DORA och tredjepartsrisk för IKT: vad underlag utifrån kan visa

DORA gör IKT-leverantörerna till en del av er egen risk.

Förordningen om digital operativ motståndskraft, DORA (EU) 2022/2554, gäller sedan den 17 januari 2025. Den omfattar större delen av finanssektorn: kreditinstitut, betalnings- och e-pengainstitut, värdepappersbolag, leverantörer av kryptotillgångstjänster, försäkrings- och återförsäkringsföretag, försäkringsförmedlare, tjänstepensionsinstitut med flera.

Kapitel V handlar om tredjepartsrisk på IKT-området. Artikel 28.1 säger det rakt ut: finansiella företag ska hantera tredjepartsrisken som en del av sitt ramverk för IKT-riskhantering, och de förblir fullt ansvariga för sina skyldigheter när de anlitar en IKT-leverantör. Att lägga ut en tjänst innebär inte att ansvaret läggs ut.

Vad artikel 28 kräver, och var underlag utifrån passar in.

Artikel 29 lägger till en bedömning av koncentrationsrisk, och artikel 30 räknar upp vad avtalet måste innehålla, från var tjänsten utförs och tillgång till data till hjälp vid incidenter, rätt till granskning och exit. Det är avtals- och styrningsarbete. Underlag utifrån ersätter inget av det.

Använd det i granskningen, före avtalet.

Due diligence enligt artikel 28.4 brukar betyda frågeformulär, certifikat, revisionsrapporter och avtalsgranskning. Underlag utifrån tillför något som inget av det ger: vad leverantören faktiskt visar mot internet i dag, läst utan att be leverantören om något.

1. Bedöm leverantörens domäner innan frågeformuläret skickas. Det kräver varken åtkomst eller samarbete.
2. Jämför svaren med underlaget. En leverantör som säger att den tillämpar e-postautentisering men inte publicerar någon DMARC-policy har gett er en konkret fråga att ställa.
3. Fråga om fynd, inte om allmänna kontroller. ”Er kundportal accepterar fortfarande TLS 1.0” ger ett konkret svar, ett datum för åtgärd eller en rättelse.
4. Spara det daterade resultatet med bedömningen och leverantörens post i registret, så att ni kan visa vad ni visste när ni fattade beslutet.
5. Kontrollera igen under avtalstiden, till exempel vid förnyelse eller när leverantörens roll ändras, och jämför med det tidigare resultatet.

Vad det inte kan visa.

• Något inne hos leverantören. Åtkomstkontroll, säkerhetskopiering, incidenthantering, personalsäkerhet och leverantörens egna underleverantörer syns inte från internet.
• Att en standard uppfylls. Ett rent resultat betyder att inget synligt hittades. Det är inget belägg för ISO 27001 eller någon annan certifiering.
• Era skyldigheter kring avtal och register. Registret, koncentrationsrisken, avtalsvillkoren och exitplanerna dokumenterar ni själva. Ingen kontroll utifrån tar fram dem.
• Säkert ägarskap. Stora leverantörer kör på delade molnplattformar. Kontrollera att varje fynd gäller något leverantören faktiskt driver.

Guiden om säkerhetsbetyg förklarar vad bedömningar utifrån kan och inte kan visa i allmänhet, och metoden visar hur TrustSek räknar fram sin poäng.

Frågor

Kräver DORA säkerhetsbetyg?

Nej. DORA nämner varken säkerhetsbetyg eller något särskilt verktyg. Förordningen kräver att ni bedömer leverantörerna och deras risker före och under avtalet. Underlag utifrån är ett sätt att göra en del av den bedömningen konkret och daterad.

Hur förhåller sig DORA till NIS2 och cybersäkerhetslagen?

För finansiella företag som omfattas är DORA den sektorsspecifika regleringen. Dess regler om IKT-riskhantering och incidentrapportering gäller i stället för motsvarande regler i NIS2. Sidan om NIS2 beskriver kraven för verksamheter som omfattas av cybersäkerhetslagen.

Vem har tillsyn i Sverige?

Finansinspektionen är den enda behöriga myndigheten för DORA i Sverige. Den tar emot rapporter om allvarliga IKT-incidenter, begär in informationsregistret och granskar ramverket för IKT-riskhantering.

Kontrollera en IKT-leverantörs domän

Ange en leverantörs domän, eller er egen, och se det öppna underlaget bakom poängen. Leverantören kontaktas inte.

Er domän

Kontrollera er domän

Gratis, inget konto behövs. Tar ungefär 30 sekunder.