DORA stiller krav til hvordan virksomheter i finanssektoren skal forebygge, håndtere og komme seg etter digitale driftsforstyrrelser.
DORA (Digital Operational Resilience Act) er en EU-forordning som skal styrke den digitale operasjonelle motstandsdyktigheten i finanssektoren. Målet er at banker, forsikringsselskaper, investeringsforetak og andre omfattede virksomheter skal kunne håndtere cyberangrep, tekniske feil og andre digitale driftsforstyrrelser, samtidig som viktige finansielle tjenester opprettholdes eller gjenopprettes.
Forordningen trådte i kraft i EU 16. januar 2023 og fikk anvendelse fra 17. januar 2025. I Norge ble DORA gjennomført gjennom DORA-loven og DORA-forskriften, som trådte i kraft 1. juli 2025.
DORA stiller krav til hvordan virksomheter styrer risiko knyttet til informasjonsteknologi (IKT). Kravene skal bidra til at virksomhetene kan forebygge, oppdage, håndtere og komme seg etter alvorlige digitale hendelser. Tiltakene skal tilpasses virksomhetens størrelse, risikoprofil og virksomhetens art og kompleksitet.
Styring av IKT-risiko: Virksomheter må ha rutiner og systemer for å identifisere, vurdere og håndtere risiko knyttet til teknologi og digitale tjenester. Styret og ledelsen har ansvar for at IKT-risiko håndteres på en forsvarlig måte.
Håndtering og rapportering av hendelser: Virksomheter må kunne oppdage, håndtere og klassifisere IKT-hendelser. Alvorlige hendelser som oppfyller regelverkets kriterier, skal rapporteres til relevante tilsynsmyndigheter innen fastsatte frister.
Testing av digital motstandsdyktighet: Virksomheter må regelmessig teste sikkerheten og motstandsdyktigheten til sine digitale systemer. Dette kan omfatte sårbarhetsanalyser, sikkerhetstesting og simulering av angrep. Enkelte virksomheter er også underlagt krav om avansert trusselbasert penetrasjonstesting.
Styring av tredjepartsrisiko: Virksomheter må identifisere og håndtere risiko knyttet til eksterne IKT-leverandører. Dette omfatter blant annet risikovurderinger, avtalevilkår og oppfølging av leverandører som leverer tjenester virksomheten er avhengig av.
Informasjonsdeling: DORA åpner for frivillig deling av informasjon om cybertrusler mellom finansielle virksomheter innenfor bestemte rammer. Dette skal bidra til bedre trusselforståelse og forebygging. Frivillig trusseldeling må ikke forveksles med den obligatoriske rapporteringen av alvorlige IKT-hendelser.
Sicra bistår virksomheter i finanssektoren med å styrke sikkerheten og den digitale operasjonelle motstandsdyktigheten. Dette omfatter blant annet sikkerhetsanalyser, identifisering og håndtering av sårbarheter, sikkerhetsovervåkning og håndtering av sikkerhetshendelser.
Gjennom rådgivning, modenhetsanalyser og tjenester som Sicra SOC kan Sicra hjelpe virksomheter med å identifisere risiko, prioritere sikkerhetstiltak og forbedre evnen til å oppdage og håndtere digitale hendelser. Dette kan støtte virksomhetens arbeid med å oppfylle relevante krav i DORA.
Sicra SOC - Security Operation Center
Relaterte ord: CISO-for-hire, CER-direktivet (Critical Entities Resilience Directive), Compliance, Cyberforsikring, Cyber Kill Chain, Cybersikkerhet, Datainnbrudd, Dekryptering, Kryptering, Ekspertsystemer (KI), GDPR, ISO 27001, IT-GRC (IT Governance, Risk and Compliance), NIS2, NSM, Pentesting, Sikkerhetsgradering, Sikkerhetsledelse, SOC, Zero Trust, SLA, Trusselintelligens, Sikkerhetsrevisjoner, Kunstig intelligens (KI), Maskinlæring (KI), Kunstig generell intelligens (KGI), Nevrale nettverk og dyp læring (KI).