DORA: digital operasjonell motstandskraft i finanssektoren

Dette kurset gir en praktisk innføring i DORA (Digital Operational Resilience Act) og hvordan regelverket skal forstås og anvendes i praksis. Målgruppen er ansatte i finansforetak, IKT-leverandører til finanssektoren, samt risiko-, sikkerhets- og compliancefunksjoner som trenger en felles forståelse av kravene. Kurset bruker gjennomgående eksemplene Fjordbanken og IKT-leverandøren Nordsky for å illustrere hvordan teori møter praksis.

Gjennom fem leksjoner beveger kurset seg fra virkeområde og ansvarsfordeling, via IKT-risiko og kritiske funksjoner, til beskyttelse, kontinuitet og gjenoppretting. Videre dekkes hendelsesklassifisering og rapporteringsfrister til tilsyn, samt testing av motstandskraft gjennom tekniske tester, scenarioøvelser og trusselbasert penetrasjonstesting. Deltakeren lærer å skille mellom finansforetakets regelverksansvar og leverandørens forpliktelser, og å forstå hvorfor forholdsmessighet krever en begrunnet vurdering.

Sentrale temaer inkluderer forskjellen mellom trussel, sårbarhet, hendelse og konsekvens, hvordan driftskonsekvensanalyser brukes til å prioritere gjenoppretting, og betydningen av gjenopprettingstid (RTO) og gjenopprettingspunkt (RPO). Kurset går også inn på hvordan hendelser skal klassifiseres og rapporteres innenfor fastsatte frister, og hvorfor sikkerhetskopier må testes for å være reell dokumentasjon på gjenopprettingsevne.

Etter fullført kurs skal deltakeren kunne identifisere kritiske funksjoner og deres avhengigheter, vurdere om foreslåtte tiltak faktisk reduserer risiko, og forstå ledelsens ansvar for styring av IKT-risiko. Deltakeren sitter igjen med en praktisk forståelse av hvordan DORA-kravene henger sammen på tvers av risikostyring, kontinuitet, hendelseshåndtering og testing, og med verktøy til å vurdere egen rolle i virksomhetens etterlevelsesarbeid.

Kurset er generelt og må følges opp med virksomhetens egne rutiner, risikorammeverk og dokumentasjonskrav.