DORA Compliance Specialist — løn 2026: 64.304 kr. om måneden

En DORA compliance specialist arbejder med at gøre finansielle virksomheder modstandsdygtige over for nedbrud og cyberangreb. DORA står for Digital Operational Resilience Act. Det er en EU-forordning, der stiller ens krav til bl.a. banker, realkreditinstitutter, forsikrings- og pensionsselskaber, betalingsinstitutter, fondsmæglere og kryptoudbydere.

Rollen ligger midt mellem jura, it og risikostyring. Du oversætter en lovtekst til krav, som it-drift, indkøb og forretningen kan arbejde efter. Du er sjældent den, der konfigurerer systemerne. Du er den, der kan dokumentere, at det hele hænger sammen.

Typiske opgaver:

• Lave gap-analyse: hvad kræver forordningen, og hvad gør virksomheden i dag?
• Vedligeholde informationsregistret over alle aftaler om it-ydelser (Register of Information).
• Gennemgå leverandørkontrakter for de krævede vilkår om audit, exit, underleverandører og placering af data.
• Klassificere it-hændelser og forberede indberetning til Finanstilsynet inden for fristerne.
• Planlægge og følge op på test af robusthed, herunder trusselsbaserede penetrationstest efter TIBER-DK.
• Skrive og opdatere politikker for it-risikostyring, backup, beredskab og exitplaner.
• Rapportere status og risikobillede til direktion og bestyrelse.
• Træne kolleger i, hvornår en hændelse skal meldes videre, og til hvem.

En almindelig arbejdsdag starter tit med et hændelsesmøde. Var nattens driftsforstyrrelse en "større hændelse" i forordningens forstand? Bagefter går timerne med kontraktgennemgang sammen med indkøb eller juristerne. Efter frokost er der måske workshop med en forretningsenhed om kritiske funktioner. Sidst på dagen rettes registret til, fordi en leverandør har skiftet underleverandør.

Du arbejder tæt sammen med CISO, it-arkitekter, indkøb, jurister, intern revision og forretningsansvarlige. Meget af arbejdet er at stille de rigtige spørgsmål og skrive svarene ned, så de kan dokumenteres over for tilsynet.

Arbejdspladserne er typisk:

• Banker, realkredit, pension og forsikring.
• Fintech- og betalingsvirksomheder.
• It-fællesskaber og datacentraler i finanssektoren, fx BEC, Bankdata, SDC og JN Data.
• Cloud- og softwareleverandører, der leverer til finansielle kunder.
• Rådgivnings- og revisionshuse, hvor du løser opgaven for flere kunder.

Rollen kaldes i praksis også it-risikorådgiver, operational resilience specialist eller compliance officer med DORA-ansvar. Indholdet er stort set det samme.

Hvilken lovgivning dækker denne rolle?

Rollen findes på grund af EU's DORA-forordning om digital operationel robusthed i den finansielle sektor. Forordningen gælder direkte i Danmark og har været i anvendelse siden januar 2025. Den bygger på fem områder: it-risikostyring, håndtering og indberetning af it-hændelser, test af digital robusthed, styring af tredjepartsrisiko og informationsdeling om trusler. De detaljerede krav står i tekniske standarder fra de europæiske tilsynsmyndigheder EBA, EIOPA og ESMA. Finanstilsynet fører tilsyn i Danmark og modtager både hændelsesindberetninger og informationsregistret. DORA går forud for EU's NIS2-direktiv for de finansielle virksomheder, men mange koncerner arbejder med begge dele samtidig.

Værktøjerne handler mest om at holde styr på dokumentation, aftaler og risici.

• GRC-platforme til risici, kontroller og politikker, fx ServiceNow IRM, Archer, OneTrust, LogicGate eller Diligent.
• Excel, som stadig bærer en stor del af registre og gap-analyser i mindre virksomheder.
• Kontraktdatabaser og indkøbssystemer, hvor leverandøraftaler og klausuler ligger.
• CMDB og ITSM-systemer, typisk ServiceNow eller Jira Service Management, til at koble systemer til forretningsfunktioner.
• Jira, Confluence og SharePoint til projektstyring og versionsstyret dokumentation.
• Indberetningsformater og skabeloner fra de europæiske tilsynsmyndigheder til informationsregistret, ofte som struktureret dataindberetning.
• Finanstilsynets indberetningskanaler til hændelsesrapporter.

Du skal også kunne læse output fra sikkerhedsværktøjer uden at drifte dem. Det gælder SIEM-logning, sårbarhedsscanninger og rapporter fra penetrationstest.

Rammeværk er en del af værktøjskassen:

• ISO 27001 til informationssikkerhed og ISO 22301 til beredskab.
• NIST Cybersecurity Framework og CIS Controls til kontrolstruktur.
• COBIT til it-styring og ansvarsfordeling.
• TIBER-DK, som Nationalbanken står bag, til trusselsbaserede test.

Mange bygger deres eget kontrolbibliotek, der mapper ét sæt kontroller til både DORA, ISO 27001 og NIS2. Det sparer dobbeltarbejde, når tilsyn og kunder spørger om det samme på hver sin måde.