DORA ställer krav inom fem områden: IKT-riskhantering, incidentrapportering, testning av digital motståndskraft, tredjepartsriskhantering och informationsdelning. Förordningen har tillämpats i alla EU-länder sedan 17 januari 2025, och svenska finansföretag omfattas fullt ut redan nu.
Tre saker att göra omedelbart:
- Kontrollera att ert informationsregister över IKT-tjänster är komplett och uppdaterat.
- Verifiera att ni kan rapportera incidenter i det format Finansinspektionen kräver.
- Identifiera vilka IKT-leverantörer som räknas som kritiska för er verksamhet.
De första 90 dagarna bör prioritera: gap-analys mot de fem kraven, avtalsgenomgång med kritiska leverantörer och en testplan för digital motståndskraft.
Viktiga insikter
DORA kräver att finansiella entiteter dokumenterat kan visa efterlevnad inom fem områden, med informationsregister och incidentrapportering som de mest tidskritiska skyldigheterna.
| Punkt | Detaljer |
|---|---|
| Tillämpning sedan januari 2025 | DORA gäller direkt i alla EU-länder utan nationell lagstiftning, redan i kraft för svenska aktörer. |
| Fem pelare styr allt arbete | IKT-riskhantering, incidentrapportering, testning, tredjepartsrisk och informationsdelning måste dokumenteras separat. |
| Deadline 28 februari | Informationsregistret över IKT-leverantörer ska lämnas till Finansinspektionen årligen för föregående år. |
| JSON-format för incidenter | Allvarliga IKT-incidenter rapporteras i strukturerat format sedan 31 mars, vilket kräver teknisk anpassning. |
| Prissättning styrs av komplexitet | Extern DPO och DORA-stöd prissätts efter storlek, riskbransch och antal bolag, med fast pris, timpris eller löpande avtal som modeller. |
| Evertrust som praktiskt stöd | Evertrust erbjuder GAP-analys, extern DPO och Trustview-plattformen för att samla DORA-dokumentation på ett ställe. |
Innehållsförteckning
- Vad är DORA och vem omfattas av kraven?
- De fem pelarna i DORA och vad de kräver av er
- Vilka rapporteringskrav gäller och när är deadline?
- Hur identifierar ni kritiska tredjepartsleverantörer?
- Vilka tester av motståndskraft krävs och hur ofta?
- Vem ansvarar för DORA-kraven internt?
- Steg för steg: en realistisk plan för efterlevnad
- Vad kostar en extern DPO och konsultstöd för DORA?
- Varför ledningens beslut just nu avgör utfallet
- Så kan Evertrust stötta er DORA-efterlevnad
- Källor
Vad är DORA och vem omfattas av kraven?
DORA, förordning (EU) 2022/2554, gäller direkt i alla medlemsstater utan att behöva omsättas i nationell lag. Det betyder att svenska banker, försäkringsbolag, värdepappersföretag, betalningsinstitut, kreditmarknadsföretag och flera andra finansiella entiteter redan är bundna av texten, oavsett vad Finansinspektionen skriver i egna föreskrifter.
Tillämpningsområdet är brett:
- Banker, kreditinstitut och betalningsinstitut.
- Försäkrings- och återförsäkringsbolag.
- Värdepappersföretag, fondbolag och förvaltare av alternativa investeringsfonder.
- Kritiska IKT-tredjepartsleverantörer till finanssektorn, som molnleverantörer och datacenter.
Viktig siffra: förordningen trädde i kraft januari 2023, men gav aktörerna två år på sig att förbereda sig innan den började tillämpas den 17 januari 2025. Den övergångsperioden är redan förbrukad, vilket gör efterlevnad till en löpande skyldighet snarare än ett framtida projekt.
De fem pelarna i DORA och vad de kräver av er
Varje pelare i DORA översätts till konkreta, verifierbara krav. Ingen av dem är frivillig, och tillsynsmyndigheter förväntar sig dokumenterade bevis, inte bara policyer i en pärm.
IKT-riskhantering kräver ett styrande ramverk för hela IT-miljön: inventering av system, klassificering av risker, kryptering av känslig data och strikta åtkomstkontroller. Ni behöver en dokumenterad riskaptit som styrelsen har godkänt.
Incidentrapportering innebär att ni måste kunna upptäcka, klassificera och rapportera allvarliga IKT-incidenter inom fastställda tidsramar, med tydliga interna eskaleringsvägar.
Testning av digital motståndskraft kräver regelbunden granskning genom sårbarhetsskanning, kontinuitetsövningar och för större aktörer även avancerade hotbaserade penetrationstester.
Tredjepartsriskhantering betyder att avtal med IKT-leverantörer måste innehålla revisionsrätt, exitstrategier och tydliga ansvarsfördelningar, särskilt för kritiska leverantörer.
Informationsdelning uppmuntrar frivilligt utbyte av hotinformation mellan finansiella aktörer, något som redan diskuteras i samband med statens satsning på cybersäkerhet.
Proffstips: Bygg en enda kontrollmatris som kopplar varje pelare till en ansvarig person, ett dokument och ett datum för senaste översyn. Det är den enskilda åtgärd som gör mest skillnad vid en tillsynsgranskning.
Vilka rapporteringskrav gäller och när är deadline?
Rapporteringen har två spår: löpande incidentrapportering och årlig inlämning av informationsregister. Allvarliga IKT-incidenter ska rapporteras enligt en process i flera steg, från initial anmälan till slutrapport, medan betydande cyberhot kan rapporteras frivilligt.
Informationsregistret, som listar alla avtal med IKT-leverantörer, ska lämnas till Finansinspektionen senast den 28 februari varje år och avse föregående kalenderår. Missar ni det datumet riskerar ni att hamna i FI:s tillsynsfokus utan att ha begått något annat fel.
Ett tekniskt skifte som många underskattar: rapporteringsformatet för allvarliga incidenter gick över till JSON den 31 mars, vilket kräver att er incidenthanteringsprocess kan producera strukturerad data, inte bara en pdf eller ett excelark. Det påverkar hur ni bygger integrationer mellan säkerhetsverktyg och rapporteringssystem.
Hur identifierar ni kritiska tredjepartsleverantörer?
Kritiska leverantörer är de vars bortfall skulle stoppa en väsentlig verksamhetsfunktion, inte bara orsaka besvär. Molnleverantörer, betalningsinfrastruktur och centrala datalagringstjänster hamnar oftast i den kategorin, vilket erfarenheter från danska molnleverantörer som drabbats av attacker visar tydligt.
Checklista vid leverantörsbedömning:
- Kräv dokumenterade resilienstester och kontinuitetsplaner från leverantören.
- Säkerställ avtalad rätt till revision och insyn i underleverantörskedjan.
- Definiera tydliga servicenivåer (SLA) för återställningstid vid driftstopp.
- Begär en exitplan som beskriver hur ni kan byta leverantör utan verksamhetsstopp.
Proffstips: Fråga alltid leverantören vilka underleverantörer som används för kritiska delar av tjänsten. Dolda fjärde- och femteledsleverantörer är den vanligaste blinda fläcken i tredjepartsriskarbetet.
Vilka tester av motståndskraft krävs och hur ofta?
DORA skiljer mellan grundläggande och avancerad testning. De flesta finansiella entiteter behöver genomföra sårbarhetsskanningar och kontinuitetsövningar minst årligen, medan större och mer systemviktiga aktörer även omfattas av krav på hotbaserad penetrationstestning (TLPT) vart tredje år.
- Sårbarhetsskanning: löpande, minst kvartalsvis för kritiska system.
- Kontinuitets- och katastrofövningar: minst en gång per år.
- Hotbaserad penetrationstestning: vart tredje år för utpekade aktörer.
Proffstips: Koppla varje testresultat direkt till en rad i ledningsrapporteringen. Revisorer och tillsynsmyndigheter frågar sällan efter testet i sig, utan efter beviset på att ledningen kände till resultatet och agerade.
Vem ansvarar för DORA-kraven internt?
Styrelsen bär det yttersta ansvaret för IKT-riskramverket enligt DORA, vilket är en skärpning jämfört med tidigare praxis där IT-avdelningen ofta fick sköta detta på egen hand. Det syns även i attitydförändringen hos nordiska IT-chefer som tidigare stängt av säkerhetsfunktioner trots kända risker.
| Roll | Ansvar under DORA |
|---|---|
| Styrelse | Godkänner riskaptit och IKT-strategi, tar yttersta ansvar |
| VD/ledning | Säkerställer resurser och operativ efterlevnad |
| CISO | Driver riskhantering, testning och incidenthantering |
| DPO/compliance | Bevakar rapporteringsdeadlines och dokumentation |
Dokumentationen ska omfatta en IKT-strategi, ett register över alla system och leverantörer samt bevis på att styrelsen regelbundet får rapporter om riskläget.
Steg för steg: en realistisk plan för efterlevnad
En fungerande roadmap följer sex steg:
- Inventera alla IKT-system, leverantörer och dataflöden.
- Genomför en gap-analys mot de fem pelarna i DORA.
- Prioritera åtgärder efter risk och regulatorisk exponering.
- Implementera policyer, avtalsklausuler och tekniska kontroller.
- Testa motståndskraften enligt fastställd frekvens.
- Bygg rapporteringsrutiner som klarar deadlines och format.
Vanliga fallgropar är att underskatta kostnaden för att omförhandla leverantörsavtal, lämna in ofullständiga informationsregister och bygga incidentrapportering i fel tekniskt format. Många organisationer upptäcker detta samtidigt som de brottas med krav från NIS2, vilket gör det extra viktigt att samordna regelverken snarare än att hantera dem separat.
Prioritera efter en enkel matris: hög risk och hög påverkan går först, som kritiska leverantörsavtal och incidentrapporteringsformat. Lägre risk, som interna utbildningsmaterial, kan vänta till nästa kvartal.
Vad kostar en extern DPO och konsultstöd för DORA?
Priset för externt dataskyddsombud och relaterat compliance-stöd varierar kraftigt, och de flesta leverantörer prissätter efter samma grundfaktorer. Organisationens storlek väger tyngst: ett litet värdepappersbolag med tio anställda behöver betydligt mindre stöd än en bankkoncern med flera dotterbolag.
Andra faktorer som styr offerten:
- Bransch och risknivå, där banker och betalningsinstitut ofta kräver mer omfattande övervakning än exempelvis mindre fondbolag.
- Antal juridiska enheter som ska omfattas av samma avtal.
- Internationell verksamhet, som kräver kunskap om flera tillsynsmyndigheter och språk.
- Mötesfrekvens med ledning och styrelse, från kvartalsvis avstämning till löpande veckokontakt.
- Vilka tjänster som ingår: enbart DPO-rollen, eller även DPIA, utbildning och incidentstöd.
Tre prismodeller dominerar marknaden. Fast pris passar organisationer som vill ha förutsägbar kostnad för ett definierat paket, till exempel DPO-roll plus årlig DPIA. Timpris fungerar bäst för ad hoc-rådgivning där behovet är oregelbundet. Löpande avtal ger kontinuerlig tillgång till stöd och passar organisationer med komplex riskbild eller flera bolag som behöver samordnad rådgivning över tid.
Proffstips: Be alltid om en offert som specificerar exakt vilka leverabler som ingår i fast pris, inklusive antal möten per år. Dolda timkostnader vid “extra” ärenden är den vanligaste källan till budgetöverskridning vid outsourcad compliance.
Varför ledningens beslut just nu avgör utfallet
DORA straffar inte pappersarbete i sig, utan gapet mellan vad organisationen säger att den gör och vad den faktiskt kan bevisa vid en incident. Det är här de flesta finansiella aktörer underskattar arbetet. Att skriva en policy tar en eftermiddag. Att bygga ett informationsregister som stämmer med verkligheten, ett rapporteringsflöde som klarar JSON-kravet och avtal som faktiskt ger revisionsrätt hos kritiska leverantörer tar månader.
Det jag ser gång på gång är att ledningsgrupper skjuter upp just leverantörsavtalen, eftersom omförhandling känns obekvämt och tidskrävande. Det är precis fel prioritering: leverantörskedjan är där tillsynsmyndigheterna letar först efter en incident. Besluten som ger mest effekt är därför inte tekniska, utan organisatoriska: avsätt budget, utse en ensam ansvarig för DORA-arbetet och sätt press på leverantörsupphandlingen redan denna kvartal.
Så kan Evertrust stötta er DORA-efterlevnad
Evertrust är alternativet till att bygga upp DORA-kompetens helt internt eller anlita ett stort konsulthus utan fast pris. Ni får rådgivning från jurister och säkerhetsspecialister som redan arbetar praktiskt med GDPR, NIS2 och DORA hos svenska finansaktörer, samlat i paketlösningar med tydlig kostnadsbild från start.
Tjänsterna omfattar GAP-analys mot de fem pelarna i DORA, DPIA, extern DPO-roll, teknisk granskning av testrutiner samt genomgång av leverantörsavtal för att säkra revisionsrätt och exitklausuler. För organisationer som redan hanterar flera regelverk parallellt finns även Trustview, plattformen som samlar dokumentation för GDPR, ISO 27000, DORA och NIS2 på ett ställe i stället för utspridda kalkylark.
Boka en inledande genomgång för att se var era största gap finns innan nästa rapporteringsdeadline. Starta här för att komma i kontakt med ett team som redan känner till kraven, formaten och tidsfristerna.
Källor
- Digital Operational Resilience Act (DORA) — ESMA
- Digital operativ motståndskraft för finanssektorn — EUR‑Lex
- IKT‑risker (Dora) — Finansinspektionen
- Beslutspromemoria — FFFS: Dora (Finansinspektionen)
Regelverkstexten och FI:s föreskrifter är obligatoriska att stämma av innan ni fattar juridiskt bindande beslut om er DORA-plan.
This article is general information, not a substitute for advice from a qualified financial advisor. Consult a qualified financial professional about your own circumstances before acting on anything here.
