DORA stiller skærpede krav til den finansielle sektors digitale operationelle modstandsdygtighed. Virksomhederne skal kunne forebygge, opdage, håndtere og genetablere driften efter IKT-relaterede hændelser. Kravene omfatter blandt andet ledelsesansvar, IKT-risikostyring, hændelsesrapportering, test af digital operationel modstandsdygtighed og styring af IKT-leverandører. RSM hjælper jer med at forstå, hvilke krav der gælder, identificere gaps og omsætte reguleringen til processer og kontroller, som fungerer i praksis.

Er I omfattet – eller møder I kravene gennem jeres kunder?

DORA gælder direkte for en bred række finansielle virksomheder, herunder banker, betalingsinstitutter, forsikringsvirksomheder, pensionsselskaber, investeringsselskaber og visse virksomheder inden for kryptoaktiver. 

IKT-leverandører kan også blive berørt, selv om de ikke selv er direkte omfattet. Finansielle virksomheder skal stille konkrete krav til deres IKT-leverandører, risikovurdere leverancerne og have overblik over deres kontraktuelle IKT-arrangementer. Det kan medføre nye krav til blandt andet kontrakter, dokumentation, hændelsesrapportering, auditadgang, kontinuitet og exitplaner. 

Sådan hjælper vi jer

Overblik over krav og ansvar

Vi afklarer, hvordan DORA påvirker jeres organisation, systemer, leverandører og kundeaftaler.

Det omfatter typisk:

  • Ledelsesansvar og governance
  • IKT-risikostyring
  • Håndtering og rapportering af hændelser
  • Beredskab, kontinuitet og genetablering
  • Test af digital operationel modstandsdygtighed
  • Risikostyring af IKT-tredjeparter
  • Kontraktkrav og leverandøropfølgning
  • Register over IKT-leverandører

DORA placerer det overordnede ansvar for IKT-risici hos ledelsesorganet og kræver en dokumenteret ramme, som indgår i virksomhedens samlede risikostyring. 
 

GAP-vurdering og roadmap

Vi vurderer jeres nuværende setup op imod de relevante DORA-krav og identificerer, hvor der mangler processer, kontroller eller dokumentation.

I får et prioriteret roadmap med:

  • Identificerede gaps og risici
  • Anbefalede aktiviteter
  • Ansvarlige funktioner
  • Prioritering og tidsplan
  • Nødvendige dokumentationskrav

Målet er ikke blot at udarbejde nye politikker, men at skabe et operationelt setup, som kan anvendes og dokumenteres i den daglige drift.

Implementering og opfølgning

Vi hjælper efter behov med at etablere eller forbedre de nødvendige processer og kontroller.

Det kan eksempelvis være styring af IKT-risici, hændelsesprocesser, beredskabsplaner, testprogrammer, leverandørregistre, kontraktkrav og ledelsesrapportering.

Skal I dokumentere DORA-relaterede kontroller over for kunder?

IKT-leverandører til den finansielle sektor oplever i stigende grad krav om at dokumentere, hvordan de understøtter kundernes efterlevelse af DORA.

Det kan medføre gentagne spørgeskemaer, kundeaudits og krav om dokumentation for blandt andet:

  • Informationssikkerhed og adgangsstyring
  • Hændelseshåndtering
  • Beredskab og genetablering
  • Sårbarheds- og sikkerhedstest
  • Styring af underleverandører
  • Overvågning og rapportering
  • Kontraktuelle DORA-forpligtelser

Hvis kunderne efterspørger uafhængig dokumentation, kan en ISAE 3000 DORA erklæring være relevant. En ISAE 3000 DORA erklæring kan målrettes de kontroller, der understøtter leverandørens DORA-relaterede forpligtelser, og give relevante kunder indsigt i, hvilke kontroller der er omfattet, hvordan de er testet, og hvilke resultater testen har givet. 

Et enkelt og målrettet forløb

  1. Afklaring: Vi fastlægger, hvordan DORA påvirker virksomheden og jeres leverancer.
  2. GAP-vurdering: Vi identificerer mangler i processer, kontroller og dokumentation.
  3. Roadmap: I får en prioriteret plan med tydelige aktiviteter og ansvar.
  4. Implementering: Vi hjælper med at etablere de nødvendige løsninger.
  5. Dokumentation: Ved kundekrav kan en særskilt ISAE 3000-erklæring være næste skridt.

Få afklaret, hvor I står

Kontakt os for en indledende dialog om jeres DORA-forpligtelser, væsentligste gaps og behovet for dokumentation til kunder.

Alexander Petersen
IT Audit l Head of IT Risk & Compliance
Se profil
33 37 60 15
Andreas Moos
IT Audit l Head of IT Risk Assurance
Se profil
33 37 60 20

Er du i tvivl om, hvor I skal starte?

Vi starter med en uforpligtende afklaring, hvor vi hjælper jer med at skabe overblik, prioritere indsatsen og lægge en konkret plan.