Operativ motståndskraft är en organisations förmåga att förebygga, anpassa sig till, reagera på, återhämta sig från och lära av driftstörningar, så att de tjänster som kunderna förlitar sig på fortsätter att fungera. Brittiska tillsynsmyndigheter behandlar det nu som en skyldighet på styrelsenivå, inte en IT-städningsuppgift.
I praktiken kan ett operativt motståndskraftigt företag göra fyra saker:
- Förutse de störningar som skulle kunna stoppa dess viktiga tjänster
- Motstå dem genom att hålla sig inom en överenskommen skadenivå
- Recover tjänster inom en tolerans som företaget har fastställt i förväg
- Anpassa och lära sig så att samma störning inte biter två gånger
Den förändring som tillsynsmyndigheterna har gjort är subtil men viktig. Istället för att fråga ”är era system säkra?” frågar de nu ”om en tjänst misslyckas, hur illa kommer kunderna och marknaden att skadas, och kan ni bevisa att ni kommer att hålla er inom den gräns ni satt?”
Vad är operativ motståndskraft?
Operativ motståndskraft är ett resultat, inte en kontroll. Det är en försäkran om att en organisation kan fortsätta leverera sina viktigaste tjänster även genom störningar, oavsett om störningen är en cyberattack, ett tredjepartsavbrott, en misslyckad förändring eller en naturlig händelse. Den antar att störningar kommer att inträffa och fokuserar på att begränsa skadan, snarare än att försöka förhindra varje incident.
Det gör det bredare än IT- katastrofåterställning och mer specifikt än generell riskhantering. Det handlar om den heltäckande tjänst en kund får, och om de människor, processer, teknik, anläggningar och leverantörer som ligger bakom det.
Påbörja din gratis provperiod
Vill du utforska?
Registrera dig för din kostnadsfria provperiod idag och få praktiska tillgångar med alla efterlevnadsfunktioner som ISMS.online har att erbjuda
Vilka är de brittiska reglerna för operativ motståndskraft?
Storbritannien har ett av de mest utvecklade systemen för operativ motståndskraft i världen. Om du är verksam inom finansiella tjänster gäller flera regler samtidigt, och de delar samma underliggande logik.
| reglering | Vem det gäller | Vad det kräver |
|---|---|---|
| FCA PS21/3 | FCA-reglerade företag (banker, försäkringsbolag, investeringsföretag, betalnings- och e-pengaföretag) | Identifiera viktiga affärstjänster, sätt toleranser för påverkan, kartlägg och testa, med full efterlevnad förväntad från och med den 31 mars 2025. |
| PRA SS1/21 | Banker, byggföreningar och PRA-utsedda investeringsföretag | PRA:s matchande förväntningar på operativ motståndskraft, övervakade tillsammans med FCA |
| Bank of England | Finansmarknadsinfrastruktur (betalningssystem, CCP:er, CSD:er) | Förväntningar på operativ motståndskraft för de företag som håller det finansiella systemet igång |
| DORA | Finansiella enheter i EU och deras IKT-leverantörer, inklusive brittiska företag som betjänar EU | IKT-riskhantering, incidentrapportering, resilienstestning och tredjepartsrisk, i kraft sedan januari 2025 |
Resans riktning är konsekvent: fler sektorer, mer granskning av tredje parter och en starkare förväntan om att man kan bevisa motståndskraft snarare än att hävda den . Den hotledda testmetod som Bank of England använder genom CBEST sprider samma evidensfokuserade tänkesätt över hela branschen.
Hur bygger man operativ motståndskraft?
Brittiska tillsynsmyndigheter har fastställt en tydlig metod, och den fungerar lika bra utanför finansiella tjänster. Det finns fem steg:
- Identifiera dina viktiga affärstjänster: de tjänster som, om de störs, skulle orsaka verklig skada för kunder eller marknaden.
- Ställ in stöttoleranser: den maximala nivån av störningar som varje tjänst kan ta innan skadan blir oacceptabel, vanligtvis uttryckt som en tidsgräns.
- Kartadokumentera de personer, processer, teknik, anläggningar och leverantörer som varje tjänst är beroende av.
- TestaKör allvarliga men rimliga scenarier för att se om du håller dig inom toleransområdet.
- Självbedömning och bevisAnteckna vad du hittat, åtgärda luckorna och för en aktuell, försvarbar självbedömning.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Vart och ett av dessa steg har detaljer bakom sig. Ramverket för operativ motståndskraft anger de sex komponenterna i sin helhet, de bevis som varje steg producerar och i vilken ordning de ska byggas in.
Operativ motståndskraft kontra affärskontinuitet
De två är relaterade men inte samma sak. Verksamhetskontinuitet är en av de funktioner som ger operativ motståndskraft: den fokuserar på att hålla kritiska processer igång och återställa dem efter en incident, och den är förankrad i ISO 22301. Operativ motståndskraft är den bredare, resultatfokuserade disciplin som fastställer de toleranser för påverkan som kontinuiteten sedan måste uppfylla. Se affärsmotståndskraft kontra affärskontinuitet för den fullständiga jämförelsen.
Hur operativ motståndskraft passar in i affärsmotståndskraft
Operativ motståndskraft besvarar en specifik fråga: kan era tjänster fortsätta att fungera? Affärsmotståndskraft är den bredare bilden, och det är där de flesta störningar nu har sitt ursprung, inom säkerhet, integritet och AI-risker. Hantera dessa tre som ett system, Resilience Loop , och operativ motståndskraft blir mycket lättare att uppnå, eftersom ni tar itu med orsakerna till störningar, inte bara övar på responsen.
Det är därför operativ motståndskraft är vägen till företagens motståndskraft , och varför de finansföretag som ligger längst fram i PS21/3 också är de som investerar i uppkopplad, certifierbar styrning. Vår guide om motståndskraft för finansiella tjänster går djupare in på sektorn.
Operativ motståndskraft per sektor
Operativ motståndskraft övervakas på olika sätt inom varje sektor. Dessa guider går djupare in på vem som frågar och vad de förväntar sig att se.
- Finansiella tjänster och betalningarFörväntningar från DORA, FCA och Bank of England.
- Hanterad IT och programvaraBevisa motståndskraft gentemot företagskunder som granskar er.
- Telekom och nätverkSkyldigheter enligt telesäkerhetslagen och nätverkstillgänglighet.
- Hälso- och sjukvård och hälsoteknikNHS DSPT, patientsäkerhet och klinisk kontinuitet.
Varför välja ISMS.online för operativ motståndskraft?
De flesta verktyg hjälper dig att kryssa i rutor. ISMS.online hjälper dig att bygga motståndskraft som du kan bevisa.
- Ett uppkopplat systemhantera informationssäkerhet, dataskydd och AI-styrning tillsammans i en enda plattform, inte tre separata verktyg.
- Certifierbar genom designVarje åtgärd motsvarar ISO 27001, ISO 27701, ISO 42001 och ISO 22301, så din motståndskraft är bevisbar.
- Bevis på begäranvisa tillsynsmyndigheter, revisorer och kunder bevis på motståndskraft, inte löften.
- Informerad av djupgående expertisGuidad implementering från riktiga specialister, inte automatisering utan beröring som döljer risken.
- Kontinuerlig, inte periodisken livevy av dina risker och kontroller, istället för ett årligt kapplöpning inför en revision.
- Byggd för reglerade marknaderUtformad för organisationer där säkerhet, integritet och förtroende styr köpbeslutet.
Utforska ISMS.online-plattformen för företagsresiliens för att se hur den fungerar i praktiken.
Vanliga frågor
Vad är operativ motståndskraft, enkelt uttryckt?
Operativ motståndskraft är din förmåga att fortsätta leverera de tjänster som människor är beroende av, även när något går fel. Den antar att störningar kommer att inträffa och fokuserar på att begränsa skadan och återhämta sig snabbt, snarare än att försöka förhindra varje enskild incident.
Vad är en stöttolerans?
En påverkanstolerans är den maximala mängden störningar en viktig affärstjänst kan utstå innan den orsakar oacceptabel skada för kunder eller marknaden. Den sätts vanligtvis som en tidsgräns, till exempel den längsta tid en betaltjänst kan vara otillgänglig, och den ger företaget ett tydligt mål att testa mot.
Gäller DORA brittiska företag?
Det kan det. DORA gäller finansiella enheter i EU och de IKT-leverantörer som betjänar dem, så brittiska företag med verksamhet i EU eller EU-kunder omfattas ofta av detta. Brittiska företag har också sina egna regler genom FCA och PRA, så de flesta hanterar båda samtidigt.
Vad är skillnaden mellan operativ motståndskraft och cybermotståndskraft?
Cybermotståndskraft handlar specifikt om att motstå och återhämta sig från cyberattacker. Operativ motståndskraft är bredare: den omfattar alla störningar i viktiga tjänster, oavsett om orsaken är en cyberattack, ett leverantörsfel, ett systemavbrott eller en fysisk händelse. Cybermotståndskraft är en insats för operativ motståndskraft.
