Nytt EU-krav flytter ansvaret: – DORA handler om styring, ikke bare drift

Norge står ved et veiskille. Vi er blant verdens mest digitaliserte samfunn, og finanssektoren er vevd inn i hverdagen vår med alt fra betalinger med BankAxept og Vipps, til identitet og tilgang gjennom BankID. Samtidig øker trykket utenfra: Geopolitiske spenninger, mer avanserte cyberangrep og et teknologisk skifte gjør at innovasjonstakten stiger år for år. 

Så hvordan sikrer vi stabilitet i et samfunn og en teknologi som må tåle det uforutsette, samtidig som vi bygger videre og utvikler sektoren?

– For å innovere trygt må virksomheter ha et klart bilde av sitt digitale risikobilde. Når man har kontroll på grunnmuren, øker tempoet. Det er ikke et hinder, det er en forutsetning, sier Sigrun Hansen Bock, leder for bank og forsikring i Vivicta.

Etter et eierskifte har Tietoevry Tech Services fått nytt navn: Vivicta. Selskapet fortsetter som en uavhengig leverandør med fokus på sikkerhet, data og kunstig intelligens, applikasjoner og skytjenester.

Kompetansemiljøene og leveransemodellene er de samme som før, men satsingen er tydelig rettet mot moderne teknologi og løsninger som skal styrke virksomheters digitale utvikling.

Når teknologien svikter, stopper samfunnet

Tjenester som betaling, oppgjør, identitet og tilgangskontroll er sjelden synlige for folk flest. De fungerer bare. Men nettopp derfor kan konsekvensene bli store når de ikke gjør det.

Bock beskriver disse systemene som det stille maskinrommet i norsk digital økonomi.

– Dette er ikke tjenester som får oppmerksomhet når alt går som det skal. Men hvis de stanser, så stopper Norge. Da snakker vi ikke om en IT-feil. Da snakker vi om reell systemrisiko.

Det er nettopp dette EU svarer på med DORA (Digital Operational Resilience Act). Regelverket krever at finansinstitusjoner ikke bare skal beskytte systemene sine, men være i stand til å håndtere alvorlige hendelser og gjenopprette normal drift raskt. Med det flyttes ansvaret oppover i organisasjonene.

– DORA handler om styring, ikke bare drift. Man må vite hva man har, hvordan det henger sammen, og hvordan man kommer tilbake hvis noe skjer.

Digital suverenitet i praksis

Bock beskriver digital suverenitet som noe langt mer enn en diskusjon om datasentre og serverlokasjoner.

– Suverenitet betyr å kunne drifte det som er kritisk også når omgivelsene endrer seg. Vi må vite hvilke data som er mest sensitive, hvor de ligger, hvem som har tilgang og hvilke avhengigheter som blir utslagsgivende i en krisesituasjon.

Samtidig understreker hun at svaret ikke er å stenge seg inne.

– Vi skal bruke global sky og moderne verktøy. Innovasjon skjer i et globalt økosystem, og det må vi være en del av. Men det som må fungere også i en krise, må kunne styres herfra. 

Det er dette balansepunktet som blir avgjørende. Når virksomheter får dette kontrollnivået på plass, endrer innovasjonstakten seg.

– Når grunnmuren er robust, blir sikkerhet en driver for innovasjon. Det gir fart, ikke friksjon.

Sigrun Hansen Bock, leder for bank og forsikring i Vivicta.

Innovasjon skjer når man samarbeider på riktig sted

Norsk finans har en lang tradisjon for samarbeid om det som er felles. BankAxept, BankID og datadelingsløsninger i bransjen er eksempler på fellesskapsprosjekter som har gjort norsk finans både tryggere og mer innovativ.

– Bankprosessene er i stor grad like. Kundene får bedre tjenester når vi samarbeider der vi kan, og konkurrerer der vi skal. Det gir både høyere effektivitet og bedre sikkerhet, sier Bock.

Her spiller Vivicta en rolle som har blitt viktigere med årene: tjenesteintegrator.

DNB har kunder i mange land i verden, og Vivicta samarbeider i dag med DNB om drift av en av bankens mest kritiske løsninger knyttet til sin internasjonale virksomhet. Løsningen håndterer banktjenester og inngår i kjernen av bankens daglige drift.

– Når en løsning er så kritisk at den ikke kan stoppe, blir partnerrollen avgjørende. Vi trenger leverandører som ikke bare leverer teknologi, men som forstår virksomheten vår på et strategisk nivå og er med å videreutvikle tjenesten sammen med oss.

Viggo Steen, Head of IBIS Centre of Excellence i DNB.

– Noen må se helheten. Ikke bare teknologien, men dataflyten, beredskapskjeden og hvordan tjenestene påvirker hverandre. Det er det vi gjør i praksis, ikke bare på papiret, legger Bock til.

Vivicta har vært tett på digitaliseringen av norsk finans i flere tiår. Erfaringen ligger ikke i å «ha gamle systemer», men i å forstå hvordan kritisk infrastruktur bygges og utvikles over tid.

– Vi bygger ikke løsninger i et laboratorium. Vi bygger dem midt i virkeligheten, i drift, sammen med kundene, sier hun.

Mer automatisering. Mer kompleksitet. Større krav til kontroll.

Bock forventer at kunstig intelligens vil bevege seg dypere inn i selve maskinrommet i finans:

– Den store endringen skjer ikke i chatbotene. Den skjer i overvåking, oppgjør, prosessmotorer og operasjonelle beslutninger. Når disse lagene automatiseres, må styringsmodellene være sterke nok til å tåle det.

Samtidig øker risikoen.

– Finansnæringen kommer til å møte mer avansert økonomisk kriminalitet, sofistikerte cyberangrep og forsøk på å lamme kritiske tjenester. Derfor må innovasjon bygges på en plattform som tåler både storm og solskinn.

Hun oppsummerer:

– Innovasjon uten kontroll er risiko. Kontroll uten innovasjon er stagnasjon. Norge trenger begge, avslutter hun.