Bank och finans

DORA syftar till att stärka finanssektorns digitala operativa motståndskraft för att hantera cyberhot och säkerställa kontinuitet i kritiska processer. Detta innefattar att fastställa strikta krav för hantering av IKT-risker, rapportering av IKT-relaterade incidenter, testning av digital operativ motståndskraft, hantering av risker relaterade till tredjepartsleverantörer av IKT-tjänster samt informations- och underrättelsesamarbete.

Finansinstitut och relevanta tredjepartsleverantörer av tjänster måste anta omfattande policyer och förfaranden för digital operativ motståndskraft, inklusive effektiva ramverk för riskhantering och processer för incidenthantering.

Instituten bör genomföra regelbundna tester av sin digitala motståndskraft, inklusive hotbaserade penetrationstester.

Det krävs strukturerat samarbete och informationsutbyte om cyberhot mellan finansinstituten.

Genom DORA införs också ett ramverk för tillsyn och verkställighet som ger behöriga myndigheter nödvändiga tillsyns-, utrednings- och sanktionsbefogenheter för att säkerställa efterlevnaden av DORA:s krav

DORA gäller specifikt för försäkrings- och återförsäkringsbolag, försäkringsförmedlare, investeringsinstitut, kapitalförvaltningsbolag, banker, leverantörer av kryptotillgångar, pensionsinstitut och tredjepartsleverantörer av ICT-tjänster. Lagstiftningen syftar till att minska de samhälleliga och ekonomiska risker som är förknippade med ökande cyberhot inom finanssektorn

Hantering av IKT-risker: Finansinstitut måste upprätta ett omfattande ramverk för att identifiera, klassificera, övervaka och minska IKT-risker.

Rapportering av IKT-relaterade incidenter: Instituten måste inrätta processer för att upptäcka, hantera och rapportera IKT-relaterade incidenter till relevanta myndigheter.

Testning av digital operativ motståndskraft: Finansinstituten ska regelbundet testa sin digitala motståndskraft, inklusive hotbaserade penetrationstester.

Hantering av IKT-risker från tredje part: Det ställs krav på hur finansinstituten ska hantera de risker som är förknippade med deras beroende av tredjepartsleverantörer av IT-tjänster, inklusive avtalsförpliktelser och exitstrategier.

Informations- och underrättelseutbyte: Instituten uppmuntras att dela med sig av information om cyberhot och bästa praxis för att förbättra finanssektorns kollektiva motståndskraft.

DORA förväntas träda i kraft den 17 januari 2025, vilket ger finansinstituten och deras IT-tjänsteleverantörer tid att förbereda sig och se till att de uppfyller de nya kraven.

NIS2 är en uppdatering av det ursprungliga NIS-direktivet som syftar till att öka cybersäkerheten i hela EU. Det inför strängare krav på riskhantering, säkerhetsåtgärder och rapportering av cybersäkerhetsincidenter för ett stort antal sektorer och aktörer.

Ja, våra tjänster stöder flera språk.

NIS2 innebär en betydande utvidgning av tillämpningsområdet jämfört med det ursprungliga direktivet. Det skiljer mellan "väsentliga" och "viktiga" enheter och omfattar ett brett spektrum av sektorer som energi, transport, bank, hälsa, digital infrastruktur och offentlig förvaltning, bland andra. Mikro- och småföretag med färre än 50 anställda och en årsomsättning eller balansomslutning på mindre än 10 miljoner euro är i allmänhet undantagna, även om det finns undantag.

Företagen måste vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder utifrån en riskhanteringsstrategi. De måste också hantera cybersäkerhetsincidenter på ett effektivt sätt, säkerställa kontinuitet i verksamheten vid större incidenter och rapportera betydande incidenter till relevanta nationella myndigheter. Det finns även krav på ledningens roll och ansvar i säkerhetsarbetet.

Organisationer bör börja med att bedöma sin nuvarande cybersäkerhetsställning mot NIS2-kraven, identifiera eventuella luckor och sedan ta fram en handlingsplan för att åtgärda dessa. Det kan handla om att uppdatera policyer, rutiner och säkerhetsåtgärder samt att se till att alla anställda får adekvat utbildning och medvetenhet om cybersäkerhet.