DORA ett år etter: Hva sier Finanstilsynet om etterlevelse og hvor legger de listen?

Ett år etter at DORA trådte i kraft, begynner konturene av Finanstilsynets forventninger å bli tydelige. Gjennom de første tilsynene signaliserer tilsynet at etterlevelse ikke måles i policyer og prosjektplaner, men i dokumentert praksis. Vi har gjennomgått tilsynsrapportene og oppsummerer hvilke krav Finanstilsynet faktisk stiller – og hvor listen ser ut til å ligge.

Denne uken var det ett år siden DORA-loven med forskrift trådte i kraft i Norge. I løpet av dette året har det også kommet endringer og utfyllende forskriftsregler hvor en rekke av EU-kommisjonens delegerte kommisjonsforordninger og gjennomføringsforordninger (det såkalte nivå 2-regelverket) er gjennomført i norsk rett.

Finanstilsynet har vært aktive året som har gått, og gjennomført flere tilsyn på DORA-etterlevelse. Vi har gjennomgått samtlige av disse tilsynsrapportene som etter vår mening gir et tydelig bilde av hva tilsynet forventer:

“DORA må være operasjonalisert i styring, kontroll og leverandøroppfølging, og ikke bare beskrevet i policyer og prosjektplaner.”

DORA må inn i virksomhetsstyringen

Finanstilsynet har i flere tilsyn sett på foretakenes styring og kontroll med IKT-virksomheten, særlig bruk av IKT-tjenesteleverandører, IKT-risiko, IKT-sikkerhet og beredskap.

Et gjennomgående funn er at foretakene ofte har oppdatert styringsdokumenter og etablert DORA-prosesser, men at Finanstilsynet etterspør tydeligere dokumentasjon på operasjonaliseringen av styringsprosessene. Finanstilsynet krever altså at det må fremgå hvem som gjør hva, hvordan kontrollene gjennomføres, hvordan funn rapporteres, og hvordan styret følger opp.

Særlig styrets rolle står sentralt i rapportene. DORA krever at foretaket har et internt rammeverk for styring og kontroll av IKT-risiko, og at ledelsen fastsetter klare roller og ansvarsområder, jf. DORA artikkel 5 nr. 1 og artikkel 5 nr. 2 bokstav c. Finanstilsynet forventer derfor mer enn styregodkjente policyer. Styret må kunne dokumentere at det faktisk har vurdert IKT-risiko, leverandørrisiko, beredskap, testing og DORA-etterlevelse.

Finanstilsynet har også i sine tilbakemeldinger pekt på at IKT-arbeidet gjennomført i foretakene har gitt et inntrykk av at de i for liten grad har prioritert etterlevelsen av nivå 2-regelverket. Dette skyldes trolig at disse regelverkene gradvis har blitt innført i løpet av 2026, og at ikke alle foretak har vært oppmerksomme på nye krav. Flere rapporter viser også at Finanstilsynet forventer bedre protokollføring fra styrets arbeid, slik at styrets vurderinger og beslutninger kan etterprøves og etterlevelse kan påvises.

Konsekvensanalyse, testing og sikkerhetstiltak må henge sammen

Finanstilsynet løfter virksomhetens konsekvensanalyse (Business Impact Analysis) frem som et sentralt styringsverktøy. Etter DORA skal foretak gjennomføre en konsekvensanalyse for å vurdere forretningsmessige konsekvenser av alvorlige IKT-avbrudd, jf. DORA artikkel 11 nr. 5.

Poenget er at analysen ikke bare skal ligge i beredskapsdokumentasjonen. Den skal brukes til å styre krav til oppetid, redundans, prioritering av kontroller, og testing i løsninger som virksomhetene har implementert, samt krav til hvordan leverandører bør følges opp i relasjon til disse og andre emner.. Finanstilsynet har også signalisert at resultatet av konsekvensanalysen jevnlig bør styrebehandles fordi den er "såpass sentral i styringen av virksomheten at resultatet av analysen bør legges fram for styret rutinemessig" (fra en av Finanstilsynets tilsynsrapporter).

Rapportene viser samtidig at Finanstilsynet går inn i konkrete sikkerhetsområder som tilgangsstyring, sårbarhets- og patchhåndtering, datakvalitet, beredskap og testing. Foretak skal etter DORA ha tiltak for å beskytte IKT-systemer og data, jf. artikkel 9. Finanstilsynet har her særlig pekt på behovet for bedre dokumentasjon av tilgangsstyring, kontroll med leverandørtilganger, oppfølging av sårbarheter og patching, samt rutiner som sikrer at tiltakene faktisk gjennomføres og kontrolleres.

Testing er også sentralt i tilsynene, og etter DORA skal foretak ha et program for testing av digital operasjonell motstandsdyktighet, jf. DORA artikkel 24 nr. 1. for IKT-systemer og applikasjoner som støtter kritiske eller viktige funksjoner skal testes foregå minst årlig, jf. DORA artikkel 24 nr. 6. Tilsvarende gjelder for beredskaps- og gjenopprettingsplaner, jf. DORA artikkel 11 nr. 6 bokstav a og delegert kommisjonsforordning (EU) 2024/1774 artikkel 25.

Finanstilsynet har her pekt på at testregimer de har sett i under tilsyn ikke i tilstrekkelig grad har vært risikobasert (testing av ulike scenarioer, inkl. verstefallsscenario) og koblet til foretakets kritiske eller viktige funksjoner. Finanstilsynet har i en av rapportene vi har sett uttalt at "Det er først når testingen av scenarioer og hele forretningsprosesser er utført at foretaket har dokumentasjon på at virksomhetens tilgjengelighetskrav er ivaretatt". Det stilles med andre ord ganske strenge krav til omfang og dybde for slik testing.

Leverandøroppfølging må være reell og risikobasert

Oppfølging av IKT-tjenesteleverandører går også igjen i rapportene. Etter DORA skal foretak ha en strategi for IKT-tredjepartsrisiko og retningslinjer for bruk av IKT-tjenester som støtter kritiske eller viktige funksjoner, jf. DORA artikkel 28 nr. 2.

Kravene til innhold i IKT-tjenesteavtaler følger av DORA artikkel 30. DORA flytter ikke ansvaret til leverandøren, noe mange foretak imidlertid tilsynelatende synes å belage seg på. Finanstilsynet forventer at styret påser at foretaket har etablert, dokumentert og etterlever hensiktsmessige styrings- og kontrollordninger som sikrer en uavhengig og effektiv oppfølging og kontroll av IKT-tredjepartsrisiko der kritikalitet, risiko eller kompleksitet, eller svakheter i kontrollgrunnlaget, tilsier det.

Finanstilsynets gir i flere av rapportene uttrykk for at foretakenes oppfølging av IKT-tredjepartsrisiko er mangelfull, og at dette gjelder bl.a. herunder gjennomføring av risikovurderinger, oppfølging av kontraktsbestemmelser og revisjon av leverandør.

Oppsummert Ett år etter DORA-lovens ikrafttredelse viser de første tilsynsrapportene at Finanstilsynet legger en praktisk og etterprøvbar linje. Finanstilsynet har så langt i hovedsak pekt på forbedringsområder, forventninger til videre oppfølging og behov for styrket dokumentasjon, snarere enn å ilegge overtredelsesgebyr. Rapportene viser likevel tydelig at manglende operasjonalisering, svake kontrollspor og utilstrekkelig leverandøroppfølging allerede anses som tilsynsmessige funn.

Konsekvensene av manglende etterlevelse kan bli betydelige. DORA-loven gir Finanstilsynet hjemmel til å ilegge overtredelsesgebyr på inntil 50 millioner kroner ved brudd på sentrale bestemmelser i DORA-forordningen. Det er derfor grunn til å forvente at funn som i en tidlig fase møtes med forventninger om forbedring, fremover i større grad kan få mer formelle tilsynsmessige konsekvenser dersom foretakene ikke kan dokumentere reell etterlevelse.

Vi har i løpet av dette året bistått en rekke DORA-underlagte virksomheter med å bl.a. etablere rammeverk for IKT-risikostyring, gjennomføre risikovurderinger av IKT-leverandører og forhandle DORA-tillegg etter artikkel 30 - både på leverandørsiden og for regulerte foretak. Vår erfaring fra dette året er at mange foretak har fått på plass det formelle rammeverket, men at modenheten varierer når det gjelder faktisk operasjonalisering, risikoforståelse, styreforankring og dokumentasjon av kontroll.

Key take-away er altså: Det er ikke nok å ha et DORA-rammeverk på papiret. Finanstilsynet krever at foretakene må kunne vise at rammeverket faktisk fungerer i praksis og at styret behandler og dokumenterer DORA-relaterte vurderinger på jevnlig basis.