Hvad DORA kræver
DORA trådte i kraft som EU-lovgivning i januar 2025. Banker, forsikringsselskaber, investeringsfirmaer og betalingsvirksomheder skal nu håndtere risici fra alle teknologileverandører, de benytter. Tre regler skiller sig ud.
Obligatoriske kontraktvilkår (artikel 30). Enhver kontrakt med en teknologileverandør skal dække fire punkter: revisionsrettigheder, hændelsesadvarsler, exitplaner og præstationsmål. Disse klausuler er ikke valgfrie.
Årlige gennemgange (artikel 28). Virksomheder skal kontrollere alle nøgleleverandører mindst én gang om året. En leverandør er "nøgle", hvis en fejl ville stoppe den normale drift. Anonymiseringsværktøjer, der bruges til compliance-opgaver, falder i denne kategori.
Leverandørregister (artikel 28(3)). Virksomheder skal føre en aktiv liste over alle vigtige tredjepartskontrakter. Listen skal indeholde sikkerhedsregistreringer for hver enkelt.
At gennemføre årlige gennemgange for snesevis af leverandører tager tid. Én tilpasset gennemgang — lavet fra bunden — tager anslået 40–80 timer pr. leverandør. En hollandsk bank med 50 nøgleleverandører står over for op til 4.000 timers gennemgangsarbejde om året. Det svarer til to fuldtidsansatte, der udelukkende arbejder med gennemgange.
ISO 27001 reducerer gennemgangstimer
ISO 27001-certificering giver virksomheder en hurtigere vej gennem DORA's årlige gennemgangsregel. Certificeringsorganet gennemfører et overvågningsaudit hvert år og et fuldstændigt audit hvert tredje år. Certifikatet har en udløbsdato. Det er kun gyldigt, så længe de årlige kontroller bestås.
Under DORA's årlige gennemgangsregel kan en virksomhed trække leverandørens aktuelle ISO 27001-certifikat én gang om året og kontrollere datoen. En gyldig dato betyder, at et eksternt revisionsorgan har kontrolleret leverandørens 93 sikkerhedskontroller inden for de seneste tolv måneder. Virksomheden registrerer dette i leverandørregistret. Gennemgangen er dermed afsluttet.
Tidsbesparelsen er reel. En hollandsk bank, der kontrollerer et certificeret anonymiseringsværktøj, bruger nogle timer på gennemgangen. Den samme gennemgang fra bunden tager uger. På tværs af 20 certificerede tredjeparter kan den årlige besparelse nå op på 1.200 timer. Den tid kan bruges på andet arbejde.
Hvorfor privatlivsværktøjer er i anvendelsesområdet
Privatlivs- og anonymiseringsværktøjer falder under DORA, når en virksomhed bruger dem til at håndtere klientdata, overholde GDPR-regler eller behandle KYC-filer. Hvis værktøjet går ned, og virksomheden ikke kan producere GDPR-sikkert output, er værktøjet en nøgletredjepart under DORA. Det skal gennemgås hvert år.
Vores GDPR-compliancevejledning forklarer reglerne for dataminimering. Se også ISO 27001's downstream compliance-værdi og genveje til ISO 27001-leverandørvurdering for mere om, hvordan certificering reducerer compliance-arbejdet.