Text: Monica Forsberg
Bild: Kristofer Hedlund
Från januari 2025 gäller EU:s nya regelverk Dora (Digital Operational Resilience Act), som ska stärka finanssektorns förmåga att stå emot ITstörningar och cyberhot. Lagen omfattar de flesta finansiella företag i EU, till exempel banker, försäkringsbolag, värdepappersföretag, betaltjänstleverantörer och pensionsförvaltare.
Målet med Dora är att skapa ett enhetligt regelverk för hela EU-området kring hur IT-risker ska hanteras.
– Tidigare regleringar var splittrade mellan sektorer och länder. DORA samlar och harmoniserar kraven så att alla arbetar utifrån samma grundprinciper, förklarar David Lindenstrand.
För Kyrkans pension har implementeringen av Dora varit en del i det långsiktiga arbetet med riskhantering och digital säkerhet.
– Vi har gjort stresstester av vår ITinfrastruktur, granskat våra skydd mot cyberhot och säkerställt att både interna processer och våra leverantörer uppfyller kraven, berättar David Lindenstrand.
För att leva upp till de nya reglerna har Kyrkans pension dessutom sett över och anpassat riktlinjer, styrdokument och avtal, samt tagit fram nya krisplaner.
Ansvaret för Att Kyrkans pension följer Dora ligger på styrelsen och ledningen, men IT-säkerheten är en viktig del i det dagliga arbetet. Därför har såväl styrelse som anställda fått en utbildning om Dora och säkerhetsrutiner i vardagen.
– Säkerhetstänket ska finnas med hela tiden – i stort som smått. Från en robust IT-infrastruktur till att varje medarbetare använder starka lösenord, uppdaterar system i tid och undviker osäkra nätverk, säger David Lindenstrand.
Som pensionsförvaltare handlar digital motståndskraft om att skydda medlemmarnas pensionspengar och personuppgifter, men också om att säkerställa att viktiga tjänster fungerar även om en IT-incident skulle inträffa. Arbetet med Dora har gett Kyrkans pension tillfälle att gå igenom sin IT-infrastruktur och förbereda sig på hur man ska agera vid en driftstörning till följd av en IT-incident.
– Vi har gått igenom hela vår IT-miljö och dokumenterat rutiner för hantering av IT-incidenter. Nu har vi en struktur som gör att vi kan fortsätta leverera även i en krissituation, säger David Lindenstrand.
DORA
- EU-förordningen Dora (Digital Operational Resilience Act) gäller från januari 2025.
- Syftet är att stärka den digitala motståndskraften i finanssektorn så att viktiga tjänster fungerar även vid IT-incidenter eller cyberattacker.
- Reglerna omfattar banker, försäkrings- och pensionsbolag, betaltjänstleverantörer, värdepappersföretag och andra finansiella aktörer.
- Företagen ska bland annat testa sin IT-säkerhet årligen, dokumentera och rapportera incidenter, ha tydliga rutiner för riskhantering och kontrollera sina tredjepartsleverantörer inom IT.