Veien mot operasjonell motstandsdyktighet: DORA i en norsk kontekst
Implementeringen av Digital Operational Resilience Act (DORA) markerer et fundamentalt skifte for norske finansinstitusjoner. Som en del av EØS-avtalen er forordningen nå juridisk bindende, og forventningene fra Finanstilsynet er klare: Det handler ikke lenger kun om finansiell stabilitet, men om evnen til å opprettholde kritiske tjenester under et cyberangrep. Med over 90 % av norske aktører som rapporterer tredjepartsrisiko som sin største utfordring, kreves det nå en strategisk omlegging av både IT-arkitektur og risikostyringsprosesser.
Hvorfor DORA endrer spillereglene
DORA introduserer en harmonisert ramme for IKT-risikostyring. For norske banker, sparebanker og fintech-selskaper betyr dette at man må gå bort fra «compliance som en sjekkliste» til «compliance som en kontinuerlig tilstand».
| Område | Fokusområde under DORA | Konsekvens for norske firmaer |
|---|---|---|
| IKT-risikostyring | Proaktiv styring og forsvar | Økt krav til styreansvar |
| Hendelsesrapportering | Standardiserte prosesser | Høyere kompleksitet i workflows |
| Tredjepartsrisiko | Supply chain-kontroll | Strengere krav til underleverandører |
| Testing | TLPT (Threat Led Penetration Testing) | Obligatoriske stresstester |
[AD_CENTER]
Strategisk rammeverk for IKT-risikostyring
For å etterleve kravene må ledelsen i norske finansinstitusjoner integrere cybersikkerhet i den overordnede forretningsstrategien. Dette innebærer en tre-trinns tilnærming: identifisering, beskyttelse og gjenoppretting.
Identifisering av kritiske forretningsfunksjoner
Det første steget er å kartlegge hvilke IKT-systemer som er kritiske for virksomhetens drift. Mange norske aktører har undervurdert hvor dypt deres avhengighet av skybaserte tjenester stikker. En grundig analyse av verdikjeden er nødvendig for å sikre at DORA-kravene reflekteres i kontraktene med IT-leverandører.
Styrets rolle og ansvar
Finanstilsynet understreker at styret har det øverste ansvaret for IKT-risikostyring. Det betyr at styremedlemmer må inneha tilstrekkelig kompetanse til å forstå cyberrisiko. Dette er ikke lenger en oppgave forbeholdt IT-avdelingen; det er et strategisk styringsverktøy.
Håndtering av tredjepartsrisiko: Den største barrieren
Statistikk fra 2025 viser at 9 av 10 norske finansinstitusjoner sliter med tredjepartsrisiko. DORA krever at man har full kontroll på hele forsyningskjeden. Dette inkluderer ikke bare direkte leverandører, men også underleverandører av kritiske tjenester.
Praktiske steg for leverandøroppfølging
- Klassifisering: Kategoriser alle tredjepartsleverandører basert på kritikalitet.
- Standardiserte kontrakter: Sørg for at alle kontrakter inneholder spesifikke klausuler om rapporteringsplikt og revisjonsrettigheter.
- Kontinuerlig overvåking: Gå bort fra årlige revisjoner til fordel for sanntidsmonitorering av leverandørenes sikkerhetsposisjon.
[AD_CENTER]
Hendelsesrapportering og stresstesting
Standardiseringen av hendelsesrapportering har økt arbeidsmengden for norske banker med ca. 75 %. For å håndtere dette må institusjoner investere i automatiserte verktøy som kan generere rapporter i henhold til de nye EU-malene uten manuell intervensjon.
TLPT: Trusselbasert penetrasjonstesting
For større norske finansinstitusjoner er TLPT (Threat-Led Penetration Testing) et krav. Dette innebærer simulerte angrep basert på reelle trusselbilder. Målet er å identifisere svakheter før de blir utnyttet av ondsinnede aktører. Erfaringer fra nordiske storbanker viser at disse testene ofte avdekker kritiske sårbarheter i legacy-systemer som man tidligere trodde var sikre.
Fremtidens compliance: Fra manuell til automatisert
Vi ser nå en bølge av RegTech-løsninger som er skreddersydd for det norske markedet. Disse verktøyene hjelper institusjoner med å automatisere etterlevelse, redusere menneskelige feil og sikre at man alltid er «audit-ready».
Konsolidering som en konsekvens
Etter hvert som kravene strammes til, ser vi en konsolidering i det norske markedet. Mindre sparebanker og fintech-startups velger i økende grad å inngå samarbeid for å dele på kostnadene ved DORA-etterlevelse. Dette er en sunn utvikling for den norske finansielle infrastrukturen, da det øker den samlede motstandsdyktigheten.
[AD_CENTER]
Oppsummering og anbefalinger
Implementering av DORA er en maraton, ikke en sprint. For norske finansinstitusjoner er nøkkelen til suksess å:
- Investere i kompetanse: Øk budsjettene for cybersikkerhet med 15-20 % for å møte de tekniske kravene.
- Automatisere rapportering: Reduser den administrative byrden gjennom smarte verktøy.
- Samarbeide: Utnytt bransjesamarbeid for å dele trusselinformasjon og beste praksis.
Ved å se på DORA som en mulighet til å styrke egen drift, fremfor en byrde, vil norske finansinstitusjoner kunne stå langt bedre rustet mot fremtidens digitale trusler. Sikkerhet er ikke lenger bare et teknisk krav; det er et konkurransefortrinn i en stadig mer digitalisert finansverden.