Seks m\u00e5neder etter at Digital Operational Resilience Act (DORA) tr\u00e5dte i kraft, oppdaget finansinstitusjoner at det \u00e5 bygge resiliens ikke bare handler om \u00e5 krysse av regulatoriske bokser \u2013 det handler om \u00e5 drive organisatorisk transformasjon. Forordningen omformer hvordan selskaper h\u00e5ndterer IKT-risiko, styrker den operasjonelle risikostyringen, responderer p\u00e5 hendelser og f\u00f8rer tilsyn med tredjepartsleverand\u00f8rer, og gj\u00f8r resiliens til en strategisk prioritet snarere enn en samsvars\u00f8velse.<\/p>\n
For CISO-er, risikoansvarlige og styringsfagfolk markerer dette \u00f8yeblikket et vendepunkt. Styring er ikke lenger en bakgrunnsfunksjon \u2013 det er ryggraden i digital resiliens. For mange avhenger det \u00e5 oppn\u00e5 regulatorisk samsvar i banksektoren n\u00e5 av hvordan styringsstrukturer tilpasser seg. Denne bloggen utforsker hvorfor styring har inntatt hovedscenen under DORA, og hvordan institusjoner kan tilpasse strategiene sine for ikke bare \u00e5 overholde, men \u00e5 blomstre i den nye, resiliensdrevne \u00e6raen.<\/p>\n
Styring har raskt blitt hj\u00f8rnesteinen i digital resiliens under DORA. Forordningen krever at finansinstitusjoner etablerer robust tilsyn p\u00e5 tvers av fem n\u00f8kkelpilarer \u2013 IKT-risikostyring, krav til hendelsesrapportering, rammeverk for resilienstesting som trusselledet penetrasjonstesting (TLPT), tredjepartsrisiko og deling av trusseletterretning \u2013 og plasserer dermed styring i hjertet av samsvar og operasjonell resiliens (EIOPA<\/a>).<\/p>\n Samtidig er implementeringsbyrden betydelig: studier viser at nesten halvparten av finansinstitusjonene investerer over 1 mill. \u20ac i samsvarsarbeid, mens 79 % av de ansatte rapporterer h\u00f8yere stressniv\u00e5er knyttet til disse cyberresiliens-mandatene (TechRadar<\/a>). Til sammen understreker dette presset hvorfor styringsstrukturer m\u00e5 utvikle seg \u2013 ikke bare for \u00e5 m\u00f8te regulatoriske frister, men for \u00e5 opprettholde effektivitet, moral og langsiktig resiliens.<\/p>\n DORA posisjonerer styring som ryggraden i digital resiliens og krever at institusjoner styrker tilsynet p\u00e5 tvers av disse fem omr\u00e5dene:<\/p>\n Styring sikrer at IKT-risikorammeverk er styregodkjente, regelmessig oppdaterte og kontinuerlig overv\u00e5ket (digital-operational-resilience-act.com<\/a>, ESMA<\/a>).<\/p>\n Klare protokoller, roller og klassifiseringsstrukturer er avgj\u00f8rende for \u00e5 m\u00f8te DORAs strenge krav til hendelsesrapportering (EIOPA<\/a>).<\/p>\n Styring garanterer at testsimuleringer utf\u00f8res, dokumenteres, gjennomg\u00e5s og f\u00f8lges av korrigerende tiltak (EIOPA<\/a>).<\/p>\n Tilsyn omfatter due diligence av leverand\u00f8rer, kontraktsmessige sikringer og l\u00f8pende overv\u00e5king for \u00e5 redusere eksponering fra eksterne leverand\u00f8rer (Skadden<\/a>).<\/p>\nHvordan implementere DORA-styring i finansinstitusjoner<\/h1>\n
Tilsyn med IKT-risiko<\/h2>\n
Ansvar for hendelsesrapportering<\/h2>\n
Testing av operasjonell resiliens (TLPT)<\/h2>\n
Tilsyn med tredjepartsleverand\u00f8rer for DORA-samsvar<\/h2>\n
Informasjonsdeling og regulatorisk koordinering<\/h2>\n