Question 1

Vilka företag omfattas av DORA?

Accepted Answer

DORA gäller finansiella enheter som banker, betalningsinstitut, institut för elektroniska pengar, värdepappersföretag, kryptotillgångsleverantörer, försäkringsbolag och fondförvaltare, samt kritiska tredjepartsleverantörer av IKT-tjänster. Förordningen tillämpas från den 17 januari 2025. Mindre företag omfattas av ett förenklat ramverk för IKT-risk.

Question 2

Vad måste stå i avtalet med en IKT-leverantör enligt DORA?

Accepted Answer

Rättigheter och skyldigheter ska anges skriftligt i ett enda dokument som omfattar servicenivåerna. Avtalet ska bland annat beskriva tjänsterna, var data behandlas och lagras, krav på tillgänglighet, säkerhet och skydd av data, skyldighet att hjälpa till vid IKT-incidenter, samarbete med tillsynsmyndigheten samt rätt att säga upp avtalet. För tjänster som stöder kritiska eller viktiga funktioner krävs dessutom bland annat servicenivåer med mätbara mål, beredskapsplaner, deltagande i tester, rätt till granskning och en exitstrategi.

Question 3

Vilka krav ställer DORA på säkerhetskopiering och återställning?

Accepted Answer

Finansiella entiteter ska ha policyer och rutiner för säkerhetskopiering som anger vilka data som säkerhetskopieras och hur ofta, samt metoder för återställning. Säkerhetskopiering och återställning ska testas regelbundet. Vid återställning i egna system ska system användas som är fysiskt och logiskt åtskilda från källsystemet. Företag som inte är mikroföretag ska dessutom ha redundant IKT-kapacitet.

Question 4

Måste vi rapportera IT-incidenter enligt DORA?

Accepted Answer

Ja. Finansiella entiteter ska klassificera IKT-relaterade incidenter och rapportera större incidenter till sin tillsynsmyndighet, i Sverige normalt Finansinspektionen. Rapporteringen sker i steg med en inledande anmälan, en mellanrapport och en slutrapport. Kunder ska informeras om incidenten påverkar deras ekonomiska intressen.

Question 5

Vilket ansvar har styrelsen enligt DORA?

Accepted Answer

Ledningsorganet bär det slutliga ansvaret för att hantera IKT-risker. Det ska fastställa och godkänna ramverket för IKT-risk, avsätta budget, godkänna policy för IKT-tredjepartstjänster och hålla sina kunskaper om IKT-risk aktuella genom regelbunden utbildning.

Question 6

Vad måste avtal med IT-leverantörer innehålla enligt DORA?

Accepted Answer

Avtal om IKT-tjänster ska vara skriftliga och bland annat beskriva tjänsterna, var data behandlas, krav på tillgänglighet och säkerhet, stöd vid incidenter, uppsägningsrätt och exitstrategi. Avtal som stöder kritiska eller viktiga funktioner kräver dessutom tjänstenivåer, rätt till revision och deltagande i tester. Den finansiella enheten ska föra ett informationsregister över alla sådana avtal.

Question 7

Måste vi göra hotstyrda penetrationstester enligt DORA?

Accepted Answer

Alla finansiella enheter utom mikroföretag ska ha ett program för test av digital operativ motståndskraft. Hotstyrda penetrationstester (TLPT) krävs bara av enheter som tillsynsmyndigheten pekar ut, och ska då göras minst vart tredje år.

DORA: digital operativ motståndskraft i finanssektorn