Finansinstituten är oroliga för AI-drivna attacker – här är vad DORA förväntar sig att ni gör

AI-drivna cyberhot är inte längre en teoretisk fråga. Finansinstitut över hela Europa utvärderar aktivt konsekvenserna av allt kraftfullare verktyg som kan identifiera och utnyttja sårbarheter i stor skala – och tillsynsmyndigheterna följer utvecklingen noga.

Europeiska centralbanken har varit tydlig med att cyberattacker utgör ett allvarligt och växande hot mot banker och finansmarknadens infrastruktur, och att en enda attack – givet hur tätt sammankopplad finanssektorn är – kan hota stabiliteten i hela ekosystemet. För organisationer som verkar i den här miljön räcker det inte att bara vara orolig. Enligt DORA krävs det att man agerar.

Varför finanssektorn är i beredskap

Banker och finansinstitut står inför en särskild kombination av risker: komplexa IT-miljöer, stort beroende av tredje part och en profil som gör dem till attraktiva måltavlor. AI förstärker var och en av dessa risker. Sårbarheter upptäcks snabbare, attacker automatiseras i högre grad och tröskeln för illvilliga aktörer sänks. Resultatet är en mer instabil och oförutsägbar miljö – en miljö som traditionella, periodiska säkerhetsgranskningar aldrig var byggda för att hantera.

DORAs svar: operativ motståndskraft

DORA är utformat just för den här typen av miljö. Snarare än att sätta minimikrav som ska uppfyllas en gång för alla, skapar regelverket ett ramverk för kontinuerlig beredskap, uppbyggt kring fem nyckelområden:

1. Riskhantering inom ICT
2. Rapportering av incidenter
3. Testning av digital operativ motståndskraft
4. Riskhantering av tredjepartsleverantörer
5. Informationsdelning

Sammantaget innebär det en skyldighet att vara beredd – inte bara att ha riktlinjer på plats, utan att också kunna visa att de fungerar.

Från medvetenhet till ansvarstagande

En av de mest betydande förändringarna med DORA gäller vem som bär ansvaret. Ledningen förväntas ta ansvar för riskhanteringen, säkerställa att rätt kontroller finns på plats och övervaka efterlevnadsarbetet. Det här är inte en IT-fråga som kan delegeras till ett tekniskt team – det är ett ledningsansvar, och tillsynsmyndigheterna kommer att förvänta sig bevis på det.

Utmaningen med genomförandet

Att förstå DORA är en sak. Att genomföra det är en annan. Många organisationer har svårt att omsätta lagkrav till praktiska kontroller, hålla dokumentationen uppdaterad och samordna arbetet konsekvent mellan team och system. Utan tydlig struktur blir efterlevnadsarbetet reaktivt – något som åtgärdas inför en revision, istället för att upprätthållas som en löpande disciplin. Det är en strategi som medför verklig risk, både operativt och juridiskt.

Att bygga en stabil grund

Att uppfylla DORA-kraven kräver tydlig överblick över risker och kontroller, fastställda processer för incidenthantering, löpande övervakning och utvärdering, samt centraliserad dokumentation och rapportering. Det handlar inte enbart om att uppfylla tillsynsmyndigheternas krav – det är just detta som gör det möjligt för en organisation att faktiskt fungera tryggt när något går fel.

En referensnivå i ständig förändring

AI höjer ribban för vad det innebär att vara säker. Finansinstitut kan inte längre förlita sig på periodiska granskningar eller isolerade insatser. De organisationer som klarar sig bäst i den här miljön är de som integrerar kontinuerlig insyn, samordnade åtgärder och påvisbar kontroll i sin dagliga verksamhet – inte de som ser efterlevnad som en ruta att kryssa i.

Enligt DORA är motståndskraft inte något som kan tas för givet. Den måste byggas upp, upprätthållas och bevisas. För ledningsgrupper med personligt ansvar enligt DORA är rätt verktyg inte valfritt. Trustlinks ger er den överblick, dokumentation och trygghet som krävs för att leda efterlevnadsarbetet – inte bara rapportera om det.