och kontrollerad tredjepartsrisk. Börja med en ärlig nulägesbild och säkra några snabba vinster, som provåterläsning och incidentklassning. Vill du fördjupa arbetet kan vi hjälpa till med gap-analys, tabletop-övningar och avtalsgennemgång med leverantörer. Ta nästa steg i dag och bygg en digital motståndskraft som håller när det verkligen gäller.

Klicka på den här länken dirsys.com för att kontakta en proffs eller lära dig mer!