Kunskap · DORA · Artikel 6
Ett dokumenterat ramverk – som ses över varje år.
Finansiella entiteter ska ha ett sunt, heltäckande och väldokumenterat ramverk för IKT-riskhantering som en del av sin samlade riskhantering. Det ses över minst en gång per år och genomförs genom en strategi för digital operativ motståndskraft.
Vad den kräver
På vanlig svenska.
- Ett dokumenterat ramverk av strategier, policyer, rutiner, IKT-protokoll och verktyg som skyddar alla informations- och IKT-tillgångar
- Ansvaret för att hantera och övervaka IKT-risk ligger hos en kontrollfunktion med tillräckligt oberoende
- Ramverket ses över minst en gång per år, efter större IKT-relaterade incidenter och efter iakttagelser från tillsyn, tester eller revisioner
- Internrevisionen granskar ramverket regelbundet, och kritiska iakttagelser följs upp formellt
- En strategi för digital operativ motståndskraft anger risktolerans, säkerhetsmål med nyckeltal och hur incidenter upptäcks
Sammanfattning av DORA artikel 6 (förordning (EU) 2022/2554). Inte juridisk rådgivning – läs den officiella texten på EUR-Lex.
I praktiken
Vad som krävs.
Ett ramverk är inte en mapp med dokument. Varje policy behöver en ägare, ett datum för översyn och en koppling till de kontroller och bevis som visar att den fungerar.
- PolicyerVarje policy med ägare, version och datum för översyn
- ProcessÅrlig översyn och översyn efter större incidenter, med godkännanden loggade
- KontrollerKontroller kopplade till ramverket, med bevis bifogade
- RapporterRevisionsiakttagelser följs tills de är stängda, med status för ledningen
Så går det till i Paragraf – på samma grund som era avtal och processer.
Nästa steg
Se DORA artikel 6
med era egna krav.
Boka en genomgång. Vi visar tråden från den här artikeln till kontrollen, ägaren och beviset – i er egen miljö.