Sådan sikrer du, at tredjepartsleverandører overholder DORA-standarderne

Digital Operational Resilience Act (DORA), som trådte i kraft i EU i 2023, har ændret den måde, finansielle institutioner skal håndtere IKT-risici på – ikke kun internt, men på tværs af hele forsyningskæden. For fagfolk inden for Governance, Risk and Compliance (GRC) betyder dette sandsynligvis, at tredjepartsrisikostyring (TPRM) skal gentænkes for at sikre, at tredjepartsleverandører opfylder de samme strenge standarder for digital robusthed som interne operationer. Under DORA påvirker tredjeparters operationelle robusthed direkte de finansielle enheder, de betjener.

‍

DORA kræver en holistisk tilgang til digital risiko, og manglende compliance er ikke en mulighed, da det fører til bøder, regulatorisk kontrol og bringer din organisations evne til at modstå IKT-forstyrrelser i fare. Så lad os undersøge, hvordan du proaktivt kan håndtere tredjepartsrisici og tilpasse tilsynet til DORAs forventninger.

‍

‍

DORA og tredjepartsrisiko – hvad kræves der?

‍

‍

DORAs samlede regulatoriske ramme omfatter forpligtelser, der er relateret specifikt til tredjeparts IKT-tjenesteudbydere. Nøglemandaterne omfatter:

‍

‍

• Risikoidentifikation: Vedligehold et omfattende og opdateret register over IKT-tredjepartsafhængigheder.

• Kontraktlige kontroller: Sørg for, at alle kontrakter med IKT-udbydere indeholder obligatoriske DORA-kompatible klausuler.

• Løbende overvågning: Implementer løbende risikovurderinger og performanceevalueringer.

• Hændelseshåndtering: Etabler robuste procedurer for hændelsesrapportering og kommunikation.

• Exitstrategier: Udarbejd opsigelses- og substitutionsplaner for kritisk vigtige leverandører.

• Manglende overholdelse af disse standarder kan resultere i håndhævelsesforanstaltninger, skade på omdømmet og øget eksponering for IKT-forstyrrelser.

‍

‍

6 trin til at sikre, at tredjepartsleverandører overholder DORA-standarderne

‍

‍

1. Lav en statusopgørelse for tredjepartsleverandører

‍

En nøjagtig leverandøropgørelse er central for et DORA-tilpasset TPRM-program, og derfor foreslår vi, at du:

‍

• Katalogiserer alle IKT-tjenesteudbydere, herunder cloudtjenester, cybersikkerhedsleverandører, SaaS-platforme og databehandlere.

• Vurderer kritiskhed baseret på hver enkelt leverandørs rolle i væsentlige forretningsfunktioner og driftskontinuitet.

• Bestemmer koncentrationsrisiko, især hvor tjenester er stærkt afhængige af et lille antal udbydere.

• Statusopgørelsen bør være dynamisk og opdateres regelmæssigt, efterhånden som kontrakter, tjenester eller risikoniveauer ændrer sig.

‍

2. Håndter kontraktlige krav i henhold til DORA

‍

• For at overholde artikel 30 i DORA skal du integrere specifikke bestemmelser i dine leverandøraftaler. Disse omfatter:

• Tydelige SLA'er forbundet med præstationsmålinger og tilgængelighedskrav.

• Revisions- og adgangsrettigheder for både den finansielle enhed og tilsynsmyndigheder.

• Forpligtelser til rettidig rapportering af hændelser, herunder større IKT-relaterede begivenheder.

• Opsigelsesklausuler og exitplaner for at sikre forretningskontinuitet i tilfælde af forstyrrelser.

• En tværfunktionel tilgang, der involverer den juridiske afdeling samt indkøbs-, IT- og compliance-afdelingerne, er afgørende for at standardisere kontraktskabeloner og håndhæve disse klausuler på en ensartet måde.

‍

3. Praktiser due diligence og løbende overvågning

‍

Due diligence slutter ikke ved onboarding – DORA forventer, at finansielle institutioner aktivt overvåger tredjeparts IKT-risici. De bedste praksisser omfatter:

‍

• Indledende risikovurderinger, der dækker sikkerhedssituation, regulatorisk historik og finansiel stabilitet.

• Løbende gennemgang af certificeringer (f.eks. ISO 27001, SOC 2) og resultater af eksterne revisioner.

• Performance-sporing ved hjælp af KPI'er og SLA'er for at identificere indikatorer for serviceforringelser eller risici.

• Automatiserede TPRM-værktøjer, som leverer overvågning og advarsler i realtid om nye leverandørrisici.

• Disse anbefalinger giver dig mulighed for at opdage og håndtere sårbarheder, før de eskalerer.

‍

4. Test tredjepartsmodstandsdygtighed

‍

DORA lægger vægt på proaktiv testning for at vurdere operationel robusthed. Dette gælder ikke kun interne systemer, men også tredjepartstjenester. GRC-teams bør:

‍

• Udføre fælles bordøvelser, der simulerer cyberangreb, driftsstop eller databrud.

• Teste gendannelsesfunktioner, herunder failover-systemer og backupprocedurer.

• Gennemgå forretningskontinuitet og katastrofeberedskabsplaner for nøgleleverandører.

• Testresultater bør dokumenteres, evalueres og integreres i strategier for risikoafbødning.

‍

‍

5. Prioriter rapportering og eskalering af hændelser

‍

Rettidig rapportering af hændelser er afgørende for overholdelse af DORA. Du skal sørge for, at leverandørerne:

‍

• Forstår deres forpligtelser til at rapportere hændelser, der påvirker den finansielle enhed.

• Har definerede eskaleringsveje og kontaktpunkter for hastende kommunikation.

• Deltager i evalueringer efter hændelser og sørger for gennemsigtighed i de underliggende årsager og afhjælpning.

• Tydelige rapporteringstærskler og klassificeringer af hændelsers alvorlighed bør kodificeres i kontrakter og driftsprocedurer.

‍

‍

6. Hold dig opdateret på den regulatoriske udvikling

‍

Implementeringen af DORA vil fortsætte med at udvikle sig gennem vejledning fra de europæiske tilsynsmyndigheder (ESA'er). For at overholde reglerne anbefaler vi, at du:

‍

• Overvåger opdateringer af reguleringsmæssige tekniske standarder (RTS) og gennemførelsesmæssige tekniske standarder (ITS).

• Gennemgå og opdater regelmæssigt politikker, risikorammer og værktøjer til leverandørvurdering.

• Deltag i branchefora, og udnyt benchmarks fra andre virksomheder for at være på forkant med de regulatoriske forventninger.

• En proaktiv compliance-indstilling bidrager til at sikre langsigtet modstandsdygtighed og undgår dyr afhjælpning.

‍

Stol på, at Decision Focus kan sikre, at dine tredjepartsleverandører overholder DORA-standarderne

‍

‍

Husk, at dine tredjeparters modstandsdygtighed også er din modstandsdygtighed! Decision Focus tilbyder en løsning, der er designet til at opfylde DORAs forskriftsmæssige krav, herunder kravene omkring tredjeparts-compliance?

‍

‍

Læs mere om vores prisvindende, modulopbyggede, kodefri SaaS GRC-platform, der er specifikt skræddersyet til finansielle institutioner for at imødekomme DORA-krav – herunder IKT-risiko, hændelsesstyring, robusthedstest, tredjepartsrisiko og udveksling af information.

‍

‍

Alternativt kan du downloade vores DORA-brochure eller booke en demo nu for at se vores løsning i praksis.

‍

‍