Sektoren skal styrke det ledelsesmæssige tilsyn med IT-risikostyringen og sikre, at virksomhedernes rammer for IT-risikostyring er veldokumenterede og sammenhængende. Derudover skal sektoren sikre, at de løbende har og udvikler de rette kompetencer. Virksomhederne skal styrke og teste deres operationelle beredskab, og endeligt skal de sikre, at de løbende forbedrer risikostyringen på baggrund af erfaringer fra hændelser og tests. Det viser Finanstilsynets undersøgelse af udvalgte forsikrings- og pensionsselskabers implementering af DORA-forordningen, som blev gennemført i perioden oktober 2025 til marts 2026.
Undersøgelsen blev gennemført som en struktureret spørgeskemaundersøgelse. Finanstilsynet har efterfølgende bedt de virksomheder, hvori der blev konstateret væsentlige mangler, om at indsende en handleplan.
”Sektoren er kommet langt, siden DORA trådte i kraft i januar 2025. Vi ser dog stadig, at sektoren generelt har et stykke vej foran sig til at løfte sikkerhedsniveauet, så det imødekommer et trusselsbillede under hastig forandring og sektorens stigende afhængighed af IT. Derfor er det vigtigere end nogensinde, at virksomhederne får taget stilling, og at beslutningerne rykker helt ind i bestyrelseslokalet,” siger vicedirektør Mette Tams Kitaj.
Finanstilsynet er i gang med at følge op med de største forsikrings- og pensionsselskaber, bl.a. de virksomheder, hvori undersøgelsen afdækkede større mangler. Det indebærer bl.a. møder med virksomhederne samt IT-inspektioner, som kan give anledning til tilsynsreaktioner.
Om DORA-forordringen
Forordningen om digital operationel modstandsdygtighed (DORA) blev vedtaget i 2022 og har været gældende siden den 17. januar 2025[1]. Den moderniserer og harmoniserer IT-tilsynet i den finansielle sektor på tværs af virksomhedstyper i hele EU. Finanstilsynet fører tilsyn med efterlevelsen af DORA-forordningen.
Formålet er at styrke sektorens digitale operationelle modstandsdygtighed, bl.a. overfor cyberangreb. DORA retter sig mod de finansielle virksomheders håndtering af risici forbundet med brugen af informations- og kommunikationsteknologi (IKT), og er inddelt i fem søjler:
- IKT-risikostyring
- Styring, klassificering og indberetning af IKT-relaterede hændelser
- Test af digital operationel modstandsdygtighed
- Styring af IKT-tredjepartsrisici
- Ordninger for informationsudveksling.