Nya DORA-förordningen påverkar finansinstitut i Luxemburg

Finansiella institutioner baserade i Luxemburg förbereder sig för betydande anpassningar med anledning av EU:s nya DORA-förordning (Digital Operational Resilience Act). Syftet med förordningen, som syftar till att skapa en enhetlig regeluppsättning för cybersäkerhet och operativ motståndskraft i hela EU, är att träda i kraft i januari 2025.

DORA kommer att ha en omfattande inverkan på finanssektorns aktörer, inklusive kreditinstitut, betaltjänstleverantörer, värdepappersföretag, leverantörer av kryptotjänster och försäkringsbolag. I Luxemburg kräver förordningen att organisationer genomför förändringar som sträcker sig bortom traditionell IT-hantering. Särskilt övervakning och kontroll av utlagda kritiska eller viktiga affärsprocesser kommer att kräva tydliga processer.

Förordningen förstärker också ledningens ansvar för regelefterlevnad, förändringshantering, övervakning av outsourcing och hantering av verksamhetens kontinuitet. Finansiella institutioner måste säkerställa att de har en robust ram för hantering av IT-risker och en dokumenterad strategi för digital operativ motståndskraft.

Centrala områden som påverkas inkluderar riskhantering av tredjepartsleverantörer, hantering och rapportering av IT-incidenter, testning av digital operativ motståndskraft samt styrning och krav på riskhantering av IT. Företag måste granska sina avtal med IT-leverantörer och säkerställa att de uppfyller de nya kraven, särskilt gällande kritiska utläggningar.

Finansiella institutioner har cirka 24 månader på sig från förordningens officiella publicering (27 december 2022) för att uppfylla alla krav. Det rekommenderas starkt att företag omgående påbörjar en gap-analys av DORA-kraven och designen av en förstärkt ram för operativ motståndskraft, med tanke på att ytterligare tekniska standarder förväntas under de kommande månaderna.