Doras två testnivåer: programmet och den avancerade testningen

Programmet gäller alla finansiella entiteter som omfattas av Dora och är den nivå som faktiskt driver det mesta av arbetet, eftersom den är återkommande snarare än episodisk.

Innehållet är en uppsättning tester av IKT-verktyg och system, anpassad efter entitetens storlek, riskprofil och verksamhetens art. Det finns inget föreskrivet intervall och ingen föreskriven metodlista, vilket är samma konstruktion som cybersäkerhetslagen använder och samma konsekvens: bevisbördan för att valet var rimligt ligger hos er.

Praktiskt betyder det att programmet bör vara ett dokument med utlösare och omfattning snarare än en rad i en budget. Vad testas, hur ofta, varför just det, och vad som händer med resultaten.

Hotbildsstyrd penetrationstestning enligt artikel 26 är en annan sorts insats. Den gäller bara berörda entiteter, den har ett intervall på minst vart tredje år, och den utförs på faktiska produktionssystem.

Omfattningen följer kritiska eller viktiga funktioner, och den utlagda IKT-kedjan bakom dem räknas in. Det gör funktionsklassificeringen till en förutsättning och kopplar ihop testkravet med informationsregistret: registret är det som visar vilka leverantörer som behöver medverka.

I Sverige genomförs TLPT inom TIBER-SE, som Riksbanken ansvarar för. Det är en process med egna steg och egna roller, och den bör planeras med lång framförhållning, inte minst eftersom externa testare ska anlitas vart tredje test.

De flesta finansiella entiteter testar redan. Frågan är sällan om det görs utan om det som görs går att beskriva som ett program.

Skillnaden mellan spridda insatser och ett program är tre uppgifter: en samlad bild av vad som testas och inte, en motivering till varför omfattningen är lagom, och en plats där resultaten samlas. Utan dem finns testerna men inte kravet.

Det praktiska rådet är att inventera bakåt först. Lista de tester som faktiskt gjorts de senaste två åren, med datum, omfattning och vad som hände med fynden. I de flesta organisationer visar den listan att programmet nästan finns, och att det som saknas är beskrivningen snarare än arbetet.

Ett TLPT sker minst vart tredje år. Mellan två sådana tester hinner en normal IKT-miljö förändras i grunden: nya tjänster, nya integrationer, nya leverantörer, ny behörighetsmodell.

Programmet är det som täcker den perioden. Det är också det som fångar den sortens fynd som ett scenariobaserat test går förbi, eftersom ett TLPT letar efter en väg till ett mål och inte efter alla svagheter längs vägen.

Omvänt kan programmet inte ersätta TLPT, eftersom det inte prövar samma sak. Programmet mäter systemen, TLPT mäter om ett realistiskt scenario är genomförbart och vad ni såg medan det pågick.

EU-förordningen för digital operativ motståndskraft (Dora-förordningen) började gälla i januari 2025.

Ett testresultat som inte kopplas till en åtgärd är svårt att åberopa som bevis för att motståndskraften bedömts. Frågan vid tillsyn är sällan vad ni hittade utan vad ni gjorde.

Det som behöver finnas är därför en kedja: fynd, beslut, åtgärd, omtest. Var och en med datum. Det är samma disciplin som gäller under cybersäkerhetslagen, och den kostar nästan ingenting om den byggs in från början.

Lägg också in besluten att inte åtgärda. Ett medvetet accepterat fynd med en dokumenterad motivering är en försvarbar position; samma fynd utan anteckning ser ut som något som glömdes bort.