Varför DORA är viktig för finanssektorn
Finansiella tjänster drivs nu av teknik. Banker, försäkringsbolag, betaltjänstleverantörer och investeringsföretag är beroende av molnplattformar, datacenter och mjukvaruleverantörer för att betjäna kunder varje sekund av dygnet. När dessa system fallerar – genom en cyberattack, ett driftstopp eller en leverantörskollaps – kan störningen sprida sig över hela marknaden. EU:s lag om digital operativ motståndskraft (DORA) skapades för att hantera just denna risk, och den har tillämpats direkt i varje medlemsstat sedan den 17 januari 2025.
DORA är inte en lättsam riktlinje. Det är en bindande förordning med detaljerade tekniska standarder, och det fanns ingen övergångsperiod. Om din verksamhet är en finansiell enhet, eller om du levererar teknik till en sådan, formar DORA redan hur du måste hantera, testa och rapportera om din digitala verksamhet.
Vad DORA är och vem det gäller för
DORA är förordning (EU) 2022/2554. Den skapar en enhetlig, harmoniserad ram för hantering av risker inom informations- och kommunikationsteknik (IKT) inom EU:s finanssektor, och ersätter en lappuppsättning av nationella regler och överlappande riktlinjer.
Dess omfattning är medvetet bred. Cirka tjugo kategorier av finansiella enheter omfattas, inklusive banker, försäkrings- och återförsäkringsbolag, värdepappersföretag, betalnings- och e-pengainstitutioner, leverantörer av kryptotillgångstjänster, fondförvaltare och handelsplatser. Avgörande är att DORA även omfattar TST-leverantörer (Tredjepartsleverantörer av information och kommunikationsteknik) som betjänar dessa företag – från molndrift till mjukvara och dataanalys.
De fem pelarna i DORA
IT-riskkontroll
Varje finansiell enhet måste ha ett dokumenterat ramverk för hantering av IKT-risker, som ägs och övervakas av ledningsorganet. Detta inkluderar kartläggning av kritiska system, skydd av dem, upptäckt av anomalier och tydliga planer för respons och återhämtning.
Incidentrapportering
Företag måste klassificera incidenter relaterade till IKT enligt harmoniserade kriterier och rapportera allvarliga incidenter till sin behöriga myndighet inom fastställda tidsfrister, med hjälp av en gemensam mall. Detta ger tillsynsmyndigheterna en tydligare, jämförbar bild av vad som händer på marknaden.
Testning av digital operativ motståndskraft
Verksamhetsutövare måste testa sina system regelbundet, från sårbarhetsbedömningar till scenariotester. De mest betydande företagen måste också genomföra hotledd penetrationstestning (TLPT) minst vart tredje år, vilket simulerar verkliga attacker mot live-system.
Hantering av tredjepartsrisker inom IKT
DORA ställer föreskrivande regler för outsourcing. Företag måste föra ett register med information som täcker varje avtalsförhållande med IKT-leverantörer, bedöma koncentrationsrisk och säkerställa att avtalen innehåller obligatoriska klausuler om åtkomst, revision, säkerhet och avslutning.
Informations- och underrättelsedelning
DORA uppmuntrar finansiella entiteter att dela hotinformation om cyberattacker med betrodda kollegor, vilket hjälper sektorn att kollektivt försvara sig utan att bryta mot sekretess- eller konkurrensregler.
Tillsyn av kritiska IKT-leverantörer
En av de mest nyskapande delarna av DORA är ett tillsynsramverk på EU-nivå för kritiska tredjepartsleverantörer av IKT (CTPP:er), såsom stora molnplattformar. Dessa leverantörer utses och övervakas direkt av de europeiska tillsynsmyndigheterna, som kan utfärda rekommendationer och, i sista hand, ålägga periodiska straffavgifter på upp till 1% av leverantörens genomsnittliga dagliga globala omsättning vid bristande efterlevnad. Syftet är att minska den systemrisk och koncentrationsrisk som uppstår när en stor del av sektorn är beroende av ett fåtal leverantörer.
Praktiskt exempel: ett betalningsinstitut och dess molntjänstleverantör
Föreställ dig ett medelstort betalningsinstitut som driver sina kärntjänster på en enda extern molnplattform. Enligt DORA måste de registrera det förhållandet i sitt informationsregister, bedöma vad som skulle hända om leverantören drabbades av ett driftstopp och se till att kontraktet garanterar revisionsrättigheter och en genomförbar utträdesplan. Om molntjänsten gick ner och störde betalningar i flera timmar, skulle incidenten behöva klassificeras och, om den var allvarlig, rapporteras till den behöriga myndigheten inom den föreskrivna tidsramen. Att förbereda sig för detta i förväg är långt billigare än att improvisera under en pågående kris.
Vanliga misstag som företag gör
Det vanligaste felet är att behandla DORA som ett IT-avdelningsprojekt snarare än ett ansvarsområde för styrelsen – regelverket lägger uttryckligen ansvarsutkrävandet på ledningsorganet. Andra underskattar den tredjepartsrelaterade pelaren och upptäcker för sent att deras leverantörsavtal saknar de obligatoriska klausulerna. Många företag lämnar också sina register över information ofullständiga, eller misslyckas med att testa sina återställningsplaner mot realistiska scenarier. Mindre enheter antar ibland att DORA inte gäller dem, när det i själva verket är så att omfattningen är bred och proportionalitet, inte undantag, är den vägledande principen.
Rekommenderade åtgärder
Börja med att bekräfta om din organisation är inom ramen, antingen som en finansiell enhet eller som en IKT-leverantör till en sådan. Bygg eller slutför ditt register över information, granska varje IKT-kontrakt mot DORAs krav och omförhandla där klausuler saknas. Upprätta en tydlig process för klassificering och rapportering av incidenter och öva på den. Inför ett realistiskt testprogram och se till att din styrelse får regelbunden, begriplig rapportering om IKT-risk. Där bilden är komplex, sök specialistråd tidigt snarare än efter en incident.
Vanliga frågor
När började DORA att gälla?
DORA har tillämpats direkt i hela EU sedan den 17 januari 2025, utan någon övergångsperiod.
Gäller DORA för teknikleverantörer?
Ja. IT-tredjepartsleverantörer som betjänar finansiella enheter påverkas genom avtalsmässiga krav, och de mest systemv.
Vad händer om ett företag inte följer reglerna?
Nationella behöriga myndigheter kan införa administrativa påföljder och korrigerande åtgärder mot finansiella enheter, medan kritiska IKT-leverantörer står inför EU-översyn och periodiska straffavgifter.
Slutsats
DORA markerar en avgörande förändring: digital operationell motståndskraft är nu en laglig skyldighet, inte bara god praxis. Finansiella enheter och deras teknikpartners behöver robust ICT-riskhantering, testade återställningsplaner, disciplinerad incidentrapportering och noggrant utformade leverantörsavtal. Att få detta rätt skyddar dina kunder, ditt rykte och din verksamhetslicens. På Lawgent hjälper vi finansiella företag och deras leverantörer att tolka DORA, granska avtal och bygga praktiska, proportionerliga efterlevnadsramar – genom att kombinera juridisk expertis med en tydlig förståelse för den bakomliggande tekniken. Kontakta oss för att säkerställa att din organisation är motståndskraftig från grunden.
