DORA-checklista för digital operativ motståndskraft

# DORA-checklista – digital operativ motståndskraft

Entitet: [Företagsnamn]
Tillsynsmyndighet: [t.ex. Finansinspektionen]
Ansvarig: [Roll]
Godkänd av ledningsorgan: [Datum]
Version: 1.0

## 1. Styrning
[ ] Ledningsorganet har formellt antagit ICT-riskhanteringsramverket.
[ ] Roller och ansvar för ICT-risk är dokumenterade (inkl. oberoende kontrollfunktion).
[ ] Ledningen får återkommande rapportering om ICT-risk och incidenter.
[ ] Budget för digital motståndskraft är avsatt och följs upp.
[ ] Ledning och styrelse har genomgått utbildning om ICT-risk.

## 2. ICT-riskhanteringsramverk
[ ] Kritiska eller viktiga funktioner är identifierade och dokumenterade.
[ ] Alla ICT-tillgångar som stödjer dessa funktioner är kartlagda.
[ ] Skyddsåtgärder finns: åtkomststyrning, kryptering, segmentering, patchning.
[ ] Detektering: logghantering, larm och tröskelvärden är på plats.
[ ] Kontinuitets- och katastrofplaner är dokumenterade och testade.
[ ] RTO och RPO är fastställda per kritisk funktion.
[ ] Backup-strategi är testad genom faktisk återläsning.

## 3. Incidenthantering
[ ] Process för att upptäcka, klassificera och hantera ICT-incidenter finns.
[ ] Klassificeringskriterier följer DORA (påverkan, varaktighet, geografi, datatyp).
[ ] Initial rapport till tillsynsmyndighet inom fastställd tidsram.
[ ] Mellanliggande och slutlig rapport har utpekade ansvariga.
[ ] Rutin för kundinformation vid allvarliga incidenter finns.
[ ] Incidentregister förs och analyseras för återkommande orsaker.

## 4. Test av motståndskraft
[ ] Årligt testprogram är beslutat och dokumenterat.
[ ] Sårbarhetsscanning genomförs regelbundet.
[ ] Penetrationstester genomförs på kritiska system.
[ ] Scenariobaserade tester (t.ex. leverantörsbortfall) genomförs.
[ ] Behov av hotbildsbaserad penetrationstestning (TLPT) är bedömt.
[ ] Åtgärder från tester följs upp till stängning.

## 5. Tredjepartsrisk
[ ] Register över informationsavtal (Register of Information) är komplett och aktuellt.
[ ] Varje leverantör är bedömd som kritisk/icke-kritisk för viktiga funktioner.
[ ] Koncentrationsrisk är analyserad (samma moln, samma region, samma underleverantör).
[ ] Avtal innehåller DORA:s obligatoriska klausuler: tjänstebeskrivning, datalokalisering,
    tillgänglighetsnivåer, revisionsrätt, tillsynsrätt, incidentstöd, uppsägning.
[ ] Underleverantörskedjan för kritiska tjänster är kartlagd.
[ ] Due diligence görs innan nya kritiska leverantörer anlitas.

## 6. Exit-strategier
[ ] Exit-plan finns för varje kritisk leverantör.
[ ] Dataexport och format är säkerställda i avtal.
[ ] Alternativa leverantörer eller intern lösning är identifierade.
[ ] Exit-planen är testad eller genomgången på skrivbordsnivå.

## 7. Informationsdelning
[ ] Rutin för att ta emot och agera på hotinformation finns.
[ ] Deltagande i branschforum för hotdelning är övervägt och dokumenterat.

## 8. AI- och molntjänster (fördjupning)
[ ] AI-tjänster som stödjer kritiska funktioner finns i registret.
[ ] Var behandlas och lagras data? Tredjelandsöverföring är bedömd.
[ ] Leverantören aviserar väsentliga modell- eller tjänsteändringar.
[ ] Tillgänglighets- och prestandaåtaganden är avtalade och följs upp.
[ ] Beroendet av en enskild AI-leverantör är riskbedömt.

Avvikelser och åtgärdsplan:
[Fritext med ansvarig och deadline per punkt]

• Registret över informationsavtal — det är det första tillsynen begär.
• Kritikalitetsbedömning av varje leverantör, inklusive AI- och molntjänster.
• Avtalsgenomgång mot DORA:s obligatoriska klausuler.
• Incidentklassificering och rapporteringsrutin med namngivna ansvariga.
• Testprogram för året, beslutat av ledningsorganet.
• Exit-plan för de tre mest kritiska leverantörerna.
• Dokumenterad ledningsrapportering minst kvartalsvis.