DORA-tjekliste: Kom i gang med de vigtigste skridt

En tjekliste gør ikke en virksomhed DORA-compliant i sig selv, men den giver et overblik over, hvor I står, og hvad der mangler. Denne tjekliste er struktureret efter forordningens fem søjler — og slutter med en konkret certifikat-tjekliste, der er et oplagt sted at starte. For den fulde ramme, se vores DORA-side.

Tjekliste efter de fem søjler

For hvert punkt: hvad har vi, hvad mangler vi, og er det dokumenteret?

• 1 · IKT-risikostyring. Er der en governance-ramme med klart ledelsesansvar? Har I et komplet, opdateret overblik over IKT-aktiver og beskyttelsesforanstaltninger, herunder kryptografiske kontroller?
• 2 · Hændelseshåndtering og -rapportering. Kan I opdage, klassificere og rapportere større IKT-hændelser inden for fristerne? Kan I hurtigt fastslå rodårsag og omfang?
• 3 · Modstandsdygtighedstest. Testes modstandsdygtigheden regelmæssigt? Er det afklaret, om I er omfattet af kravet om trusselsbaseret penetrationstest (TLPT)?
• 4 · IKT-tredjepartsrisiko. Har I et register over leverandøraftaler, risikovurdering før indgåelse og løbende overvågning af kritiske leverandører?
• 5 · Informationsdeling. Har I taget stilling til, om I vil deltage i deling af trusselsinformation i et tillidsfællesskab?

Certifikat-tjekliste: et konkret startpunkt

Certifikater er et af de steder, hvor DORA's krav bliver helt håndgribelige — og hvor man hurtigt kan vise fremskridt. En minimal certifikat-tjekliste:

• Har I et komplet register over alle TLS-certifikater — interne som eksterne?
• Er leverandørernes certifikater på jeres domæner med i registret?
• Er TLS-konfigurationen (protokolversioner og cipher suites) dokumenteret?
• Får de rette ejere alarmer i god tid før udløb?
• Genereres der løbende dokumentation — rapporter og audit-log — til revision og tilsyn?

For en praktisk rækkefølge til hele implementeringen, se DORA-implementering: sådan kommer I i gang.