DORA og regelmessig penetrasjonstesting, slik er kravet

DORA krever to ulike typer testing, og de to kravene kan ikke byttes ut med hverandre. Alle finansforetak som er omfattet, bortsett fra mikroforetak, skal kjøre et dokumentert testprogram og teste de kritiske systemene sine minst en gang i året. Trusselbasert penetrasjonstesting, TLPT, er et eget krav som går minst hvert tredje år, og det treffer bare foretak myndigheten peker ut.

Blander dere de to, koster det penger begge veier. Foretak som aldri blir utpekt, setter av budsjett til et red team de ikke trenger. Foretak som hopper over det årlige programmet, har ingenting å legge fram når Finanstilsynet spør. Vil dere se hvordan fem ulike regelverk stiller krav, les hvilke regelverk som krever regelmessig pentest. Her holder vi oss inne i DORA.

Første nivå, det årlige testprogrammet alle omfattede foretak kjører

Alle finansforetak under DORA, med unntak av mikroforetak, skal kjøre et dokumentert testprogram og teste de kritiske systemene sine minst en gang i året.

Reglene ligger i artikkel 24 og 25 i forordning (EU) 2022/2554. Tre punkter bærer kravet. Programmet er en del av rammeverket for IKT-risikostyring, ikke et innkjøp ved siden av. Testene skal utføres av uavhengige parter, og interne folk teller så lenge de er uavhengige av det de tester. Alle IKT-systemer og applikasjoner som støtter kritiske eller viktige funksjoner, skal gjennom egnede tester minst årlig.

Artikkel 25 lister deretter opp tolv metoder programmet kan bruke: sårbarhetsvurderinger og skanninger, analyser av åpen kildekode, vurdering av nettverkssikkerhet, gap-analyser, gjennomgang av fysisk sikring, spørreskjemaer og skanneverktøy, kodegjennomgang der det lar seg gjøre, scenariobaserte tester, kompatibilitetstesting, ytelsestesting, ende-til-ende-testing og penetrasjonstesting. Penetrasjonstesting er altså ett punkt på en liste med tolv. Ingen steder sier DORA årlig manuell pentest.

To detaljer blir ofte oversett. Mikroforetak kombinerer en risikobasert tilnærming med planlagt testing i stedet for hele programmet. Verdipapirsentraler og sentrale motparter har dessuten et krav på toppen: sårbarhetsvurdering før enhver utrulling eller ny utrulling av applikasjoner, infrastrukturkomponenter og IKT-tjenester som støtter kritiske eller viktige funksjoner.

Andre nivå, TLPT, og hvem kravet treffer

Trusselbasert penetrasjonstesting gjelder bare foretak myndigheten peker ut, kjøres minst hvert tredje år, og utføres mot produksjonssystemer i drift.

Artikkel 26 holder mikroforetak og foretak på DORAs forenklede IKT-rammeverk utenfor. Resten er i puljen, men bare foretakene en myndighet peker ut, må teste. Kriteriene er foretakets betydning for finanssektoren, hensynet til finansiell stabilitet, og foretakets IKT-risikoprofil og modenhet. Delegert kommisjonsforordning (EU) 2025/1190, publisert 18. juni 2025 og gjeldende fra 8. juli 2025, gjør kriteriene om til navngitte kategorier: systemviktige kredittinstitusjoner, de største betalingsforetakene og e-pengeforetakene, verdipapirsentraler, sentrale motparter, de største handelsplassene og de største forsikringsforetakene.

Den norske delen er på plass. Finanstilsynet tok inn fire nivå 2-regelverk i DORA-forskriften 26. januar 2026, TLPT-standarden blant dem. I Q&A-en om DORA, skrevet før det steget, står det at det foreløpig ikke er gjort noen vurdering av hvilke foretak som blir pålagt TLPT, og at foretakene som blir utpekt får beskjed direkte. Arbeidsregelen for et norsk foretak i dag: har ingen sagt fra, ligger dere på første nivå.

Norsk TLPT går gjennom TIBER-NO, rammeverket Norges Bank og Finanstilsynet etablerte i 2021. I risiko- og sårbarhetsanalysen for 2025 skriver Finanstilsynet at fire virksomheter har gjennomført testing etter TIBER-NO. Den europeiske sentralbanken oppdaterte TIBER-EU i februar 2025 slik at rammeverket følger DORA og TLPT-standarden, og en TIBER-test og en DORA-TLPT går dermed etter samme prosess.

Når en TLPT er ferdig, leverer foretaket et sammendrag av funnene, planene for utbedring og dokumentasjon som viser at testen fulgte kravene. Myndigheten utsteder så en attest på at testen ble gjennomført slik reglene krever. Den attesten er det som gjør at tilsyn i andre land kan godkjenne testen.

Hvem som kan kjøre en TLPT, og hvor uavhengig testeren må være

En TLPT-tester må enten være akkreditert eller følge et formelt regelverk for god skikk, ha ansvarsforsikring, og vise kompetanse innen trusseletterretning, penetrasjonstesting og red teaming.

Artikkel 27 setter vilkårene. Høyeste grad av egnethet og omdømme. Dokumentert kapasitet innen alle tre fagfeltene over. Sertifisering fra et akkrediteringsorgan i et medlemsland, eller tilslutning til formelle regler for god skikk eller etiske rammeverk. Uavhengig bekreftelse eller revisjonsrapport på hvordan testeren håndterer risikoen for dataene deres. Ansvarsforsikring som dekker både uaktsomhet og forsettlig mislighold.

Interne testere er tillatt, men på vilkår de fleste foretak ikke oppfyller. Tilsynsmyndigheten må godkjenne bruken, og må ha bekreftet at foretaket har egne ressurser til oppgaven og unngår interessekonflikter både i planlegging og gjennomføring. Leverandøren av trusseletterretning skal uansett være ekstern. Bruker dere interne testere, skal hver tredje test settes ut til eksterne, og kredittinstitusjoner under direkte tilsyn fra Den europeiske sentralbanken skal bare bruke eksterne testere.

Sett sammen beskriver vilkårene et spesialisert marked med en kort liste over kvalifiserte leverandører. FM CyberSecurity leverer ikke TLPT eller TIBER-NO-oppdrag, og ingen kontinuerlig testtjeneste erstatter en slik test. Blir foretaket deres utpekt, kjøper dere det oppdraget separat, fra en leverandør som oppfyller artikkel 27 på papiret.

Hva tilsynet ber om å se

Tilsynet ber om selve programdokumentet, bevis for at den årlige testen dekket riktige systemer, sporet som viser hvordan funnene ble lukket, og dokumentasjon på at leverandørene deltok.

Fire dokumenter gjør mesteparten av jobben.

Selve programmet, skrevet ned og plassert inne i rammeverket for IKT-risikostyring, med risikobegrunnelsen for hva som testes, med hvilken metode og hvor ofte.

Dekningsbevis. Ikke “vi kjørte en pentest”, men en oversikt over IKT-systemene og applikasjonene som støtter hver kritiske eller viktige funksjon, og hvilken test som traff hver av dem de siste tolv månedene.

Lukkesporet. Artikkel 24 krever rutiner for å prioritere, klassifisere og utbedre hvert funn en test avdekker, pluss intern validering av at svakheten er lukket helt. En rapport full av åpne funn uten lukkespor ser dårligere ut enn en mindre test som ble fulgt opp.

Leverandørdeltakelse. Finanstilsynet legger til grunn at IKT-tjenesteleverandører deltar i den årlige testingen der det er relevant, viser til avtalekravene DORA stiller for kritiske eller viktige funksjoner, og skriver i sin egen Q&A at det i flere tilsyn har påpekt manglende involvering av leverandører. Avviket er altså navngitt, publisert av tilsynet selv, og billig å lukke. Rapporteringssiden av den samme dokumentasjonspakken går vi gjennom i det vi har skrevet om revisjonskrav og løpende rapportering under DORA.

Fem steg som lukker det årlige kravet i år

1. Slå fast hvilket nivå dere ligger på. Skriv ned om dere er mikroforetak, om dere ligger på det forenklede rammeverket, og om noen myndighet har utpekt dere til TLPT. Sett dato på konklusjonen og legg den ved IKT-risikorammeverket.

2. Lag oversikten over kritiske og viktige funksjoner først, deretter systemene under dem. Det årlige kravet henger på funksjonene, ikke på en ren systemliste. De fleste testhullene jeg ser i modenhetsgjennomganger starter som et system ingen har koblet til en funksjon.

3. Skriv programmet før dere kjører en test. Metoder, hyppighet, hvem som tester hva, og risikobegrunnelsen bak valgene. Artikkel 25 gir dere tolv metoder, så velg bevisst og noter hvorfor.

4. Test på endring, ikke bare på kalender. En årlig test viser tilstanden i mars. Kontinuerlig testing av applikasjoner og infrastruktur viser den igjen i juli, når den nye betalingsflyten ble satt i produksjon. FM CyberSecurity kjører dette laget på Aikido, der AI Pentest prøver seg på applikasjonene fortløpende, og vi skriver våre egne rapporter fra funnene til dokumentasjonspakken.

5. Hold lukkesporet ved siden av rapporten. Hvert funn får en klassifisering, en ansvarlig, en frist og en valideringsoppføring. Den filen er det som gjør en test om til bevis.

Programvare hjelper på steg 3 og 5, og gjør ingenting med steg 1. Hva DORA-programvare dekker, og hva styret må avgjøre trekker den grensen. For det større bildet artikkel for artikkel går DORA-sjekklisten for norske finansforetak gjennom ti steg, og DORA-tjenesten vår kobler kravet til programmet deres med artikkelhenvisninger i dokumentasjonspakken.

Start med funksjonsoversikten. Er testprogrammet deres i dag en mappe med PDF-rapporter, er oversikten over kritiske og viktige funksjoner og hvilke av dem som er testet i år det første tilsynet spør etter, og den tar en ettermiddag å lage. Send meg en melding når dere vil ha et par ekstra øyne på den.

FAQ

Krever DORA en årlig penetrasjonstest?

Nei. Artikkel 24 krever egnede tester minst årlig på alle IKT-systemer og applikasjoner som støtter kritiske eller viktige funksjoner. Artikkel 25 lister tolv metoder som kvalifiserer, og penetrasjonstesting er en av dem. Plikten er å teste de riktige systemene med en metode som passer risikoen, og kunne vise det.

Hvordan vet vi om foretaket vårt må gjennomføre TLPT?

Myndigheten sier fra. TLPT gjelder foretak som utpekes etter artikkel 26, ut fra kriterier om betydning for finanssektoren, finansiell stabilitet og IKT-risikoprofil, med kategoriene i delegert forordning (EU) 2025/1190. Finanstilsynets Q&A om DORA sier at det foreløpig ikke er gjort noen vurdering av hvilke norske foretak som blir pålagt TLPT, og at de utpekte foretakene får beskjed direkte.

Kan vi bruke egne folk som TLPT-testere?

Bare på strenge vilkår. Tilsynsmyndigheten må godkjenne det, og må ha bekreftet at dere har egne ressurser til oppgaven og unngår interessekonflikter gjennom planlegging og gjennomføring. Leverandøren av trusseletterretning skal uansett være ekstern. Hver tredje test skal settes ut til eksterne testere, og kredittinstitusjoner under direkte tilsyn fra Den europeiske sentralbanken skal bare bruke eksterne.

Holder kontinuerlig automatisert testing for DORA?

For det årlige programmet holder det, så lenge testingen dekker systemene som støtter kritiske eller viktige funksjoner, kjører minst årlig og gir et lukkespor for hvert funn. Det holder ikke for TLPT, som er et eget etterretningsstyrt oppdrag mot produksjonssystemer i drift, med egne krav til testeren.

Må IKT-leverandørene våre delta i testingen?

Finanstilsynet legger til grunn at IKT-tjenesteleverandører deltar i den årlige testingen der det er relevant, og viser til DORAs avtalekrav for kritiske eller viktige funksjoner, som blant annet skal dekke testing av beredskapsplaner og eventuell deltakelse i TLPT. Tilsynet har offentlig påpekt manglende leverandørinvolvering i flere tilsyn, så få klausulen inn i avtalen og leverandøren inn i testplanen.