DORA-Forordningen (Finansiel It-sikkerhed)

Hvad er DORA-forordningen?

DORA er EU's regelsæt for it-sikkerhed og driftsstabilitet i den finansielle sektor. Det fulde navn er forordningen om digital operationel modstandsdygtighed, forordning (EU) 2022/2554. Fordi det er en forordning og ikke et direktiv, gælder reglerne direkte i Danmark uden en dansk lov ovenpå. De har fundet anvendelse siden 17. januar 2025, og Finanstilsynet fører tilsynet.

Tanken bag reglerne er enkel. En bank, et pensionsselskab eller et betalingsinstitut kan ikke levere noget som helst, hvis it-systemerne ligger ned. Derfor skal virksomheden kunne holde sine kritiske funktioner kørende — også når et system fejler, en leverandør bliver ramt, eller nogen angriber den.

Kravene er samlet i fem søjler. Første søjle er styring af IKT-risici, altså it-risici; IKT er EU-sprog for informations- og kommunikationsteknologi. Anden søjle er håndtering, klassificering og indberetning af it-hændelser. Tredje søjle er test af modstandsdygtigheden. Fjerde søjle er styring af risikoen ved it-leverandører. Femte søjle er frivillig deling af oplysninger om cybertrusler mellem virksomheder.

Omfattet er blandt andet kreditinstitutter, betalingsinstitutter, e-pengeinstitutter og investeringsselskaber. Det samme gælder forsikrings- og genforsikringsselskaber, større forsikringsformidlere og arbejdsmarkedspensionsselskaber. Dertil kommer værdipapircentraler, fondsmæglere, investeringsforvaltningsselskaber, kryptovirksomheder under MiCA-forordningen og flere andre typer. Mindre enheder kan være underlagt en forenklet ramme for IKT-risikostyring efter forordningens artikel 16.

I dansk praksis er det især fire problemer, arbejdet handler om at løse.

Det første er manglende overblik over leverandørerne. De færreste kunne før 2025 svare præcist på, hvilke it-leverandører og underleverandører der bar deres kritiske funktioner. DORA kræver et register over alle kontraktlige ordninger om it-tjenester, jf. artikel 28, stk. 3. Registret skal indsendes til Finanstilsynet en gang om året gennem systemet e-Reg. I 2026 var fristen 31. marts.

Det andet er hændelser, der håndteres ad hoc. DORA sætter faste frister. Den indledende underretning skal sendes hurtigst muligt og inden for fire timer, fra virksomheden har klassificeret hændelsen som væsentlig, dog senest 24 timer efter at den blev opmærksom på hændelsen. Den foreløbige rapport skal sendes senest 72 timer efter den indledende underretning. Den endelige rapport skal sendes senest en måned efter seneste opdatering af den foreløbige rapport. Indberetningen sker på virk.dk med MitID Erhverv.

Det tredje er kontrakter, der ikke holder. Aftaler med cloud- og driftsleverandører skal indeholde bestemmelser om serviceniveau, adgang til revision og inspektion, håndtering af underleverandører, genopretning af data og en exitplan, så virksomheden kan komme videre uden leverandøren.

Det fjerde er test, der sker sporadisk. DORA kræver et fast testprogram, og for udvalgte, betydelige enheder desuden trusselsbaserede penetrationstest (TLPT). I Danmark køres de under Danmarks Nationalbanks program TIBER-DK, og Nationalbanken udpeger, hvem der skal testes. En gennemført TIBER-DK-test tæller også som en TLPT efter DORA.

Et sidste vigtigt punkt: ansvaret ligger i ledelsen. Rammeværk, politikker og beredskabsplaner skal godkendes af ledelsen, og det er ledelsen, Finanstilsynet holder ansvarlig. DORA kan derfor ikke parkeres alene hos it-afdelingen.

It-leverandører til sektoren mærker også reglerne, selvom de ikke selv er finansielle virksomheder. Deres kunder er nødt til at stille kravene videre i kontrakterne. Kun leverandører, der udpeges som kritiske på EU-niveau, kommer under direkte tilsyn.

Hvem arbejder med DORA-forordningen?

Ingen enkelt faggruppe ejer området. DORA rammer jura, it-drift, risikostyring og revision på samme tid, og det er netop derfor, det er svært at bemande.

De roller, der typisk sidder med opgaven, er it-risikoansvarlige og IKT-risikomanagere, informationssikkerhedschefer (CISO), compliance-medarbejdere, jurister og advokater med finansiel regulering som felt, leverandøransvarlige og vendor managers, beredskabsansvarlige (business continuity), intern revision samt it-arkitekter og driftsansvarlige. Til TLPT kommer specialiserede red teamere og threat intelligence-folk. Over dem alle sidder direktion og bestyrelse med det formelle ansvar.

I en stor bank eller et stort pensionsselskab er det et helt team med hver sin søjle. I et mindre pengeinstitut, et betalingsinstitut eller en fintech er det ofte én person, der både er it-sikkerhedsansvarlig, risikoansvarlig og DORA-ansvarlig. Det er den type virksomhed, der oftest køber hjælp udefra.

En enkelt specialist giver mening, når opgaven er afgrænset og kendt. Det kan være at få registret over it-tredjepartsudbydere bygget og valideret, at gennemgå leverandørkontrakter for de bestemmelser DORA kræver, at skrive hændelsesproceduren, at lave en gap-analyse mod forordningen og de tekniske standarder, eller at forberede virksomheden på en it-inspektion. Her tæller det mere, at personen selv har siddet indenfor i en tilsynsbelagt virksomhed, end at vedkommende har generel compliance-erfaring.

Et bureau, konsulenthus eller advokatkontor giver mening, når flere fagligheder skal køre samtidig, når arbejdet strækker sig over måneder, eller når virksomheden har brug for en vurdering, som en uafhængig tredjepart har lavet og kan stå på mål for. Trusselsbaserede penetrationstest skal desuden købes hos testleverandører, der lever op til kravene i reglerne — det er et hold, ikke en enkelt freelancer.

En tredje kundegruppe glemmes ofte: it-leverandører til finanssektoren. De hyrer hjælp til at svare på kundernes DORA-spørgeskemaer og til at få egne kontrakter og dokumentation i en form, kunderne kan bruge over for Finanstilsynet.

Kurser og uddannelser i DORA-forordningen

Der findes ingen officiel DORA-uddannelse, ingen autorisation og ingen godkendelsesordning. Ingen myndighed udsteder et DORA-bevis. Vejen ind går gennem en sikkerheds-, revisions- eller juridisk faglighed i bunden, et par korte kurser og derefter reel erfaring fra en virksomhed under tilsyn.

Af danske kurser er der især to, der peges på. Teknologisk Institut udbyder DORA i praksis: fra implementering til operationel robusthed, som gennemgår de fem søjler, roller og ansvar samt den daglige drift af opgaven, og som også er skrevet til leverandører til sektoren. JUC udbyder DORA-forordningen for specialister, der ikke er et introkursus, men forudsætter kendskab til DORA og går ind i de tekniske standarder (RTS og ITS) og koblingen til ISO 27001, NIST og CIS. Priser oplyses af udbyderne. JUC oplyser, at kurset kan godkendes som obligatorisk efteruddannelse for advokater.

Er du ansat i en virksomhed, der er omfattet af overenskomsten mellem Finanssektorens Arbejdsgiverforening og Finansforbundet, kan der søges støtte til kurset gennem Finanskompetencepuljen.

Certificeringer bruges som dokumentation for fagligheden bagved. De, der går igen i feltet, er ISACA's CISA (it-revision), CRISC (it-risikostyring) og CISM (sikkerhedsledelse), ISC2's CISSP samt lead implementer- eller lead auditor-uddannelse i ISO/IEC 27001. Ingen af dem er DORA-certificeringer, og ingen af dem kan stå alene som bevis for, at man kan implementere forordningen.

Den tungeste kvalifikation er stadig erfaring, man ikke kan købe sig til på et kursus: at have indsendt registret, at have håndteret en indberetningspligtig hændelse under tidsfristerne, eller at have været igennem en it-inspektion fra Finanstilsynet.

Selvstudium er reelt en stor del af faget. Forordningen findes på dansk, og de tekniske standarder er den egentlige pensum. Den, der kan finde det rigtige RTS-dokument og læse det, er længere end den, der har taget kurset.

Standardværker og ressourcer om DORA

Der findes ikke et dansk standardværk om DORA. Området er for nyt, praksis er stadig ved at sætte sig, og de bøger der findes, forældes hurtigere end reglerne udvikler sig. Fagfolk arbejder derfor ud fra primærkilderne.

Selve forordning (EU) 2022/2554 findes på dansk i EU's lovdatabase EUR-Lex og er udgangspunktet for alt andet.

Ovenpå ligger de delegerede forordninger og gennemførelsesforordninger, altså RTS'erne og ITS'erne. De er der, hvor de konkrete krav står — klassificering af hændelser, indhold og frister for rapporter, standardmodellen for registret og kravene til TLPT. Finanstilsynet holder en samlet oversigt over dem.

Finanstilsynets egne temasider om indberetning af IKT-relaterede hændelser og om indsendelse af registret er det, danske virksomheder rent faktisk arbejder efter. De indeholder frister, skemaer og indberetningsvej.

Til test er Danmarks Nationalbanks TIBER-DK-implementeringsdokument den centrale kilde. Det beskriver forløbet i en trusselsbaseret test og kravene til de involverede parter.

ESA'erne — EBA, ESMA og EIOPA — udgiver spørgsmål og svar, datamodeller og valideringsregler til registerindberetningen. Det er dem, man slår op i, når en indberetning bliver afvist.

Endelig er Finanstilsynets inspektionsredegørelser og temaundersøgelser den nærmeste danske pendant til praksis. De viser, hvordan kravene læses i virkeligheden, og hvad tilsynet faktisk kigger efter.

Af standarder bygger de fleste danske rammeværk på ISO/IEC 27001 for informationssikkerhedsledelse og ISO 22301 for beredskab, ofte suppleret med NIST Cybersecurity Framework eller CIS Controls til kontrollerne. DORA kræver ingen bestemt standard, men det er dem, virksomhederne mapper deres kontroller op mod, når de skal vise sammenhæng til tilsynet.