Bestyrelsens og lederes ansvar under DORA er kernen i EU's nye rammeværk for digital modstandskraft. Her får du overblikket på både strategisk og operationelt niveau, med det du skal vide for at kunne håndtere DORA.
Digital modstandskraft er ikke længere kun et IT-ansvar. Siden den 17. januar 2025 har EU's Digital Operational Resilience Act (DORA) været fuldt gældende, og ansvaret ligger nu hos bestyrelsen og topledelsen. Dette betyder, at DORA handler om mere end regulering, det handler om lederskab.
DORA ændrer spillereglerne for styring. Digital modstandskraft flyttes fra at være et teknisk ansvar til at blive et bestyrelses- og lederansvar. Det kræver viden, forpligtelse og samarbejde. Rigtigt håndteret åbner det også for stærkere virksomheder og varigt tillid.
For selskaber i finanssektoren og tilknyttede brancher betyder dette, at digital risiko og modstandskraft skal behandles med samme alvor som finansiel risiko. Spørgsmålet er ikke længere "er IT-afdelingen klar?", men "er vi som ledere klar?"
Kernen i DORA giver bestyrelsen to klare pligter:
Styring er ikke valgfrit – det er en lovpligtig pligt. Bestyrelsen skal sikre de rette strukturer, processer og ressourcer for at imødekomme regulatoriske forventninger.
IKT-risiko er ikke en sideudfordring, men skal integreres i den samlede risikostyring. Bestyrelsen forventes at tage et bredt greb: indarbejde IKT-risiko i risikobilledet, kræve tydelige rapporteringslinjer og få regelmæssige opdateringer om cyberrisici, resiliens-tests, hændelseshåndtering og leverandøropfølgning.
Vigtigst af alt: bestyrelsen skal vise digital kompetence, og manglende viden er ikke længere en undskyldning. Bestyrelsesmedlemmer skal have indsigt og færdigheder til at forstå IKT-risici og stille de rigtige spørgsmål.
Mens bestyrelsen definerer rammeværket, er det ledelsen, der får det til at virke. Under DORA er lederne ansvarlige for at integrere IKT-risikostyring i den daglige drift.
CEO bærer det overordnede ansvar, men nøgleroller fordeles:
CEO skal desuden sikre de rette ressourcer, etablere procedurer for hændelseshåndtering og foretage grundig vurdering af leverandører. DORA kræver også en uafhængig kontrolfunktion for IKT-risiko, som er adskilt fra den daglige drift for at undgå interessekonflikter.
Kultur er nøglen. Ledelsen skal fremme en organisationskultur, hvor modstandskraft er alles ansvar, støttet af uddannelse, bevidsthed og samarbejde på tværs.
En af de mest konkrete pligter i DORA er hændelsesrapportering. Alvorlige IKT-hændelser skal hurtigt indberettes til myndighederne, i visse tilfælde inden for få timer.
Bestyrelsen og ledelsen skal sikre, at:
Dette handler ikke kun om at undgå sanktioner. Åben og hurtig rapportering handler også om at beskytte tillid hos kunder, partnere og tilsyn.
DORA kræver regelmæssig test af digital modstandskraft, fra grundlæggende sårbarhedsvurderinger til avancerede trusselsbaserede penetrationstests (TLPT) udført af uafhængige eksperter.
For ledelsen betyder dette at sikre, at:
Test er stedet, hvor strategi møder virkelighed. Det er på denne måde, ledere kan være sikre på, at modstandskraft ikke kun er en politik, men en reel kapacitet i virksomheden.
En stor del af IKT-risikoen ligger hos tredjepartsleverandører, såsom cloud-tjenester, fintech-partnere og andre kritiske aktører. DORA er tydelig: ansvaret bliver hos bestyrelsen og ledelsen, selv ved outsourcing.
Dette kræver:
For ledere handler dette om at erkende, at modstandskraft også er et spørgsmål om leverandørkæden. Solid styring af leverandører er nu både et regulatorisk krav og en forretningsmæssig nødvendighed.
DORA lægger op til tæt europæisk koordinering mellem tilsynsmyndigheder. Virksomheder skal være forberedt på øget kontrol og flere krav til dokumentation.
Bestyrelsen og ledelsen skal sikre, at:
I praksis betyder dette at være forberedt på tæt dialog med tilsynsmyndigheder og at betragte dem som centrale interessenter i digital modstandskraft.
Compliance kan ikke reduceres til en tjekliste. Effektiv styring betyder en kontinuerlig cyklus af planlægning, gennemførelse, test og evaluering.
Ledere bør fokusere på:
Når dette hænger sammen, bliver modstandskraft en integreret del af driften, og mere end blot et compliance-krav.
At undlade at efterleve DORA kan få alvorlige konsekvenser. Reguleringerne åbner for betydelige bøder, og ved grov uagtsomhed kan bestyrelsesmedlemmer eller ledere holdes personligt ansvarlige.
Men det største tab er ofte omdømmet. En cyberhændelse, der afslører svag styring, kan undergrave både kunde- og investorernes tillid og dermed konkurrenceevnen. For finansinstitutioner, hvor tillid er kernekapitalen, er dette den største risiko.
De gode nyheder er, at de, der tager DORA alvorligt, ikke blot undgår risiko – de opbygger styrke. Ved at integrere modstandskraft i styring og drift kan virksomheder:
Kort sagt handler DORA ikke kun om compliance. Det handler om lederskab, tillid og om at give din virksomhed en konkurrencefordel.