Seks m\u00e5neder efter at Digital Operational Resilience Act (DORA) tr\u00e5dte i kraft, opdagede finansielle institutioner, at det at opbygge resiliens ikke kun handler om at s\u00e6tte kryds i regulatoriske felter \u2013 det handler om at drive organisatorisk transformation. Forordningen omformer, hvordan virksomheder h\u00e5ndterer IKT-risici, styrker den operationelle risikostyring, reagerer p\u00e5 h\u00e6ndelser og f\u00f8rer tilsyn med tredjepartsleverand\u00f8rer, og g\u00f8r resiliens til en strategisk prioritet snarere end en overholdelses\u00f8velse.<\/p>\n
For CISO\u2019er, risikoansvarlige og styringsfagfolk markerer dette \u00f8jeblik et vendepunkt. Styring er ikke l\u00e6ngere en baggrundsfunktion \u2013 den er rygraden i digital resiliens. For mange afh\u00e6nger det at opn\u00e5 regulatorisk overholdelse i banksektoren nu af, hvordan styringsstrukturer tilpasser sig. Denne blog udforsker, hvorfor styring er rykket i centrum under DORA, og hvordan institutioner kan tilpasse deres strategier for ikke blot at overholde, men trives i den nye, resiliensdrevne \u00e6ra.<\/p>\n
Styring er under DORA hurtigt blevet hj\u00f8rnestenen i digital resiliens. Forordningen kr\u00e6ver, at finansielle institutioner etablerer robust tilsyn p\u00e5 tv\u00e6rs af fem n\u00f8gles\u00f8jler \u2013 IKT-risikostyring, krav til h\u00e6ndelsesrapportering, rammev\u00e6rker for resilienstest s\u00e5som trusselsledet penetrationstest (TLPT), tredjepartsrisiko og deling af trusselsefterretning \u2013 og placerer dermed styring i hjertet af overholdelse og operationel resiliens (EIOPA<\/a>).<\/p>\n Samtidig er implementeringsbyrden betydelig: unders\u00f8gelser viser, at n\u00e6sten halvdelen af de finansielle institutioner investerer over 1 mio. \u20ac i overholdelsesarbejde, mens 79 % af medarbejderne rapporterer h\u00f8jere stressniveauer knyttet til disse cyberresiliens-mandater (TechRadar<\/a>). Tilsammen understreger dette pres, hvorfor styringsstrukturer skal udvikle sig \u2013 ikke kun for at overholde regulatoriske frister, men for at opretholde effektivitet, moral og langsigtet resiliens.<\/p>\n DORA positionerer styring som rygraden i digital resiliens og kr\u00e6ver, at institutioner styrker tilsynet p\u00e5 tv\u00e6rs af disse fem dom\u00e6ner:<\/p>\n Styring sikrer, at IKT-risikorammev\u00e6rker er bestyrelsesgodkendte, regelm\u00e6ssigt opdaterede og l\u00f8bende overv\u00e5gede (digital-operational-resilience-act.com<\/a>, ESMA<\/a>).<\/p>\n Klare protokoller, roller og klassifikationsstrukturer er afg\u00f8rende for at opfylde DORA\u2019s strenge krav til h\u00e6ndelsesrapportering (EIOPA<\/a>).<\/p>\n Styring garanterer, at testsimuleringer udf\u00f8res, dokumenteres, gennemg\u00e5s og f\u00f8lges af korrigerende handlinger (EIOPA<\/a>).<\/p>\n Tilsynet omfatter due diligence af leverand\u00f8rer, kontraktm\u00e6ssige sikringer og l\u00f8bende overv\u00e5gning for at reducere eksponeringen fra eksterne leverand\u00f8rer (Skadden<\/a>).<\/p>\nS\u00e5dan implementerer du DORA-styring i finansielle institutioner<\/h1>\n
Tilsyn med IKT-risici<\/h2>\n
Ansvar for h\u00e6ndelsesrapportering<\/h2>\n
Test af operationel resiliens (TLPT)<\/h2>\n
Tilsyn med tredjepartsleverand\u00f8rer for DORA-overholdelse<\/h2>\n
Informationsdeling og regulatorisk koordinering<\/h2>\n