Hvordan bygger vi et DORA-register over IKT-leverandører uden at drukne i Excel?

For at etablere et DORA-register over IKT-leverandører er det vigtigt først at starte med en grundig gennemgang af jeres eksisterende kontraktliste. Her bør I skære ned til de reelle IKT-tjenester, som er relevante for jeres organisation. Det er afgørende at have en klar oversigt over, hvilke tjenester der er dækket af hver kontrakt, og hvordan de relaterer sig til jeres overordnede IT-sikkerhedsstrategi.

Når I har identificeret de relevante aftaler, skal I for hver enkelt kontrakt indsamle og dokumentere vigtige oplysninger som tjeneste, juridisk enhed, kritikalitet, datalokation, underleverandører, opsigelsesbetingelser, exit-planer og ansvarlig forretningsejer. Disse oplysninger danner grundlaget for at kunne vurdere risikoen og implementere kontroller i overensstemmelse med DORA.

For at undgå de begrænsninger, der ofte følger med brugen af Excel, anbefales det at anvende et Governance, Risk, and Compliance (GRC) værktøj. Et sådant værktøj kan hjælpe med at sikre versionsstyring og kvalitetssikring af de data, I indsamler. Det vil også gøre det lettere at vedligeholde ensartede definitioner og sikre sporbarhed fra kontrakt til risiko og kontrol.

Det vigtigste element i denne proces er at sikre, at alle involverede parter har en fælles forståelse af, hvad der menes med de forskellige termer og kategorier. Dette vil ikke kun lette arbejdet med at opbygge registeret, men også bidrage til en mere effektiv håndtering af risici og overholdelse af DORA-reglerne.

Kilder: EBA - Digital Operational Resilience Act ↗ · Finanstilsynet - Tilsyn med IKT og datasikkerhed ↗