DORA’s artikel 6 kræver tre ting af en finansiel enheds ramme for IKT-risikostyring: en dokumenteret gennemgang mindst én gang om året, intern revision efter en revisionsplan og en formel proces for opfølgning på revisionens konklusioner. En modenhedsmåling i koncernen kan være et godt underlag for alle tre, men den erstatter ingen af dem.
Forskellen er værd at holde fast i, fordi målingen og de lovpligtige gennemgange ofte laves af de samme mennesker og bruger de samme data.
Hvem kravene gælder
Forordning (EU) 2022/2554 om digital operationel modstandsdygtighed i den finansielle sektor har været gældende siden 17. januar 2025 og retter sig mod finansielle enheder. En gruppe mindre enheder følger i stedet den forenklede ramme i artikel 16 og er dermed uden for artikel 5 til 15.
For en koncern uden for finans er artikel 6 en sammenligning. Den viser, hvordan en lovgiver har beskrevet gennemgang, revision og opfølgning, men den binder ikke.
De tre krav
- Stk. 5 · Rammen dokumenteres og gennemgås mindst én gang om året (regelmæssigt for mikrovirksomheder), ved større IKT-hændelser og efter tilsynsinstrukser eller konklusioner fra test eller revision
- Stk. 6 · Rammen revideres internt med jævne mellemrum efter revisionsplanen. Revisorerne skal have den nødvendige faglighed om IKT-risici og være uafhængige nok, og revisionens hyppighed og fokus afhænger af risikoen
- Stk. 7 · En fast proces, der følger op på revisionens konklusioner, så kritiske resultater bliver efterprøvet og rettet i tide
Stk. 4 sætter rammen for rollerne. Enheder, der ikke er mikrovirksomheder, overdrager styring og tilsyn med IKT-risiko til en kontrolfunktion med passende uafhængighed og skal holde risikostyring, kontrol og intern revision adskilt, enten efter de tre forsvarslinjer eller efter en model, enheden selv har lagt.
Efter stk. 10 må efterprøvningen af overholdelsen lægges ud til et andet selskab i koncernen eller til en ekstern virksomhed, men ansvaret bliver hos enheden.
Hvad målingen kan levere
At målingen kan være underlag, står ikke i forordningen. Det er sitets tolkning og praksis.
Til den årlige gennemgang efter stk. 5 kan en måling give et struktureret billede af, hvor rammen står, område for område. Er målingen gentaget med samme skala og samme begreber, kan den også vise, hvad der har flyttet sig siden sidst. Gennemgangen skal dog stadig være en gennemgang af rammen, og den skal ske ved større hændelser og efter tilsynets instrukser, uanset hvornår målingen er planlagt.
Til den interne revision efter stk. 6 kan målingen pege på områder med lav score eller stor afstand mellem enhederne og dermed indgå i den risikovurdering, revisionsplanen bygger på. Den kan ikke være revisionen. Måles der af anden linje, er målingen en del af den ramme, revisionen skal vurdere.
Til opfølgningen efter stk. 7 kan målingens fundregister være en kilde. Den formelle proces skal dog bygge på den interne revisions konklusioner, ikke kun på målingens fund. Har de to hver sit register, er det praksis at koble dem, så et fund ikke lukkes ét sted og står åbent et andet.
Hvor målingen ikke slår til
Der er tre steder, hvor målingen typisk ikke kan bære.
Den første er uafhængigheden. Stk. 6 kræver, at revisorerne er tilstrækkeligt uafhængige. En måling, som sikkerhedsfunktionen selv laver, opfylder ikke det krav, uanset hvor grundig den er. Se artiklen om anden linjes egen måling for, hvordan uafhængigheden kan beskrives.
Den anden er udløserne. Stk. 5 kræver gennemgang efter større IKT-hændelser og efter konklusioner fra test eller revision. En fast årlig måling fanger ikke de situationer.
Den tredje er dokumentationen. Rammen skal være dokumenteret. En score er ikke en dokumentation af rammen, men en vurdering af den.
I en finansiel koncern
I en koncern med både finansielle og ikke-finansielle selskaber gælder artikel 6 kun de finansielle enheder. Det er praksis at bruge én måling for hele koncernen og markere, hvilke dele der indgår som underlag for DORA-gennemgangene i de finansielle selskaber. Revisionsbekendtgørelsen for finansielle virksomheder stiller desuden egne krav til den interne revision. Dem gennemgår artiklen om den finansielle virksomheds pligt.
Rytmen mellem måling og gennemgang
Det er praksis at lægge målingen, så resultatet foreligger kort før den årlige gennemgang af rammen. Så kan gennemgangen bruge friske tal, og revisionsplanen for næste år kan bygge på både målingen og gennemgangen.
Kommer der en større IKT-hændelse midt i året, skal gennemgangen efter stk. 5 ske alligevel. Målingen kan da vise, hvor området stod før hændelsen, men den kan ikke vise, hvad hændelsen har ændret. Det kræver en ny vurdering af det berørte område.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at koncernen skriver ned, hvilke dele af målingen der bruges i den årlige gennemgang, hvilke der indgår i revisionsplanens risikovurdering, og hvordan fundregistrene hænger sammen med opfølgningsprocessen.
Uden den beskrivelse bliver målingen let præsenteret som opfyldelse af artikel 6. Ved et tilsyn kan det vise sig, at der ikke er en selvstændig gennemgang, at revisionen ikke er uafhængig, eller at kritiske fund ikke er efterprøvet rettidigt. Målingen er måske god, men den er brugt til noget, den ikke kan bære, og det svækker også tilliden til de dele af den, der faktisk er gode. Det er svært at rette op på bagefter, fordi både målingen og gennemgangen så skal laves om.
Det skal I lade være med
- At præsentere målingen som den årlige gennemgang · gennemgangen er et selvstændigt krav med egne udløsere.
- At lade anden linjes måling erstatte intern revision · stk. 6 kræver uafhængighed.
- At lukke fund i målingen uden at koble dem til opfølgningsprocessen · stk. 7 kræver rettidig efterprøvning.
Det skal gennemgangen kunne vise
- ☐ Dokumentation af den årlige gennemgang af rammen og af gennemgange efter større hændelser.
- ☐ En revisionsplan med begrundet hyppighed og fokus.
- ☐ En formel opfølgningsproces med frister for kritiske resultater.
- ☐ En beskrivelse af, hvordan målingen bruges som underlag.
Kilder
- Forordning (EU) 2022/2554 (DORA), artikel 6, stk. 4 til 7 og 10, artikel 16 og artikel 64, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv på én side, hvilke dele af jeres måling der indgår i DORA-gennemgangen, og hvilke der ikke gør.
Læs også: Fundregistret for hele koncernen · Lukning af fund i tre linjer
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
