DORA.
EU-forordningen om digital operationel modstandsdygtighed i finanssektoren: anvendelsesområde, hovedpligter og løbende dokumentation.
- Forordning (EU) 2022/2554
- Af Derya Altinay
- Status: 22.10.2026
- Læsetid: 7 min.
Kort svar.
DORA er EU-forordningen om digital operationel modstandsdygtighed i finanssektoren. Siden den 17. januar 2025 kræver den, at omfattede finansielle enheder håndterer IKT-risici, hændelser, modstandsdygtighedstest og leverandørafhængigheder robust. Pligterne afhænger af rolle og anvendelsesområde; et generelt certifikat erstatter ikke den løbende opfyldelse af dem.
DORA-forordningen regulerer den løbende drift.
DORA står for Digital Operational Resilience Act og betegner forordning (EU) 2022/2554 om digital operationel modstandsdygtighed i finanssektoren. Forordningen gælder siden den 17. januar 2025. Dens mål er, at finansielle tjenester kan opretholdes og genoprettes selv ved betydelige IKT-forstyrrelser. Europa-Kommissionen beskriver forebyggelse, begrænsning af konsekvenser og genopretning samlet som en opgave vedrørende modstandsdygtighed.
DORA rækker ud over afværgelse af cyberangreb. Tekniske nedbrud, ubrugelige genopretningsprocedurer og afhængigheder af eksterne tjenester kan også påvirke finansielle tjenester. Det afgørende er derfor samspillet mellem forretningsansvar, teknologi og leverandører. En samling sikkerhedspolitikker alene viser endnu ikke, om en betalingsproces faktisk fungerer igen efter en forstyrrelse.
Supplerende reguleringsmæssige og gennemførelsesmæssige tekniske standarder konkretiserer forordningen. Kommissionens officielle register indeholder eksempelvis retsakter om hændelsesindberetninger og underentreprise. Implementeringen kræver derfor de endelige regler, der gælder i det enkelte tilfælde, og den kompetente tilsynsmyndigheds krav. En gammel tjekliste eller generel indberetningskalender erstatter ikke denne undersøgelse.
Hvilke finansielle enheder og leverandører DORA omfatter.
DORA omfatter bestemte juridiske enheder i finanssektoren efter art. 2 i forordning (EU) 2022/2554. Det omfatter eksempelvis kreditinstitutter, betalingsinstitutter, investeringsselskaber og forsikringsselskaber med forbehold for lovens undtagelser. Betegnelsen FinTech, startup eller SMV afgør ikke spørgsmålet. EIOPA forklarer i sit endelige svar DORA 136–3193, at klassificeringen tager udgangspunkt i enhedstypen, og at fælles IKT ikke kan udelades alene ud fra enkelte aktiviteter.
En almindelig IKT-tredjepartstjenesteudbyder har en anden rolle end en omfattet finansiel enhed. Finansielle kunder kan kræve kontraktlige tilsagn, støtte ved hændelser og holdbar dokumentation. Dette skal adskilles fra de europæiske tilsynsmyndigheders udtrykkelige udpegning som kritisk IKT-tredjepartstjenesteudbyder efter art. 31 DORA. Understøttelse af en kritisk kundefunktion alene medfører ikke denne udpegning, som ESMA’s oplysninger om tilsynsrammen forklarer.
Proportionalitet betyder en begrundet udformning af pligterne ud fra virksomheden og dens risici. Det er ikke en generel fritagelse for små virksomheder. Den forenklede ramme for IKT-risikostyring efter art. 16 DORA skal undersøges særskilt. Dokumenter rolle, mulige undtagelser, kompetent myndighed og begrundelsen for Deres klassificering samlet, før De fastlægger implementeringsomfanget.
DORA-kravene forbinder seks arbejdsområder.
DORA-kravene forbinder ledelse, risikostyring og kontrollerbar drift. Følgende overblik samler forordningens hovedområder; udveksling af oplysninger om cybertrusler er frivillig. ESMA beskriver disse emner og henviser til de enkelte tekniske standarder for konkretisering.
Ledelse og ansvar.
Ledelsesorganet har efter art. 5 DORA ansvar for IKT-risikostyringen. Det omfatter en ramme, hvor beslutninger, ansvar og nødvendige ressourcer passer sammen. Brug af eksterne tjenester ophæver ikke den finansielle enheds ansvar. Ledelsen skal fortsat kunne se, hvilke væsentlige risici der findes, og hvilke beslutninger der udestår.
IKT-risikostyring og kontinuitet.
Art. 5 til 16 DORA behandler rammen for IKT-risikostyring, herunder særreglerne for den forenklede ramme. Identifikation, beskyttelse, opdagelse, reaktion, genopretning og læring hører sammen. Udgangspunktet er den berørte finansielle funktion med dens systemer og afhængigheder. Et dokumenteret genopretningsmål kræver passende tekniske og organisatoriske evner.
Håndter og indberet hændelser.
Art. 17 til 23 DORA regulerer IKT-relaterede hændelser og indberetningen af dem. De ansvarlige skal vurdere konsekvenser, foretage den relevante klassificering og organisere de nødvendige indberetninger. Detaljerne følger desuden af de gældende tekniske standarder. Et leverandørnedbrud skal derfor først vurderes fagligt frem for automatisk at få samme indberetningsstatus i alle regelsæt.
Test digital operationel modstandsdygtighed.
Art. 24 til 27 DORA behandler test af modstandsdygtighed. Forskellige testtyper besvarer forskellige spørgsmål: En kriseøvelse tester beslutninger, mens en genopretningstest efterprøver tekniske antagelser. Trusselsbaseret penetrationstest, forkortet TLPT, vedrører udvalgte finansielle enheder. Det er ikke et generelt krav til alle finansielle tjenesteudbydere eller deres leverandører.
Styr IKT-tredjepartsrisici.
Art. 28 til 30 DORA forbinder leverandørrisici, kontraktkrav og den finansielle enheds eget ansvar. Informationsregistret over kontraktlige IKT-aftaler skal skelnes fra en vilkårlig leverandørliste. Særlig opmærksomhed kræves ved understøttelse af kritiske eller vigtige funktioner, afhængigheder, kontraktlig medvirken og holdbare exitmuligheder. Art. 31 ff. DORA behandler det særskilte tilsyn med kritiske udbydere.
Udveksl trusselsoplysninger målrettet.
Art. 45 DORA giver mulighed for aftaler om udveksling af oplysninger om cybertrusler. Deltagelse er frivillig og kræver klare regler om fortrolighed og anvendelse. Informationsudvekslingen supplerer egen sikkerhedsdrift; den erstatter hverken vurderingen af en hændelse eller en nødvendig indberetning til den kompetente myndighed.
Implementer DORA: fra rolle til efterprøvet evne.
Afklar rolle og ansvar.
Dokumenter anvendelsesområde, undtagelser, tilsynsforhold og ansvarlige personer for den relevante juridiske enhed, så det videre arbejde bygger på en begrundet klassificering.
Registrer finansielle funktioner og afhængigheder.
Forbind vigtige funktioner med de faktisk anvendte systemer, informationer og eksterne tjenester for at identificere mulige følger af forstyrrelser og fælles afhængigheder.
Vurder risici og aftaler.
Undersøg sammen med fagområdet, teknologi og indkøb, om foranstaltninger, leverandørtilsagn og kontrakter understøtter den nødvendige kontinuitet, og hvor ledelsesbeslutninger er nødvendige.
Afprøv hændelser og genopretning.
Øv opdagelse, vurdering, eskalation og genopretning med passende scenarier, herunder det nødvendige leverandørsamarbejde, og dokumenter resultaterne.
Opdater dokumentation og ændringer løbende.
Undersøg efter væsentlige ændringer og ny viden, om ansvar, registre, procedurer og test stadig passer sammen, og om konstaterede svagheder faktisk er afhjulpet.
DORA-dokumentation opstår i den løbende drift.
DORA dokumenteres gennem sporbare beslutninger og kontrollerbar implementering. Alt efter den gældende pligt omfatter dette risikovurderinger, kontinuitetsbestemmelser, hændelsesregistreringer, testresultater og dokumenter om IKT-aftaler. Dokumentationen bør vise, hvilken juridisk enhed og funktion den vedrører, og hvad der faktisk blev undersøgt. En testrapport med åbne problemer bekræfter ikke, at problemerne allerede er løst.
De kompetente myndigheder fører tilsyn med finansielle enheder inden for lovens rammer, blandt andet efter art. 46 ff. DORA. Dette adskiller sig fra det europæiske tilsyn med udtrykkeligt udpegede kritiske IKT-tredjepartstjenesteudbydere efter art. 31 til 44. ESMA beskriver dette tilsyn som et supplement til det eksisterende tilsyn med finansielle enheder og deres eget ansvar. Et generelt DORA-certifikat med ensartet gyldighed erstatter ikke disse forhold og pligter.
Læs videre på bloggen.
DORA og andre rammeværker.
DORA er for omfattede finansielle enheder på de relevante områder en sektorspecifik EU-retsakt i forhold til NIS2; det medfører ikke en generel fritagelse af alle finanskoncerner eller deres forsyningskæder fra alle BSIG-pligter. ISO 27001 kan strukturere et ISMS organisatorisk, men erstatter ikke DORA-kravene og dokumentationen for dem. Databeskyttelsespligter efter GDPR skal vurderes særskilt, især når en forstyrrelse samtidig vedrører personoplysninger.
I Secani.
Secani indeholder et redaktionelt DORA-katalog baseret på forordning (EU) 2022/2554 med udvalgte supplerende retsakter. Profiloplysninger skelner blandt andet mellem bekræftede finansielle enheder og mellem den fulde og den forenklede ramme. Disse oplysninger understøtter et dokumenteret arbejde; de foretager ikke en automatisk juridisk klassificering. Kataloget er hverken en officiel oversættelse eller en bekræftelse af DORA-overensstemmelse.
Begynd med en juridisk enhed og en funktion.
Vælg først en relevant juridisk enhed og en konkret finansiel funktion. Saml dens klassificering, ansvar, systemafhængigheder, tjenesteaftaler og seneste testresultater. Undersøg derefter med de ansvarlige personer, hvilke udsagn der allerede er dokumenteret, og hvilken beslutning der er nødvendig som den næste. Den udførlige blogvejledning uddyber denne begyndelse.
Kilder.
- Forordning (EU) 2022/2554 om digital operationel modstandsdygtighed i finanssektoren
- Europa-Kommissionen: Cyber resilience
- Europa-Kommissionen: delegerede retsakter og gennemførelsesretsakter til DORA
- ESMA: DORA, hovedområder og tekniske standarder
- ESMA: tilsyn med kritiske IKT-tredjepartstjenesteudbydere
- EIOPA: DORA Q&A 136–3193 om art. 2
- Kommissionens retningslinjer om art. 4 NIS2, 2023/C 328/02
Ofte stillede spørgsmål.
Nej. Den juridiske enhed, dens lovbestemte kategori og mulige undtagelser efter art. 2 DORA er afgørende. En markedsbetegnelse eller lille virksomhedsstørrelse alene medfører hverken anvendelighed eller fritagelse.
Nej. Udpegning som kritisk IKT-tredjepartstjenesteudbyder sker inden for den europæiske tilsynsramme efter art. 31 DORA. Et kundeforhold eller understøttelse af en kritisk kundefunktion alene erstatter ikke denne udpegning.
Nej. Trusselsbaseret penetrationstest efter art. 26 DORA vedrører udvalgte finansielle enheder. Andre gældende krav til test af modstandsdygtighed skal fortsat undersøges særskilt.
Nej. Et ISO 27001-certifikat bekræfter et ISMS inden for det angivne anvendelsesområde og erstatter ikke de lovbestemte DORA-pligter. De gældende krav, den faktiske implementering og dokumentationen for den er fortsat afgørende.
Forbind ansvar og dokumentation.
Se, hvordan Secani understøtter arbejdet med regulatoriske krav.
Denne side forklarer DORA generelt og erstatter ikke en juridisk undersøgelse af det konkrete tilfælde. Gældende retsakter og den kompetente tilsynsmyndigheds krav er afgørende.