Tillsynen
DORA kräver ett fullständigt register över IKT-avtal och rapportering i tid av större IKT-incidenter.
Branscher · Finans
Finans: DORA, leverantörer och avtal på en grund.
Banker, försäkringsbolag, betalningsinstitut och värdepappersbolag ansvarar för IKT-risken på styrelsenivå. Paragraf håller registret, avtalen, incidenterna och exitplanerna i en tråd.
DORAGDPRUtkontrakteringIKT-tredjepartsrisk
Exitplan · Nordpay
- ÄgareIT-chef
- Nästa granskningmars 2027
- Godkänd avStyrelsen
Trycket
Från tre håll samtidigt.
Leverantörerna
Kritiska funktioner är beroende av ett fåtal IKT-leverantörer, och varje avtal måste uppfylla DORA:s krav.
Styrelsen
Ledningsorganet har det slutliga ansvaret för IKT-risken och måste kunna visa det.
Där team börjar
Situationerna vi ser mest inom finans.
Ett praktiskt exempel
Exempel: en ny IKT-leverantör för betalningar.
Steg 1 av 4
En ny leverantör föreslås.
Verksamheten lämnar beställningen i ett formulär: tjänst, funktion, data och kritikalitet.
Beställning · Nordpay
- TjänstKortinlösen
- FunktionBetalningar · kritisk
- DataKunddata
Steg 2 av 4
Avtalet granskas mot DORA.
Luis jämför utkastet med er DORA-playbook och listar vad som saknas.
Granskning · Nordpay
- RevisionsrättPå plats
- ExitstrategiSaknas
- VidareutkontrakteringKräver godkännande
Steg 3 av 4
Den förs in i registret.
När avtalet är signerat syns leverantören i informationsregistret med sina egenskaper.
Informationsregister
- LeverantörNordpay
- KritikalitetKritisk
- FunktionBetalningar
Steg 4 av 4
En exitplan får en ägare.
Exitplanen blir ett åtagande med granskningsdatum och ägare.
Exitplan · Nordpay
- ÄgareIT-chef
- Nästa granskningmars 2027
- Godkänd avStyrelsen
För beslutsgruppen
Det här får varje roll.
En grund, så att varje roll ser sin del – och alla ser samma sanning.
- CRO / RiskKritiska funktioner, leverantörer och incidenter i en vy.
- RegelefterlevnadBevis för tillsynen, insamlade där arbetet sker.
- ChefsjuristDORA:s avtalskrav granskade mot varje IKT-avtal.
- CIOEtt register byggt från avtalen, inte ett kalkylark bredvid.
IKT-risk som styrelsen kan se, inte bara höra om.
Leverantörer, avtal, incidenter och exitplaner på ett ställe för ledningsorganet.
Innan ni bestämmer er
Frågorna som brukar hålla team tillbaka.
Att ändra hur arbetet följs upp är ett verkligt beslut. Så här gör vi det tryggt.
Var börjar vi?
Med en situation, inte hela organisationen. Vi går igenom era system och krav tillsammans, sätter upp det första flödet med er, och sedan bygger era team vidare på egen hand.
Måste vi ändra hur vi arbetar?
Nej. Utgå från avtalen, mallarna och policyerna ni redan har. Paragraf tar över uppföljningen – vem som gör vad, till när, och vad som bevisar det.
Vad händer med vår data?
Den förblir er. Allt följer era behörigheter, känslig data maskeras på servern och varje ändring loggas. Fråga oss var data lagras och hur export fungerar – vi svarar skriftligt innan ni bestämmer er.
Tänk om det inte passar oss?
Börja med ett avgränsat första steg och tydliga acceptanskriterier, överenskomna i förväg. Ni utvärderar på er egen data innan ni bygger ut.
Fördjupa
- Leverantörsavtal under NIS2 och DORAHitta luckorna i det ni har skrivit på→
- Uppfyll DORAIKT-avtal, register och exitplaner på ett ställe→
- Följ upp det ni har skrivit påVarje åtagande med ägare, datum och bevis→
Nästa steg
Färre system.
Mer kontroll.
Boka en genomgång av era system och krav. Vi visar tråden från krav till bevis – med era egna krav.