Hvordan håndterer man dobbelt rapporteringsplikt?

En av de mest praktiske utfordringene er hendelsesrapportering. DORA krever rapportering til Finanstilsynet, mens NIS2 krever rapportering til sektormyndigheten (som også er Finanstilsynet for finanssektoren). Tidsfristene er noe forskjellige. DORA krever initial rapport innen 4 timer og detaljert rapport innen 72 timer (DORA artikkel 19, 2022).

Samordning av rapporteringsfrister

DORA: 4 timer for initial notifikasjon, 72 timer for mellomrapport, 1 måned for sluttrapport.

NIS2: 24 timer for tidlig varsel, 72 timer for oppdatering, 1 måned for sluttrapport.

I praksis betyr DOKAs strengere 4-timersfrist at finanssektoren allerede vil oppfylle NIS2s 24-timersfrist. Men rapporteringsinnholdet kan variere.

Én rapport eller to?

[UNIQUE INSIGHT] Selv om Finanstilsynet er mottaker for begge regelverk, kan rapporteringsformatene og kriteriene avvike. DORA har spesifikke klassifiseringskriterier for IKT-hendelser, mens NIS2 har bredere kriterier som også inkluderer fysiske hendelser og hendelser uten direkte IKT-påvirkning. Anbefalingen er å etablere én hendelsesrapporteringsprosess som dekker begge regelverk, med tydelige prosedyrer for hvilke tilleggskrav hvert regelverk stiller.

Hva betyr DORA for IKT-tredjepartsleverandører?

DORA innfører et helt nytt regime for tilsyn med kritiske IKT-tredjepartsleverandører. En rapport fra McKinsey estimerer at europeiske finansinstitusjoner i gjennomsnitt bruker 40-50 sentrale IKT-leverandører, der de fem største utgjør over 70 % av IKT-utgiftene (McKinsey, 2024).

Direkte tilsyn med kritiske leverandører

ESA-ene (EBA, EIOPA, ESMA) kan utpeke IKT-tredjepartsleverandører som kritiske og underlegge dem direkte tilsyn. For norske skyleverandører og datasentre som betjener finanssektoren, kan dette bety krav som går utover det NIS2 stiller.

Kontraktskrav

DORA stiller detaljerte krav til kontraktene mellom finansinstitusjoner og IKT-leverandører. Disse inkluderer servicenivåavtaler, revisjonsrettigheter, exit-strategier og krav til datalokalitet. For leverandører som allerede betjener norsk finanssektor, vil disse kravene bli en del av kontraktsforhandlingene.

[PERSONAL EXPERIENCE] Fra vårt arbeid med skyleverandører som betjener finanssektoren i Norden, ser vi at DORA-kontraktskravene er vesentlig mer detaljerte enn det de fleste leverandører er vant til. Revisjonrettigheter og exit-planer er de to mest diskuterte punktene i forhandlinger.

Hvordan bør norske finansinstitusjoner prioritere?

Ifølge en undersøkelse fra EY har 58 % av europeiske finansinstitusjoner startet DORA-implementering, men bare 23 % anser seg som «godt forberedt» (EY, 2025). Gitt at DORA allerede er gjeldende i EU, bør norske finansinstitusjoner prioritere dette høyt.

Steg 1: Kartlegg overlapp og gap

Identifiser hvilke krav som er felles for DORA og NIS2, og hvilke som er unike for hvert regelverk. Fokuser implementeringsinnsatsen på fellesnevnerne først, og fyll deretter gapene for hvert regelverk.

Steg 2: IKT-risikostyring

DORA stiller svært detaljerte krav til IKT-risikostyring. Etabler et rammeverk som oppfyller DOKAs krav. Det vil i stor grad også dekke NIS2-kravene.

Steg 3: Tredjepartsvurdering

Kartlegg alle IKT-tredjepartsleverandører. Vurder hvilke som er kritiske og oppdater kontrakter i tråd med DOKAs krav. Husk at NIS2 stiller bredere leverandørkjekrav som også dekker ikke-IKT-leverandører.

Steg 4: Testing

DORA krever testing av digital motstandsdyktighet, inkludert trusselbasert penetrasjonstesting (TLPT) for store finansinstitusjoner. Start planleggingen av testprogrammet tidlig.

Citatkapsel: Bare 23 % av europeiske finansinstitusjoner anser seg som godt forberedt på DORA ifølge EY, mens DORA allerede gjelder i EU og vil tre i kraft i EØS, noe som gjør rask implementering til en prioritet for norsk finans (EY, 2025).

Ofte stilte spørsmål

Trenger vi å etterleve både DORA og NIS2?

Ja, men der DORA stiller like strenge eller strengere krav, har DORA forrang. I praksis betyr det at etterlevelse av DORA dekker mye av NIS2, men det finnes NIS2-krav som ikke finnes i DORA, særlig rundt leverandørkjede utover IKT og fysisk sikkerhet.

Gjelder DORA for norske banker allerede?

DORA trådte i kraft i EU 17. januar 2025. For Norge kreves EØS-innlemmelse. Norske finansinstitusjoner bør forberede seg som om DORA er gjeldende, ettersom forsinkelsen trolig er kort og Finanstilsynet allerede stiller mange av de samme kravene gjennom IKT-forskriften.

Hva med kryptovaluta og fintech?

Kryptotjenesteleverandører som er autorisert under MiCA er eksplisitt omfattet av DORA. Fintech-selskaper som har konsesjon fra Finanstilsynet, er også omfattet. For ikke-regulerte fintech-selskaper gjelder NIS2-kravene dersom de oppfyller størrelseskriteriene.

Må vi gjennomføre penetrasjonstesting?

DORA krever trusselbasert penetrasjonstesting (TLPT) for store og systemviktige finansinstitusjoner. For andre finansinstitusjoner kreves regelmessig testing, men ikke nødvendigvis TLPT. NIS2 krever generelt at virksomheter vurderer effektiviteten av sikkerhetstiltak, som kan inkludere penetrasjonstesting.

Hvem er tilsynsmyndighet for DORA i Norge?

Finanstilsynet er tilsynsmyndighet for DORA i Norge, i tråd med sin rolle som finanstilsynsmyndighet. Finanstilsynet er også sektormyndigheten for finanssektoren under NIS2. Én myndighet for begge regelverk er en fordel for norsk finanssektor.

Viktige punkter om NIS2 finanssektoren DORA NIS2 norsk

Norsk finanssektor står overfor en krevende, men overkommelig, implementeringsoppgave. DORA og NIS2 overlapper betydelig, og Finanstilsynets rolle som tilsynsmyndighet for begge regelverk gir en naturlig samordning. Start med DOKAs krav (som er mer detaljerte for finans), og fyll deretter gapene der NIS2 stiller tilleggskrav.

Prioriter IKT-risikostyring, tredjepartsvurdering og hendelsesrapportering. Disse områdene er sentrale i begge regelverk og gir størst verdi per investert krone.

---

Meta description: DORA gjelder 22 000+ finansinstitusjoner i EØS. Lær hvordan NIS2 og DORA overlapper og hva norske banker og forsikringsselskaper må gjøre.