Hvordan etterleve Finanstilsynets DORA-forventninger?

Siden finansforetak håndterer penger og sensitiv informasjon, er de attraktive mål for cyberangrep. Trusselen påvirker ikke bare enkelte finansselskaper, men kan true hele det finansielle systemet.

Med DORA-loven som trådte i kraft i fjor, ble det innført harmoniserte og strengere krav til IKT-sikkerhet i finanssektoren og for sentrale IKT-leverandører.

På bakgrunn av Finanstilsynets åtte tilsynsrapporter siden innføringen, har vi sett nærmere på hvilke forventninger tilsynet stiller til regulerte foretak.

1. Hvilke områder har Finanstilsynet lagt størst vekt på i sine tilsynsrapporter?

Så langt har Finanstilsynet gjennomført IKT-tilsyn hos seks banker, en fondsforvalter og ett forsikringsselskap. 

Det er særlig fem forhold som Finanstilsynet har tatt opp i rapportene, hhv. bruk av konsekvensanalyse, behovet for et solid leverandørstyringssystem, andrelinjens uavhengighet, beredskapstesting og proporsjonalitet.

2. Konsekvensanalysen må følges opp i praksis og legges fram for styret

Etter DORA skal finansforetak gjennomføre en Business Impact Assessment (BIA) som vurderer konsekvensene av alvorlige driftsforstyrrelser, jf. artikkel 11 nr. 5. Foretaket skal videre sikre at IKT-systemer, IKT-ressurser og IKT-tjenester tilpasses funnene i BIA, slik at man har tilstrekkelig redundans til å opprettholde foretakets kritiske eller viktige funksjoner.

I flere av rapportene har Finanstilsynet påpekt at kravene til oppetid som fremgår av BIA må være operasjonalisert og skal styre prioriteringer i foretakets kontrollhandlinger i alle forsvarslinjer. Finanstilsynet påpekte også at BIA er såpass sentral i styringen av virksomheten at resultatet av analysen bør legges fram for styret rutinemessig og dokumenteres.

3. Solid leverandørstyringssystem

Etter DORA skal foretak ha på plass en strategi for håndtering av IKT-tredjepartsrisiko, og retningslinjer for bruk av IKT-tjenester som understøtter kritiske og viktige funksjoner, jf. DORA artikkel 28 nr. 2. DORA stiller videre krav om at kvalitets- og ytelsesnivå (oppetid, klassifisering av hendelser, gjenopprettingstid etc.) nedfelles i IKT-tjenesteavtalene, jf. artikkel 30.

I rapportene slår Finanstilsynet fast at foretakene har ansvar for risikostyring og internkontroll også der deler av virksomheten leveres av IKT-tredjepartsleverandører, og det må dokumenteres reell styring og kontroll av leverandørforholdet. Foretakets rutiner må beskrive hvordan foretaket selv følger opp det leverandøren rapporterer. Det er ikke nok å passivt motta rapportering fra leverandørene. 

Vår erfaring er at det er krevende for mange leverandører å etablere solide styringsstrukturer som hjelper foretakene med å oppfylle sine krav til risikostyring og internkontroll. Leverandører som lykkes med dette, vil kunne få et konkurransefortrinn.

4. Tilstrekkelig uavhengighet for andrelinjen

Enkelte tilsynsrapporter viser at Finanstilsynet og regulerte foretak har hatt ulike oppfatninger av hvilke krav som stilles til andrelinjens uavhengighet. Uenigheten har særlig dreid seg om foretakene er forpliktet til å ha en egen, uavhengig andrelinje slik som blant annet hvitvaskings- og personvernregelverket forutsetter, se for eksempel punkt 3.1.1 i rapportene til Santander Consumer Bank AS og Sparebank 1 SMN.

Mens hvitvaskings- og personvernregelverket beskriver hvordan styrings- og kontrollfunksjonene bør organiseres for å sikre tilstrekkelig uavhengighet, stiller DORA krav om et passende uavhengighetsnivå og adskillelse mellom kontroll-, risikostyrings- og internrevisjonsfunksjoner for å unngå interessekonflikter. Det kan derfor argumenteres for at DORA krever funksjonell uavhengighet, men ikke setter krav om en bestemt organisatorisk modell for å oppnå denne uavhengigheten.

Finanstilsynet har uttalt at de ennå ikke vil publisere tilsynsmoduler som presiserer deres forventninger til hva som er et passende uavhengighetsnivå. Man bør derfor ta høyde for at det medfører en viss risiko å ikke ha en uavhengig andrelinje.

5. Beredskapstestingen må være tilpasset relevante scenarioer

I flere av tilsynsrapportene er det pekt på mangler ved beredskapstestingen, blant annet fordi den ikke har vært koblet mot relevante informasjonssikkerhets- og verstefallscenarioer, og fordi gjenoppretting og drift ikke har blitt testet i praksis. Flere foretak har også blitt kritisert for manglende dokumentasjon på funn fra testene og systematisk oppfølging av disse.

De regulerte foretakene må derfor bli mer involvert i testingen ved å definere relevante scenarioer og dokumentere at testene er knyttet opp mot deres kritiske prosesser. 

Finansforetakene må dermed i større grad sikre seg mer «skreddersydde» tester, siden standardiserte tester i mange tilfeller ikke vil være nok. Dette kan gi leverandører som tilbyr relevante skreddersydde BIA-relaterte tester en konkurransefordel.

6. Proporsjonalitet

DORA-forordningen artikkel 4 fastsetter et proporsjonalitetsprinsipp som styrer hvordan forordningens krav skal anvendes på det enkelte foretak. Prinsippet innebærer at IKT-risikostyringen skal gjennomføres i tråd med et forholdsmessighetsprinsipp, hvor det tas hensyn til foretakets størrelse og samlede risikoprofil, samt arten, omfanget og kompleksiteten av virksomhetens aktiviteter og IKT-systemer.

I tilsynsrapporten til Sparebank 1 Østlandet framgår det at proporsjonalitetsprinsippet i DORA slår ut annerledes for store foretak i allianse enn for mindre, selvstendige foretak. Banker som er med i en allianse vil ofte bruke samme IKT-plattform, benytte de samme leverandørene og ha felles utviklings- og driftsselskaper.

Mye taler for at alliansemedlemmer med felles innkjøpsordninger, som skaper samme konsentrasjonsrisiko og avhengigheter som større selskapers IKT-systemer gjør, bør behandles på samme måte som disse større selskapene.

7. Ingen overtredelsesgebyr

Selv om Finanstilsynet har hjemmel til å ilegge overtredelsesgebyr etter DORA og finansforetaksloven § 13-5, har tilsynet likevel valgt å ikke benytte sanksjoner overfor noen av de kontrollerte foretakene.

Den tyske tilsynsmyndigheten BaFin skal ha uttalt at den betraktet det første året med DORA som et omstillingsår, men at den etter hvert vil intensivere kontrollen med foretakenes etterlevelse av DORA-kravene. Det kan tenkes at norske myndigheter har en tilsvarende tilnærming til regelverket.

Bergen, 7. august 2026
Even Tukun
Advokat MNA og Siviløkonom
et@law.no
+47 93417735

____________________________________________________________________________

OM FORFATTEREN:

Even Tukun er advokat og partner i Law.no Advokatfirma AS og siviløkonom. Han har vært leder for juridisk og compliance i Argentum, advokat i PwC, seniorrådgiver i Konkurransetilsynet, rådgiver i Nasjonal kommunikasjonsmyndighet og materiellbefal i Luftforsvaret.

Even er spesialist på finans-, konkurranse-, energi-, ekom- og postregulering. Han bistår klienter med blant annet strategisk og operasjonell rådgivning om compliance, regulatorisk risiko, håndtering av tilsynssaker, finansavtaler, etterlevelse av sektorspesifikk markedsregulering og prosjekter knyttet til bruk av data og kunstig intelligens.