Dora: incidentrapportering och den klocka som startar vid klassificering

Om fristen räknas från klassificering, då blir klassificeringen den handling som styr allt. Den kan inte skjutas upp i väntan på klarhet, och den kan inte heller göras slentrianmässigt, eftersom en felaktig klassificering uppåt startar en rapporteringskedja i onödan och en felaktig nedåt är ett åsidosättande.

Konstruktionen har en inbyggd spärr mot att skjuta upp. Den yttre gränsen på 24 timmar från kännedom gäller oavsett när klassificeringen görs, så en organisation som dröjer med bedömningen förlorar bara sin egen marginal.

Det praktiska svaret är att skriva klassificeringskriterierna i förväg och göra dem så enkla att beslutet går att fatta på minuter av någon som är trött. Kriterier som kräver eftertanke fungerar inte klockan tre på natten, vilket är när de behövs.

EU-förordningen för digital operativ motståndskraft (Dora-förordningen) började gälla i januari 2025.

Den första underrättelsen är kort och ska bära grundfakta: när, var, vilken typ, vilka tjänster som berörs, preliminär påverkan och en kontaktpunkt. Den ska lämnas på den harmoniserade mallen i de tekniska standarderna.

Mellanrapporten inom 72 timmar innehåller statusuppdatering och en preliminär orsaksanalys. Den ska in även om status eller hantering inte förändrats, vilket är en detalj som förvånar många: tystnad är inte ett alternativ.

Slutrapporten kommer senast en månad efter den senaste uppdaterade mellanrapporten och innehåller en fullständig orsaksanalys och lärdomar. Att fristen räknas från mellanrapporten och inte från incidenten betyder att en långdragen incident med flera mellanrapporter också skjuter slutrapporten framåt.

En finansiell entitet kan ha en incident som samtidigt är en allvarlig IKT-incident enligt Dora, en betydande incident enligt cybersäkerhetslagen om verksamheten också omfattas av den, och en personuppgiftsincident enligt dataskyddsförordningen.

De tre har olika mottagare, olika trösklar och olika startpunkter. Dora räknar från klassificering, NIS2 från kännedom, och GDPR:s 72 timmar räknar från kännedom om personuppgiftsincidenten. Ingen av klockorna pausar för att de andra löper.

Rutinen behöver därför ett tidigt beslutssteg där någon avgör vilka av de tre som är i spel, och det steget hör hemma före klassificeringen enligt Dora, inte efter. Att bygga en gemensam process med en mottagare är den vanligaste bristen erfarna säkerhetschefer pekar på.

Tre dokument räcker och alla tre är korta. Klassificeringskriterierna, med tröskelvärden per tjänst. Beslutsordningen, med namngiven beslutsfattare och ersättare. Och kontaktvägarna, med rätt mottagare per regelverk.

Lägg till en logg över gjorda bedömningar, inklusive de incidenter ni bedömde men valde att inte rapportera. Den bedömningen lämnar annars inget spår hos någon myndighet, och anteckningen är det enda som visar att den gjordes.

Öva sedan klockan. En bordsövning där någon läser upp ett scenario och gruppen ska fatta klassificeringsbeslutet inom fyra timmar tar en förmiddag och avslöjar mer om er beredskap än en genomläsning av rutinen gör.