DORA.
EU-förordningen om digital operativ motståndskraft i finanssektorn: tillämpningsområde, huvudsakliga skyldigheter och löpande underlag.
- Förordning (EU) 2022/2554
- Av Derya Altinay
- Aktuellt per: 2026-10-22
- Lästid: 7 min.
Kort svar.
DORA är EU-förordningen om digital operativ motståndskraft i finanssektorn. Sedan den 17 januari 2025 kräver den att finansiella entiteter som omfattas hanterar IKT-risker, incidenter, motståndskraftstester och leverantörsberoenden på ett tillförlitligt sätt. Skyldigheterna beror på roll och tillämpningsområde. Ett allmänt certifikat ersätter inte den löpande efterlevnaden.
DORA-förordningen reglerar den löpande driften.
DORA står för Digital Operational Resilience Act och betecknar förordning (EU) 2022/2554 om digital operativ motståndskraft i finanssektorn. Förordningen gäller sedan den 17 januari 2025. Målet är att kunna upprätthålla och återställa finansiella tjänster även vid betydande IKT-störningar. Europeiska kommissionen betraktar förebyggande, begränsade konsekvenser och återställning tillsammans som en uppgift för motståndskraften.
DORA omfattar mer än att avvärja cyberangrepp. Även tekniska avbrott, oanvändbara återställningsförfaranden och beroenden av externa tjänster kan påverka den finansiella tjänsten. Avgörande är därför hur verksamhetsansvar, teknik och tjänsteleverantörer samverkar. En samling säkerhetsriktlinjer visar i sig inte om en betalningsprocess faktiskt fungerar igen efter en störning.
Kompletterande tekniska standarder för tillsyn och genomförande konkretiserar förordningen. Kommissionens officiella register innehåller exempelvis rättsakter om incidentrapportering och underentreprenad. Genomförandet behöver därför utgå från de slutliga regler som är tillämpliga och den behöriga tillsynsmyndighetens krav. En gammal checklista eller allmän rapporteringskalender ersätter inte denna prövning.
Vilka finansiella entiteter och leverantörer DORA berör.
DORA omfattar vissa juridiska personer i finanssektorn enligt art. 2 i förordning (EU) 2022/2554. Exempel är kreditinstitut, betalningsinstitut, värdepappersföretag och försäkringsföretag, med beaktande av lagstadgade undantag. Beteckningen fintech, startup eller små och medelstora företag avgör inte frågan. EIOPA förklarar i sitt slutliga svar DORA 136–3193 att klassificeringen utgår från typen av juridisk person och att gemensamt använd IKT inte kan undantas enbart utifrån enskilda verksamheter.
En vanlig tredjepartsleverantör av IKT-tjänster har en annan roll än en finansiell entitet som omfattas. Finanskunder kan kräva avtalsåtaganden, stöd vid incidenter och tillförlitliga underlag. Detta ska skiljas från de europeiska tillsynsmyndigheternas uttryckliga utseende till kritisk tredjepartsleverantör av IKT-tjänster enligt art. 31 DORA. Att enbart stödja en kritisk kundfunktion medför inte ett sådant utseende, vilket ESMA:s information om tillsynsramen förklarar.
Proportionalitet innebär en motiverad utformning av skyldigheterna utifrån företaget och dess risker. Den är inget allmänt undantag för små företag. Den förenklade IKT-riskhanteringsramen enligt art. 16 DORA ska prövas separat. Dokumentera roll, möjliga undantag, behörig myndighet och grunderna för klassificeringen tillsammans innan ni fastställer genomförandets omfattning.
DORA-kraven förenar sex arbetsområden.
DORA-kraven kopplar samman ledning, riskhantering och verifierbar drift. Följande orientering samlar förordningens huvudområden. Informationsutbyte om cyberhot är frivilligt. ESMA beskriver dessa teman och hänvisar till respektive tekniska standard för konkretisering.
Ledning och ansvar.
Ledningsorganet ansvarar enligt art. 5 DORA för IKT-riskhanteringen. Detta omfattar en ram där beslut, ansvar och nödvändiga resurser hänger ihop. Anlitande av externa tjänster upphäver inte den finansiella entitetens ansvar. Ledningen måste kunna se vilka väsentliga risker som finns och vilka beslut som återstår.
IKT-riskhantering och kontinuitet.
Art. 5–16 DORA behandlar IKT-riskhanteringsramen, inklusive särskilda regler för den förenklade ramen. Identifiering, skydd, upptäckt, respons, återställning och lärande hör ihop. Utgångspunkten är den berörda finansiella funktionen med dess system och beroenden. Ett dokumenterat återställningsmål behöver motsvarande teknisk och organisatorisk förmåga.
Hantera och rapportera incidenter.
Art. 17–23 DORA reglerar IKT-relaterade incidenter och deras rapportering. Ansvariga måste bedöma konsekvenser, göra relevant klassificering och organisera nödvändiga rapporter. Detaljer följer även av tillämpliga tekniska standarder. Ett leverantörsavbrott ska därför först bedömas sakligt i stället för att automatiskt tilldelas samma rapporteringsstatus i varje regelverk.
Testa digital operativ motståndskraft.
Art. 24–27 DORA behandlar motståndskraftstester. Olika testtyper besvarar olika frågor: en krisövning prövar beslut medan ett återställningstest prövar tekniska antaganden. Hotbildsstyrda penetrationstester, TLPT, gäller utvalda finansiella entiteter. De är inget generellt krav för alla finansiella tjänsteleverantörer eller deras leverantörer.
Styr IKT-tredjepartsrisker.
Art. 28–30 DORA kopplar samman leverantörsrisker, avtalskrav och den finansiella entitetens eget ansvar. Informationsregistret över avtalsarrangemang för IKT ska skiljas från en valfri leverantörslista. Särskild uppmärksamhet behövs för stöd till kritiska eller viktiga funktioner, beroenden, avtalad medverkan och genomförbara exitmöjligheter. Den separata tillsynen över kritiska leverantörer behandlas i art. 31 ff. DORA.
Utbyt hotinformation med tydligt syfte.
Art. 45 DORA möjliggör överenskommelser om informationsutbyte om cyberhot. Deltagandet är frivilligt och behöver tydliga regler för konfidentialitet och användning. Informationsutbytet kompletterar den egna säkerhetsdriften. Det ersätter varken bedömningen av en incident eller en nödvändig rapport till behörig myndighet.
Genomför DORA: från roll till verifierad förmåga.
Klargör roll och ansvar.
Dokumentera tillämpningsområde, undantag, tillsynsrelation och ansvariga för den relevanta juridiska personen så att det fortsatta arbetet vilar på en motiverad klassificering.
Kartlägg finansiella funktioner och beroenden.
Koppla viktiga funktioner till de system, den information och de externa tjänster som faktiskt används för att identifiera möjliga störningskonsekvenser och gemensamma beroenden.
Bedöm risker och överenskommelser.
Pröva tillsammans med verksamhet, teknik och inköp om åtgärder, leverantörsåtaganden och avtal stöder nödvändig kontinuitet och var ledningsbeslut behövs.
Öva incidenthantering och återställning.
Öva upptäckt, bedömning, eskalering och återställning med lämpliga scenarier, inklusive nödvändigt samarbete med leverantörer, och dokumentera resultaten.
Uppdatera underlag och förändringar löpande.
Kontrollera efter väsentliga förändringar och nya insikter om ansvar, register, förfaranden och tester fortfarande hänger ihop och om identifierade svagheter faktiskt har åtgärdats.
DORA-underlag uppstår i den löpande driften.
DORA styrks genom spårbara beslut och verifierbart genomförande. Beroende på tillämplig skyldighet ingår riskbedömningar, kontinuitetsregler, incidentdokumentation, testresultat och handlingar om IKT-avtal. Ett underlag bör visa vilken juridisk person och funktion det gäller och vad som faktiskt har granskats. Ett testprotokoll med öppna problem bekräftar inte att problemen redan har lösts.
Behöriga myndigheter utövar tillsyn över finansiella entiteter inom lagens ram, bland annat enligt art. 46 ff. DORA. Detta skiljer sig från den europeiska tillsynen över uttryckligen utsedda kritiska tredjepartsleverantörer av IKT-tjänster enligt art. 31–44. ESMA beskriver denna tillsyn som ett komplement till finansiella entiteters eget ansvar och befintliga tillsyn. Ett allmänt DORA-certifikat med enhetlig giltighetstid ersätter inte dessa relationer och skyldigheter.
DORA och andra ramverk.
För finansiella entiteter som omfattas är DORA inom relevanta områden en sektorsspecifik unionsrättsakt i förhållande till NIS2. Detta innebär inget generellt undantag för varje finansgrupp eller dess leveranskedja från alla BSIG-skyldigheter. ISO 27001 kan strukturera ett ISMS organisatoriskt men ersätter inte DORA-kraven och deras underlag. Dataskyddsskyldigheter enligt GDPR ska bedömas separat, särskilt när en störning också berör personuppgifter.
I Secani.
Secani innehåller en redaktionell DORA-katalog baserad på förordning (EU) 2022/2554 med utvalda kompletterande rättsakter. Profiluppgifter skiljer bland annat mellan bekräftade finansiella entiteter samt fullständig och förenklad ram. Uppgifterna stöder ett dokumenterat arbete men gör ingen automatisk rättslig klassificering. Katalogen är varken en officiell översättning eller en bekräftelse av DORA-efterlevnad.
Börja med en juridisk person och en funktion.
Välj först en relevant juridisk person och en konkret finansiell funktion. Samla dess klassificering, ansvar, systemberoenden, tjänsteavtal och senaste testresultat. Pröva därefter med ansvariga vilka uppgifter som redan är styrkta och vilket beslut som behövs härnäst. Den utförliga bloggvägledningen utvecklar denna startpunkt.
Källor.
- Förordning (EU) 2022/2554 om digital operativ motståndskraft i finanssektorn
- Europeiska kommissionen: Cyber resilience
- Europeiska kommissionen: delegerade akter och genomförandeakter till DORA
- ESMA: DORA, huvudområden och tekniska standarder
- ESMA: tillsyn över kritiska tredjepartsleverantörer av IKT-tjänster
- EIOPA: DORA Q&A 136–3193 om art. 2
- Kommissionens riktlinjer om art. 4 NIS2, 2023/C 328/02
Vanliga frågor.
Nej. Avgörande är den juridiska personen, dess lagstadgade kategori och möjliga undantag enligt art. 2 DORA. En marknadsbeteckning eller liten företagsstorlek avgör i sig varken tillämplighet eller undantag.
Nej. Utseende till kritisk tredjepartsleverantör av IKT-tjänster sker inom den europeiska tillsynsramen enligt art. 31 DORA. En kundrelation eller stöd till en kritisk kundfunktion ersätter i sig inte detta utseende.
Nej. Hotbildsstyrda penetrationstester enligt art. 26 DORA gäller utvalda finansiella entiteter. Andra tillämpliga krav på motståndskraftstester ska fortfarande prövas separat.
Nej. Ett ISO 27001-certifikat bekräftar ett ISMS inom angiven omfattning och ersätter inte de lagstadgade DORA-skyldigheterna. För dessa är tillämpliga krav, faktiskt genomförande och tillhörande underlag fortsatt avgörande.
Koppla samman ansvar och underlag.
Se hur Secani stöder arbetet med regulatoriska krav.
Denna sida förklarar DORA övergripande och ersätter inte en rättslig prövning av det enskilda fallet. Gällande rättsakter och den behöriga tillsynsmyndighetens krav är avgörande.