DORA-rapportering og revisjon: skill mellom pliktene

Forsidebildet er en AI-generert redaksjonell illustrasjon. Skjermer og dokumenter er illustrerte konsepter.

DORA gir flere oppgaver innen rapportering og kontroll. De bør bygge på samme korrekte opplysninger, men er ikke én årlig compliance-innsending.

Avklar først regelsettet for den juridiske enheten. Utvidelsen i Norge fra september 2026 gir tilpassede krav og rapporteringsordninger for flere foretaksgrupper. En banks rutine kan ikke automatisk brukes av alle andre.

Vedlikehold IKT-avtaleregisteret gjennom året

DORA artikkel 28 krever et register over avtaler om IKT-tjenester. Hold sammenhengene mellom enheter, avtaler, leverandører og støttede funksjoner oppdatert når avtalene endres.

Bruk Finanstilsynets rapporteringsside for aktuell referansedato, frist, format og validering. Fjorårets frist er ikke et sikkert grunnlag for neste innsending.

Kontroller identifikatorer og koblinger før opplasting. Behold innsendt versjon, kvittering og korrigeringer, slik at rapporten kan avstemmes mot grunnlaget.

Legg forhåndsmeldinger inn i anskaffelsen

For aktuelle avtaler som støtter kritiske eller viktige funksjoner, beskriver Finanstilsynets avtaleveiledning forhåndsmelding og norske tidsforventninger.

Gjør vurderingen tidlig nok til at den påvirker anskaffelsesplanen. Fordel ansvar for vesentlige endringer så vel som nye avtaler. En registeroppføring og en forhåndsmelding har ulike formål.

Gjør hendelsesfristene håndterbare

For alvorlige IKT-hendelser under ordinær rapportering angir Finanstilsynets veiledning første varsel så snart som mulig, innen fire timer etter klassifisering og som hovedregel senest 24 timer etter kjennskap. Første statusrapport skal komme innen 72 timer etter første varsel. Sluttrapporten følger innen én måned etter siste statusrapport.

Bruk detaljreglene for klassifisering, unntak og oppdateringer. Registrer tidspunktene for kjennskap og klassifisering fremfor å utsette beslutningen til undersøkelsen er ferdig.

En leverandør kan bistå med eller utføre avtalte rapporteringsoppgaver, men finansforetaket beholder ansvaret. Sørg for at noen har tilgang til riktig innsendingskanal under en hendelse.

Behold uavhengig kontroll og oppfølging

DORAs revisjons- og styringskrav omfatter relevant kompetanse, uavhengighet og oppfølging fra ledelsesorganet, innenfor aktuelt regelsett. En konsulent som innfører et tiltak, bør ikke automatisk regnes som uavhengig kontrollør av det samme tiltaket.

Koble funn til korrigerende handlinger og dokumentert ferdigstillelse. Det nyttige grunnlaget viser hva revisjonen fant og hva som ble endret.

DORA-sjekklisten setter oppgavene inn i programmet. En rapporteringskalender bør angi hver plikt, eier, stedfortreder og kilde til gjeldende regel.