Finanstilsynet venter at bankene operasjonaliserer DORA-kontroller i 2027

Banker i Norge står overfor et høyt digitalt trusselnivåFinanstilsynet, forsterket av geopolitiske spenninger, der hendelser kan få systemiske konsekvenser. Beredskapen i finansnæringen er god, men må utvikles kontinuerlig mot nye trusler. Leverandør- og verdikjederisiko er blant de mest kritiske sårbarhetene i sektorenFinanstilsynet, og rask teknologisk utvikling gir både nye risikoer og nye muligheter.

For 2027 prioriterer Finanstilsynet å overvåke og analysere risiko og sårbarheter i markeder og enkeltforetakFinanstilsynet, tilsyn med aktørene i betalings-, handels- og oppgjørssystemene og annen finansiell infrastrukturFinanstilsynet, beredskap samt regelverksutvikling og EØS-arbeid.

Etter ett år med tilsyn etter DORA-rammeverket har de fleste foretakene gjennomført gapanalyser, oppdatert styrende dokumenter, etablert et rammeverk for IKT-risikostyring, gjennomført forretningsmessige konsekvensanalyser og arbeidet systematisk med tilpasning. Styrende dokumenter er ofte omfattende, men operasjonaliseringen i foretaket er fortsatt uferdigFinanstilsynet. Mange tilsynsmerknader gjelder styring og kontroll av IKT-virksomheten. IKT-tredjepartsrisiko er et område som fortsatt modnes, med komplekse leverandørkjeder og oppfølgingsutfordringer mot IKT-leverandører, og register-av-informasjon-gjennomganger har vist mangler i leverandøroppfølgingenFinanstilsynet. Beredskapsarbeidet må omfatte både foretakets egne IKT-tjenester og utkontrakterte tjenester, med mer omfattende scenariebasert testing enn før.

Finansielle enheter skal ha et forsvarlig, omfattende og veldokumentert rammeverk for IKT-risikostyringFinanstilsynet. Styret skal definere, godkjenne, føre tilsyn med og ha ansvar for gjennomføringen av alle ordninger under rammeverket, og styring, kontroll og risikovurderinger skal være en integrert del av den daglige virksomheten. Foretakene skal ha etablerte rutiner for helhetlig oppfølging av leverandører og underleverandører, kjenne leverandørkjeden og følge opp risikoen ved kjøp av IKT-tjenester fra tredjeparter.

Rask utvikling innen kunstig intelligens gir fordeler sammen med nye teknologiske og forretningsmessige risikoer, og eierskap til KI-bruken må være tydelig definert og forankret i organisasjonen. Kvanteteknologi gir muligheter og en alvorlig langsiktig risiko: Finans Norges veikart for en kvantesikker finansnæring viser til internasjonale anbefalinger om at kritiske data bør være kvantesikret innen 2030Finanstilsynet og alle data innen 2035Finanstilsynet, og kartlegging av sårbar kryptografi bør igangsettes raskt, også i leverandørkjeden. Den sikkerhetspolitiske situasjonen stiller nye beredskapskrav; arbeidet med betalingsberedskap skal løfte motstandskraften gjennom uavhengige reserveløsninger som bevarer minimumsfunksjonalitet i en kriseFinanstilsynet, med testing av relevante scenarioer inkludert verstefallsscenarioer.

De nordiske finanstilsynsdirektørene har gitt en felles uttalelse om å bruke det nordiske samarbeidet mer systematisk for effektivt tilsyn og integrerte nordiske finansmarkeder, med mål om en mer helhetlig nordisk tilnærming der markeder, foretak og risikoer allerede i stor grad er grensekryssende.

Banker og andre finansielle enheter bør integrere DORA-kontroller i den daglige driftenFinanstilsynet, stramme kontrollen med kritiske avhengigheterFinanstilsynet, rette tiltak mot KI- og kvanterisiko samt implementere og teste evnen til å opprettholde kritiske tjenester når forutsetningene svikterFinanstilsynet.

Rettslig grunnlag: DORA-forordningen (EU) 2022/2554, kapittel II om IKT-risikostyring og kapittel IV-V om testing og IKT-tredjepartsrisiko, anvendt gjennom Finanstilsynets tilsynsprioriteringer for 2027Finanstilsynet.