DORA-FORORDNINGEN: ET SKRIDT MOD EN SIKRERE DIGITAL VERDEN

Kort om DORA-forordningen

Forordningen retter sig mod en række forskellige erhvervssektorer, herunder finansielle tjenesteydelser, energi, transport og offentlige tjenesteydelser.

Særligt på bank- og finansområdet vil DORA-forordningen have betydning for forvaltere af alternative investeringsfonde (”FAIF’er”) og investeringsforvaltningsselskaber (”IFS’er”) ved at indebære øgede krav til transparens, rapportering og governance.

Reglerne vil også have indflydelse for platforme, som FAIF'er og IFS'er anvender i forbindelse med kommunikation til investorerne i de forvaltede/administrerede fonde. Kommunikation skal i denne forbindelse forstås bredt og omfatter bl.a. telefonopkald, mails, sociale medier og hjemmesider.

Konsekvenserne af DORA-forordningen vil variere afhængigt af konkrete forhold vedrørende de enkelte selskaber, herunder størrelse, kompleksitet, iboende risici og deres forretningsmodeller.

Nogle af de vigtigste krav i forordningen inkluderer:

• Udvikling af en plan for håndtering af it-sikkerhedsrisici: De omfattede virksomheder skal udvikle en plan for at identificere, vurdere og håndtere it-sikkerhedsrisici, der kan påvirke deres kritiske funktioner og tjenester.
  • Dette omfatter både politikker, tekniske- og organisatoriske kontroller og krav til uddannelse af medarbejdere samt detaljerede tekniske krav til systemer og værktøjer i virksomheden.
• Procedurer for håndtering af alvorlige it-sikkerhedsincidenter: Virksomheder skal have procedurer på plads for at håndtere alvorlige it-sikkerhedsincidenter, herunder trinene for at undgå, begrænse og håndtere skadevirkningerne.
• Overvågning af it-systemer: Virksomheder skal overvåge deres it-systemer for at opdage og reagere på sikkerhedsrisici i tide.
• Kommunikation om sikkerhedsrisici: Virksomheder skal kommunikere relevante sikkerhedsrisici til relevante interessenter, herunder eksterne myndigheder og kunder.
• Regelmæssige sikkerhedstest og -evalueringer: Virksomheder skal gennemføre regelmæssige sikkerhedstest og evalueringer for at sikre, at deres sikkerhedsplaner og -procedurer er opdaterede og effektive.
• Rapportering om alvorlige it-sikkerhedsincidenter: Virksomhederne skal rapportere om alvorlige it-sikkerhedsincidenter til relevante nationale myndigheder inden for en kort tidsfrist.

Regler om aftaler mellem virksomheder og it-leverandører

Forordningen fastlægger visse regler vedrørende aftaler mellem de omfattede virksomheder og it-leverandører. Dette kan fx være aftaler om outsourcing, der i så fald kommer til at supplere de allerede gældende regler for visse finansielle virksomheder på området for outsourcing og delegation.

Implementering af forordningen

Det er vigtigt at bemærke, at de konkrete detaljer om gennemførelsen først vil blive fastlagt i efterfølgende implementeringsforordninger. De næste 2 år, før den endelige anvendelsesdato den 17. januar 2025, vil der blive udstedt supplerende regler og vejledninger, der skal præcisere forordningen. DORA-forordningen bliver dermed samlet set suppleret af 9 reguleringsmæssige tekniske standarder (også kaldet ”RTS’er”), to implementeringsmæssige tekniske standarder (”ITS’er”) og 3 retningslinjer.

Lund Elmer Sandagers bemærkninger

Behovet for forordningen er et resultat af den digitale transformation, som EU og resten af verdenen gennemgår. Lund Elmer Sandager ser positivt på DORA-forordningens ikrafttræden og anser forordningen som et vigtigt skridt i retningen mod at øge it-sikkerheden i EU og beskytte både virksomheder og deres kunder mod cybertrusler.

Hvis du vil vide, om du er omfattet af DORA-forordningen, eller du har andre spørgsmål til IT-sikkerhed, så kontakt vores specialister partner, advokat Kim Høibye eller advokat Jakub Zakrzewski for professionel, kompetent rådgivning.

Du kan også holde dig opdateret på området ved at tilmelde dig vores særlige nyhedsbrev for bank og finans her.