Ett år etter at DORA trådte i kraft, begynner det å tegne seg et tydelig bilde av hva Finanstilsynet forventer av norske finansforetak. De første tilsynene har i liten grad fokusert på nye policyer og styringsdokumenter. I stedet etterspør de dokumentasjon på at kravene faktisk er operasjonalisert i virksomheten.
Fra rammeverk til praktisk gjennomføring
De første DORA-tilsynene omfatter blant annet banker, forsikringsselskaper og kapitalforvaltere. Selv om virksomhetene som kontrolleres er ulike, ser Finanstilsynet etter de samme forholdene på tvers av tilsynene, herunder hvordan kravene er omsatt til konkrete rutiner, kontrollaktiviteter, rapportering, opplæring og oppfølging i praksis.For mange virksomheter har det første året med DORA handlet om å etablere styrende dokumenter. Tilsynene tyder imidlertid på at det er den løpende forvaltningen av disse som nå blir avgjørende.
DORA-ansvaret kan ikke utkontrakteres
Et gjennomgående budskap fra tilsynene er at ansvaret for DORA-etterlevelse fortsatt ligger hos det enkelte finansforetaket, selv om kritiske tjenester leveres av eksterne leverandører eller ivaretas gjennom bankallianser, banksamarbeid eller felles konsernfunksjoner. Selv om en sentralisert sikkerhets- eller IKT-funksjon har etablert sikkerhetstiltak og kontrollmekanismer, må hvert enkelt foretak kunne dokumentere egne vurderinger, kontroller og oppfølging. Sertifiseringer, revisjonsrapporter og tredjepartsuttalelser kan være viktige informasjonskilder, men de erstatter ikke virksomhetens eget ansvar for etterlevelse.Dette får også konsekvenser for leverandører til finanssektoren.
Økte forventninger til leverandørenes dokumentasjon
Tilsynene peker på at finansforetakene må kunne vise at leverandørstyringen er tilstrekkelig konkret og etterprøvbar. Det innebærer blant annet at dokumentasjon fra leverandører må gi et klart bilde av hvilke tjenester, systemer og kontrollområder som faktisk er omfattet.Finanstilsynet legger dermed ikke bare vekt på om finansforetaket har innhentet sertifiseringer, revisjonsrapporter eller tredjepartsuttalelser, men også om dokumentasjonen er relevant for de konkrete tjenestene foretaket er avhengig av. Et generelt eller avgrenset scope kan derfor være utilstrekkelig dersom det ikke dekker de kritiske leveransene og kontrollene som DORA krever oppfølging av.
For leverandører betyr dette at dokumentasjonen i større grad må kunne kobles til kundenes regulatoriske behov. Det bør fremgå tydelig hvilke deler av tjenesten som omfattes, hvilke kontroller som er vurdert, og hvordan dette understøtter finansforetakets plikt til å følge opp utkontrakterte IKT-tjenester.
Beredskap må testes i praksis
Et annet gjennomgående område fra tilsynsrapportene er betydningen av testing og øvelser. Finanstilsynet forventer at slike aktiviteter er risikobaserte og tett koblet til virksomhetens faktiske kritiske tjenester og systemer.Analysearbeidet må derfor brukes aktivt til å definere hva som skal testes, hvilke scenarioer virksomheten bør øve på, og hvilke svakheter som må følges opp i etterkant. Realistiske øvelser og systematisk oppfølging av testresultater fremstår derfor som sentrale forventninger.
Hva betyr dette for din virksomhet?
Dersom du er et finansforetak, bør du kunne dokumentere hvordan DORA-kravene følges opp i praksis, både internt og hos kritiske leverandører.Dersom du er leverandør til finanssektoren, bør du vurdere om eksisterende sertifiseringer, ISAE-erklæringer eller andre tredjepartsuttalelser faktisk dekker de tjenestene og kontrollene kundene dine trenger dokumentasjon på.
Ett år med DORA viser at dokumentasjon alene ikke er nok. Både finansforetak og leverandører må kunne vise at kravene er integrert i den daglige virksomheten.
Les mer om digital sikkerhet og informasjonssikkerhet