Arbejder I i driften hos en finansiel virksomhed under DORA, har I en af de få regelsamlinger, der sætter faste tal på driftens kontroller. Den tekniske standard i delegeret forordning (EU) 2024/1774 kræver blandt andet automatiseret sårbarhedsscanning mindst en gang om ugen og efterprøvning af firewallregler mindst hver sjette måned, i begge tilfælde for de systemer, der understøtter kritiske eller vigtige funktioner.
Tallene gælder kun finansielle enheder omfattet af DORA og kun de systemer, kilden nævner. De er ikke en anbefaling til andre virksomheder.
Hvem rytmerne gælder
DORA er forordning (EU) 2022/2554 og anvendes fra 17. januar 2025. Den gælder finansielle enheder. Den delegerede forordning 2024/1774 uddyber kravene til styring af IKT-risici.
Der er én vigtig afgrænsning. De enheder, der efter DORA artikel 16 bruger den forenklede ramme, er omfattet af afsnit III i den delegerede forordning. Rytmerne nedenfor står i afsnit II. Efter vores læsning af opbygningen gælder de derfor ikke for enhederne under den forenklede ramme. Det er en tolkning, og den bør efterprøves for den enkelte virksomhed.
De faste rytmer
Tabellen samler de intervaller, der er relevante for driften. Alle stammer fra DORA eller den delegerede forordning.
- Automatiseret sårbarhedsscanning og vurdering · Interval: Mindst en gang om ugen · Gælder: IKT-aktiver, der understøtter kritiske eller vigtige funktioner · Kilde: 2024/1774, art. 10, stk. 2, litra b
- Efterprøvning af, at firewallregler og forbindelsesfiltre er tilstrækkelige · Interval: Mindst hver sjette måned · Gælder: IKT-systemer, der understøtter kritiske eller vigtige funktioner · Kilde: 2024/1774, art. 13, litra h
- Gennemgang af netarkitektur og netsikkerhedens udformning · Interval: En gang om året · Gælder: Nettet · Kilde: 2024/1774, art. 13, litra i
- Ajourføring af adgangsrettigheder · Interval: Mindst en gang om året for alle systemer, mindst hver sjette måned for systemer med kritiske eller vigtige funktioner · Gælder: IKT-systemer · Kilde: 2024/1774, art. 21, litra e, nr. iv
- Passende test · Interval: Mindst en gang om året · Gælder: IKT-systemer og -applikationer, der understøtter kritiske eller vigtige funktioner; enheder, der ikke er mikrovirksomheder · Kilde: DORA art. 24, stk. 6
Konfigurationsstandarden
Den delegerede forordning kræver i artikel 11, stk. 2, litra b, at enheden identificerer en sikker konfigurationsstandard for IKT-aktiver og har foranstaltninger til regelmæssig kontrol af, at standarderne anvendes effektivt. Litra c siger, at kun godkendt software installeres. Artikel 13, litra k, kræver en sikker konfigurationsstandard for alle netværkskomponenter.
For driften betyder det tre ting, der skal kunne vises:
- En skrevet standard pr. type aktiv og for netværkskomponenterne.
- Spor af den regelmæssige kontrol, fx udtræk, der sammenligner de faktiske indstillinger med standarden.
- En liste over godkendt software og en måde at vise, at andet ikke er installeret.
Ordet “regelmæssig” har ikke et tal her. Hvor ofte standarden kontrolleres, må enheden selv fastlægge. Et rimeligt udgangspunkt er at knytte kontrollen til noget, der allerede sker, fx den ugentlige scanning eller ændringsstyringen, så afvigelser fra standarden bliver set, når der alligevel arbejdes med systemerne. Hvilken rytme der vælges, bør stå skrevet, så den kan efterprøves.
Firewallreglerne
Artikel 13, litra h, kræver faste roller og trin for, hvordan firewallregler og forbindelsesfiltre beskrives, indføres, godkendes, ændres og revideres. For systemer med kritiske eller vigtige funktioner efterprøves det mindst hver sjette måned, at reglerne er tilstrækkelige.
Beviset for efterprøvningen er praksis. Det kan være et udtræk af regelsættet med dato, en liste over regler, der er gennemgået, med begrundelse for hver, og en liste over regler, der er fjernet eller strammet. Ændringsloggen for firewallen viser, at roller og trin følges. Gem efterprøvningerne samlet, så det er let at se, at der højst er gået seks måneder mellem to af dem.
Hvor hører en konfigurationsgennemgang hjemme?
DORA artikel 25, stk. 1, giver eksempler på test. Listen nævner blandt andet sårbarhedsvurderinger og -scanninger, vurderinger af netsikkerheden, mangelanalyser, scenariebaserede test og penetrationstest. Ordet konfigurationsgennemgang står ikke i listen.
Det er vores tolkning, at en konfigurationsgennemgang hører hjemme under vurderinger af netsikkerheden, mangelanalyser eller sårbarhedsvurderinger, afhængigt af hvad den dækker. Den kan altså indgå i testprogrammet, men den skal beskrives under et af de begreber, forordningen bruger.
Artikel 24, stk. 4, siger, at test gennemføres af uafhængige parter, hvad enten de er interne eller eksterne, Bruger enheden egne folk, skal de have ressourcer nok og må ikke have interessekonflikter.
Hvad det betyder for andre virksomheder
For virksomheder uden for DORA er rytmerne ikke en pligt og ikke en anbefaling. De viser, hvad en regel kan se ud, når den sætter tal på driftens kontroller. Hvordan rytmerne indgår i et samlet billede af modenheden, er et andet emne.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at driften ved, hvilke systemer der understøtter kritiske eller vigtige funktioner, for det er dem, de korte intervaller gælder for. Uden den liste kan ingen sige, om rytmerne er overholdt.
Mangler sporene, kan enheden ikke vise, at kontrollerne er udført. En scanning, der kører hver uge, men hvis resultater ingen gemmer, er svær at bruge som bevis.
Det skal I lade være med
- At bruge DORA’s intervaller som generel anbefaling · de gælder finansielle enheder og de systemer, kilden nævner.
- At kalde en konfigurationsgennemgang for en testtype i DORA · forordningen nævner den ikke ved navn.
- At glemme den forenklede ramme · afsnit II gælder efter vores læsning ikke alle.
Det skal gennemgangen kunne vise
- ☐ En liste over systemer, der understøtter kritiske eller vigtige funktioner.
- ☐ Ugentlige scanningsresultater for de aktiver, kravet gælder.
- ☐ Spor af efterprøvningen af firewallregler mindst hver sjette måned.
- ☐ En sikker konfigurationsstandard og spor af den regelmæssige kontrol.
Kilder
- Forordning (EU) 2022/2554 (DORA), artikel 16, 24, 25 og 64, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 10, 11, 13, 21 og 28, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk datoerne for de seneste to efterprøvninger af firewallreglerne for jeres kritiske systemer, og se, om der er højst seks måneder imellem.
Læs også: Hvor ofte, og hvad udløser en ny gennemgang? · Ændringsloggen som bevis
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
