DORA:
Digital Operational Resilience Act
Vad är DORA?
Tekniska krav i DORA
En av de mest framträdande delarna i DORA är de tekniska krav som ställs på finansiella aktörer och deras IT-infrastruktur. Dessa krav är avsedda att säkerställa en robust och säker digital miljö som kan hantera dagens allt mer sofistikerade cyberhot.
Riskhantering
Ett av DORA viktigaste krav är att alla finansiella aktörer måste ha heltäckande system för att hantera risker kopplade till deras IKT-infrastruktur. Företag måste identifiera kritiska funktioner och tillgångar, säkerställa att dessa skyddas med lämpliga säkerhetssystem, och övervaka för att snabbt upptäcka avvikelser eller cyberhot. Detta omfattar både tekniska lösningar som intrusion detection-system och processer för att kontinuerligt granska och uppdatera skyddet mot nya hot.
Incidenthantering och rapportering
DORA inför också krav på att företag effektivt ska hantera och rapportera cyberincidenter. Företag måste kunna klassificera varje incident enligt specifika kriterier som fastställs av EU tillsynsmyndigheter (ESA) och leverera flera rapporter – från initial till slutlig. Denna rapporteringsstruktur hjälper till att skapa insyn och samordning på EU-nivå, och säkerställer att cyberincidenter hanteras på ett konsekvent sätt.
Regelbundna säkerhetstester
För att säkerställa att IT-systemen är motståndskraftiga mot cyberhot kräver DORA att alla finansiella företag utför regelbundna tester av sina system. Dessa inkluderar årliga tester för att identifiera sårbarheter och, för vissa större aktörer, omfattande penetrationstester (TLPT) vart tredje år. Genom dessa tester simuleras riktiga attacker för att säkerställa att systemen står emot angrepp. Sårbarheter som upptäcks under testerna måste åtgärdas omedelbart.
Tredjepartsleverantörer
En annan viktig del av DORAs är hanteringen av IKT-tjänster från tredjepartsleverantörer. Regelverket ställer krav på att företag noggrant granskar och övervakar sina externa leverantörer för att säkerställa att även de upprätthåller samma höga säkerhetsstandarder. Detta gäller inte bara molnleverantörer, som tidigare varit en särskild fokuspunkt, utan alla leverantörer av IT-tjänster. Avtalen med dessa leverantörer måste inkludera detaljerad information om servicenivåer, datalagring och säkerhetsåtgärder.
Dataskydd och sekretess
För att uppfylla de tekniska kraven i DORA spelar kryptering en central roll. Kryptering är en av de mest effektiva metoderna för att skydda känslig information, och DORA understryker behovet av att använda stark kryptering både för data i vila och under överföring. Genom att kryptera kunddata, finansiella transaktioner och annan kritisk information kan företag minska risken för dataintrång och säkerställa att även om data skulle bli åtkomlig för obehöriga, är den oanvändbar utan rätt krypteringsnyckel.
Förutom kryptering måste företag under DORA säkerställa integriteten och tillgängligheten av data, oavsett om det gäller intern information eller kunddata. Det krävs tekniska lösningar för att förhindra dataförlust och säkerställa att endast behörig personal har åtkomst till kritiska system. Här kan användningen av flerfaktorsautentisering (MFA) och andra säkerhetsverktyg bidra till att stärka skyddet ytterligare.