Hva er DORA?
DORA er EU-forordning 2022/2554, Digital Operational Resilience Act (forordningen om digital operasjonell motstandsdyktighet). Den stiller bindende krav til hvordan finansielle enheter håndterer risiko knyttet til sin avhengighet av informasjons- og kommunikasjonsteknologi. Forordningen trådte i kraft 16. januar 2023 og ble gjeldende 17. januar 2025.
Forordningen gjelder for omtrent 22 000 finansielle enheter som opererer i EU. Tilsynet utøves av nasjonale tilsynsmyndigheter som ECB, EBA, ESMA og EIOPA, avhengig av type enhet. Manglende etterlevelse kan resultere i tilsynstiltak og økonomiske sanksjoner.
DORA samler IKT-risikokrav som tidligere var spredt over flere sektorspesifikke direktiver. Forordningen innfører et enkelt, teknologinøytralt rammeverk som dekker fem områder: styring, risikostyring, hendelsesrapportering, testing av motstandsdyktighet og tredjepartstilsyn. Hvert område er knyttet til spesifikke artikler i forordningen og til tilhørende regulatoriske tekniske standarder (RTS) og gjennomføringsstandarder (ITS) publisert av ESA-ene.
De 5 pilarene i DORA-samsvar
DORA organiserer sine krav i fem distinkte områder. Hver pilar har sitt eget artikkelområde, tilhørende tekniske standarder og spesifikke forpliktelser som varierer etter enhetstype og størrelse.
Ledelsesorganet i en finansiell enhet er ansvarlig for å godkjenne, overvåke og være ansvarlig for rammeverket for IKT-risikostyring. Dette kan ikke delegeres helt til IT-avdelingen. Art. 5(2) gjør ledelsesorganet personlig ansvarlig for å definere IKT-risikoappetitt og holde seg informert om IKT-trusselbildet.
Enheter må utarbeide og vedlikeholde et dokumentert rammeverk for IKT-risikostyring, som gjennomgås minst årlig. Rammeverket skal omfatte en IKT-strategi, en internrevisjonsfunksjon med IKT-kompetanse, og tydelige retningslinjer for IKT-sikkerhet, tilgangskontroll og dataforvaltning.
Denne pilaren dekker det operative innholdet i rammeverket for risikostyring. Enheter skal vedlikeholde et komplett, oppdatert register over IKT-eiendeler (art. 8), kartlegge avhengigheter mellom funksjoner, eiendeler og leverandører, og identifisere trusler og sårbarheter på løpende basis.
Beredskapsplaner og IKT-katastrofegjenopprettingsplaner er obligatoriske i henhold til art. 11. Disse planene skal inneholde definerte gjenopprettingsmål: Recovery Time Objective (RTO), Recovery Point Objective (RPO) og Maximum Tolerable Period of Disruption (MTPD) for hver kritisk funksjon.
DORA krever en dokumentert prosess for å oppdage, klassifisere og håndtere IKT-relaterte hendelser. Klassifiseringsrammeverket i art. 18, og den delegerte forordningen CDR 2024/1772, definerer kriterier for hva som utgjør en alvorlig hendelse, inkludert antall berørte kunder, varighet, datatap, geografisk spredning og økonomisk påvirkning.
For alvorlige hendelser er rapporteringsfristene strenge og ufravikelige. En innledende varsling skal sendes til tilsynsmyndigheten innen 4 timer etter at enheten har klassifisert hendelsen som alvorlig, og under enhver omstendighet senest 24 timer etter at hendelsen først ble oppdaget. En mellomrapport følger innen 72 timer. En sluttrapport skal leveres innen én måned etter at hendelsen er avsluttet.
Alle finansielle enheter som er omfattet, skal ha et testprogram som dekker deres kritiske IKT-systemer. Som minimum betyr dette årlige sårbarhetsvurderinger og nettverkssikkerhetsgjennomganger. Programmet skal være forholdsmessig i forhold til enhetens størrelse, risikoprofil og forretningsmodell.
Større eller mer systemviktige enheter skal gjennomføre trusseldrevet penetrasjonstesting (TLPT) minst hvert tredje år. TLPT følger en strukturert metodikk definert i RTS 2025/1190 og innebærer testing av produksjonssystemer basert på reell trusseletterretning, med deltakelse fra enhetens kritiske IKT-tredjepartsleverandører.
Finansielle enheter skal føre et informasjonsregister over alle IKT-tredjepartsavtaler, strukturert i henhold til ITS 2024/2956. Dette registeret leveres til tilsynsmyndigheter på forespørsel, og for de fleste enheter var første frist 30. april 2025. Enheter skal også gjennomføre risikovurderinger før kontraktsinngåelse for leverandører som støtter kritiske eller viktige funksjoner (CIF-er), og vurdere konsentrasjonsrisiko på tvers av sin leverandørbase.
Kontrakter med leverandører av CIF-relaterte tjenester skal inneholde obligatoriske klausuler i henhold til art. 30(2), som dekker utgangsrettigheter, revisjonstilgang, tjenestenivåforpliktelser, sikkerhetskrav og varsling om underleverandører. Kritiske IKT-tredjepartsleverandører (CTPP-er) er underlagt direkte EU-tilsyn av en utpekt hovedtilsynsfører fra ESA-ene.
Sjekkliste for DORA-samsvar
Bruk denne sjekklisten for å vurdere hvor din organisasjon står. Hvert punkt er knyttet til en spesifikk DORA-artikkel. Ønsker du et poengsatt resultat på tvers av alle fem pilarer, dekker det gratis vurderingsverktøyet 25 spørsmål på omtrent 3 minutter.
Tidslinje for DORA-samsvar
DORA har en fastsatt lovgivningstidslinje. Datoene nedenfor er de som er viktige for planlegging av etterlevelse og dialog med tilsynsmyndigheter.
Hvem gjelder DORA for?
DORA definerer sitt virkeområde i art. 2. Forordningen dekker et bredt spekter av finanssektorenheter, inkludert både foretak med EU-lisens og IKT-tjenesteleverandører som betjener dem. Dersom du opererer i EUs finanssektor eller leverer IKT-tjenester til finansielle enheter i EU, er du sannsynligvis omfattet.
Hvordan DORA GRC hjelper
DORA GRC er bygget spesifikt for de fem pilarene beskrevet ovenfor. Hver modul er knyttet til en seksjon av forordningen, slik at du alltid jobber i konteksten av en bestemt artikkel i stedet for et generisk samsvarsverktøy.
Styring og risikorammeverk
IKT-risikoregisteret, eiendelregisteret, CIF-registeret og kontrollbiblioteket gir ledelsesorganet én samlet oversikt over IKT-risiko. Rapporter på styrenivå genereres automatisk fra aktive data og dekker punktene som kreves under art. 5. Risikoer er koblet til eiendeler, kontroller og hendelser slik at ingenting havner i separate regneark.
Hendelseshåndtering og rapportering
Hendelsesregisteret klassifiserer hendelser ved hjelp av CDR 2024/1772-kriteriene og sporer fristene på 4 timer, 72 timer og 1 måned automatisk. ITS 2024/2956-rapportmaler forhåndsutfylles fra hendelsesposten, slik at compliance-teamet bruker tid på nøyaktighet i stedet for formatering.
Testprogram for motstandsdyktighet
Testmodulen administrerer din årlige testplan, sporer hvilke kritiske IKT-systemer som er dekket, og registrerer resultater mot hver test. Resultater mates tilbake til risikoregisteret, som er tilbakemeldingssløyfen art. 25 krever. Dersom du er omfattet av TLPT, dokumenterer TLPT-sporeren omfang, testerens kvalifikasjoner og koordinering med tilsynsmyndigheten.
Tredjepartsrisiko og informasjonsregister
Leverandørregisteret og informasjonsregistermodulen dekker hele virkeområdet i art. 28 til 44. Kontraktsposter inkluderer sporing av obligatoriske klausuler mot art. 30(2). Informasjonsregisteret er strukturert etter ITS 2024/2956-skjemaet og kan eksporteres som en EBA-formatert innsendingsfil. Konsentrasjonsrisiko-dashboardet gir ledelsesorganet oversikten som kreves under art. 28(5).
For en komplett liste over funksjoner på tvers av alle fem pilarer, se funksjonssiden.