Vad DORA kräver
DORA trädde i kraft som EU-lagstiftning i januari 2025. Banker, försäkringsbolag, investeringsföretag och betalningsföretag måste nu hantera risker från alla teknikleverantörer de anlitar. Tre regler sticker ut.
Obligatoriska kontraktsvillkor (artikel 30). Varje kontrakt med en teknikleverantör måste täcka fyra punkter: revisionsrättigheter, incidentvarningar, exitplaner och prestationsmål. Dessa klausuler är inte valfria.
Årliga granskningar (artikel 28). Företag måste kontrollera alla nyckelleverantörer minst en gång om året. En leverantör är "nyckel" om ett avbrott skulle stoppa normal drift. Anonymiseringsverktyg som används för efterlevnadsuppgifter faller i denna kategori.
Leverantörsregister (artikel 28(3)). Företag måste föra en aktiv lista över alla viktiga tredjepartskontrakt. Listan måste innehålla säkerhetsregistreringar för var och en.
Att genomföra årliga granskningar för dussintals leverantörer tar tid. En enda skräddarsydd granskning — gjord från grunden — tar uppskattningsvis 40–80 timmar per leverantör. En holländsk bank med 50 nyckelleverantörer står inför upp till 4 000 timmars granskningsarbete per år. Det motsvarar två heltidsanställda som uteslutande arbetar med granskningar.
ISO 27001 minskar granskningstimmarna
ISO 27001-certifiering ger företag en snabbare väg genom DORA:s årliga granskningsregel. Certifieringsorganet genomför ett övervakningsaudit varje år och ett fullständigt audit vart tredje år. Certifikatet har ett utgångsdatum. Det är bara giltigt så länge de årliga kontrollerna godkänns.
Under DORA:s årliga granskningsregel kan ett företag hämta leverantörens gällande ISO 27001-certifikat en gång om året och kontrollera datumet. Ett giltigt datum innebär att ett externt revisionsorgan har kontrollerat leverantörens 93 säkerhetskontroller under de senaste tolv månaderna. Företaget registrerar detta i leverantörsregistret. Granskningen är därmed avslutad.
Tidsbesparingen är verklig. En holländsk bank som kontrollerar ett certifierat anonymiseringsverktyg lägger några timmar på granskningen. Samma granskning från grunden tar veckor. Över 20 certifierade tredjeparter kan den årliga besparingen nå 1 200 timmar. Den tiden kan läggas på annat arbete.
Varför integritetsverktyg omfattas
Integritets- och anonymiseringsverktyg faller under DORA när ett företag använder dem för att hantera klientdata, uppfylla GDPR-regler eller behandla KYC-filer. Om verktyget slutar fungera och företaget inte kan producera GDPR-säkert resultat är verktyget en nyckelentreprenad under DORA. Det måste granskas varje år.
Vår GDPR-efterlevnadsguide förklarar reglerna för dataminimering. Se även ISO 27001:s värde för nedströms efterlevnad och genvägar till ISO 27001-leverantörsbedömning för mer om hur certifiering minskar efterlevnadsarbetet.