DORA: digital motståndskraft som styrelsefråga

DORA har gällt sedan 17 januari 2025. Den största risken är inte att ramverket saknas utan att det inte går att visa i praktiken: registren över IKT-avtal är ofullständiga, testerna formella och incidentklassningen otydlig.

Förordningen gäller direkt i Sverige. Finansinspektionen är tillsynsmyndighet och har börjat efterfråga informationsregister och incidentrapporter.

• Banker, kreditmarknadsbolag, betalnings- och e-pengainstitut, värdepappersbolag, fondbolag, försäkringsbolag, tjänstepensionsföretag, kryptotillgångsleverantörer och flera andra finansiella aktörer.
• Kritiska IKT-leverantörer, till exempel stora molntjänster, kan utses och då övervakas direkt av EU:s tillsynsmyndigheter. Det förenklade IKT-riskramverket gäller bara de kategorier som anges i artikel 16, inte alla små företag. Undantagen i artikel 2 måste också kontrolleras.

1. 1. IKT-riskhantering. Ett dokumenterat ramverk för att identifiera, skydda, upptäcka, hantera och återställa. Ledningsorganet ansvarar och ska ha tillräcklig kunskap.
2. 2. Incidentrapportering. Allvarliga IKT-relaterade incidenter rapporteras till Finansinspektionen. Första anmälan lämnas snarast, inom fyra timmar efter klassificering och senast 24 timmar efter kännedom. Klassificeras incidenten först efter 24 timmar gäller fyra timmar från klassificeringen. Delrapport lämnas inom 72 timmar efter första anmälan och slutrapport inom en månad efter delrapporten eller den senaste uppdaterade delrapporten. Särskilda regler finns för helgdagar och vissa företag.
3. 3. Testning. Regelbundna tester av den digitala motståndskraften. Utpekade företag ska genomföra hotbildsstyrda penetrationstester (TLPT) minst vart tredje år; tillsynsmyndigheten kan justera frekvensen utifrån riskprofilen.
4. 4. Tredjepartsrisk. Ett register över alla avtal med IKT-leverantörer, riskbedömning före avtal, obligatoriska avtalsvillkor och exitstrategier.
5. 5. Informationsdelning. Frivilligt utbyte av cyberhotinformation mellan finansiella företag inom betrodda nätverk.

• 17 januari 2025: Krav på digital motståndskraft för omfattade finansiella företag börjar tillämpas.
• Årligen och på begäran: Uppgifter om nya IKT-avtal lämnas minst årligen. Hela informationsregistret eller delar av det lämnas på begäran enligt tillsynsmyndighetens instruktioner.

Se alla viktiga datum

Finansinspektionen kan besluta om förelägganden, sanktionsavgifter och offentliga anmärkningar enligt den svenska kompletterande lagstiftningen. Kritiska IKT-leverantörer kan åläggas löpande vite på upp till 1 % av den genomsnittliga dagliga globala omsättningen föregående räkenskapsår, per dag i högst sex månader.

1. Fastställ att styrelsen godkänt IKT-riskramverket och fått utbildning.
2. Upprätta och kvalitetssäkra informationsregistret över IKT-avtal.
3. Inför incidentklassning och öva rapporteringsflödet.
4. Gå igenom avtal mot DORA:s obligatoriska villkor.
5. Planera tester och dokumentera åtgärder av brister.
6. Ta fram exitstrategier för kritiska leverantörer.

Gäller DORA små finansiella företag?

Storlek ensam avgör inte. Kontrollera undantagen i artikel 2 och om företaget tillhör någon av kategorierna i artikel 16 som får använda det förenklade IKT-riskramverket.

Ersätter DORA NIS2 för banker?

För finansiella företag är DORA en sektorsspecifik regel som har företräde framför NIS2:s krav på riskhantering och incidentrapportering.

Omfattas våra IT-leverantörer?

Indirekt via avtalskraven. Leverantörer som utses som kritiska omfattas även av direkt EU-tillsyn.

Detta är en förenklad översikt, inte juridisk rådgivning. Kontrollera alltid den slutliga lagtexten.

DORA på EUR-LexDORA:s rapporteringsfrister: förordning 2025/301Finansinspektionens rapporteringsvägledningGör EU-kravkollen