NIS2 vs DORA: Vad gäller för svenska finansbolag?

Hur skiljer sig incidentrapporteringen?

Det här är den mest praktiskt betydelsefulla skillnaden. Enligt DORA-förordningen, artikel 19, ska allvarliga ICT-relaterade incidenter rapporteras inom 4 timmar efter klassificering. NIS2 kräver tidig varning inom 24 timmar. Skillnaden kan vara avgörande vid en pågående cyberattack.

DORA:s rapporteringskedja:

• Initial anmälan: Inom 4 timmar efter att incidenten klassificerats som allvarlig
• Mellanrapport: Inom 72 timmar med uppdaterad information
• Slutrapport: Inom en månad med rotorsaksanalys och åtgärder

NIS2:s rapporteringskedja:

• Tidig varning: Inom 24 timmar efter att incidenten upptäckts
• Incidentanmälan: Inom 72 timmar med initial bedömning
• Slutrapport: Inom en månad med fullständig analys

För svenska finansbolag gäller DORA:s strängare 4-timmarskrav. Det innebär att incidenthanteringsprocessen måste vara snabbare och mer automatiserad. Klassificering av incidenten blir särskilt tidskritisk, eftersom 4-timmarsfristen börjar löpa från det ögonblick incidenten bedöms som allvarlig.

Har er organisation kapacitet att klassificera och rapportera en incident inom fyra timmar, även klockan tre på natten?

[CITATION CAPSULE: DORA kräver att allvarliga ICT-incidenter rapporteras inom 4 timmar efter klassificering, jämfört med NIS2:s 24-timmarsfrist. Båda kräver mellanrapport inom 72 timmar och slutrapport inom en månad. Finansbolag måste följa DORA:s strängare tidskrav.]

<a href="/sv/nis2-directive/" title="NIS2 Incidentrapportering">NIS2 incidentrapportering</a> steg för steg

Vem utövar tillsyn i Sverige?

Finansinspektionen (FI) blir primär tillsynsmyndighet för båda regelverken i finanssektorn. Enligt FI, 2025, förbereder myndigheten sina tillsynsprocesser för att hantera DORA-kraven parallellt med NIS2-implementeringen. Det innebär en tillsynsmyndighet med dubbelt mandat.

FI:s roll under DORA är tydlig: myndigheten övervakar att finansiella entiteter uppfyller förordningens krav på ICT-riskhantering, incidentrapportering och tredjepartshantering. Under NIS2 fungerar FI som sektorsspecifik tillsynsmyndighet för bank- och finansmarknadsinfrastruktur.

I praktiken innebär det att FI kan granska er organisation utifrån båda regelverken i samma tillsynsinsats. Det förenklar processen för er som finansbolag men ställer krav på att ni har samlad dokumentation som adresserar båda ramverken.

MSB behåller sin roll som nationell samordnande myndighet och CSIRT-funktion. Vid en cyberincident rapporterar ni till FI enligt DORA och till CSIRT Sverige via MSB:s portal enligt NIS2:s generella krav. I praktiken bör denna dubbelrapportering kunna strömlinjeformas.

De europeiska tillsynsmyndigheternas roll

På EU-nivå samordnar EBA, ESMA och EIOPA tillsynen av DORA. De utfärdar tekniska standarder (RTS) och riktlinjer som FI tillämpar nationellt. Kritiska ICT-tredjepartsleverantörer övervakas direkt av en europeisk tillsynsgrupp (Lead Overseer).

Vad innebär DORA:s krav på digital operativ motståndskraft?

DORA:s kärna är konceptet digital operativ motståndskraft. Enligt EIOPA, 2024, definieras det som förmågan att bygga, upprätthålla och granska teknisk operativ integritet och tillförlitlighet. Det handlar om att verksamheten ska fungera även under och efter en allvarlig ICT-störning.

Kravet går bortom traditionell informationssäkerhet. Det inkluderar:

ICT-riskhanteringsramverk: Ett dokumenterat ramverk som identifierar, klassificerar och hanterar ICT-risker. Ramverket ska uppdateras årligen och godkännas av styrelsen.

Testning: Regelbunden testning av ICT-system inklusive penetrationstester, scenariobaserade tester och threat-led penetration testing (TLPT) vart tredje år för betydande finansiella entiteter. NIS2 saknar motsvarande detaljerade testkrav.

ICT-tredjepartsriskhantering: Detaljerade krav på avtal med ICT-leverantörer, inklusive krav på revisionsrätt, exitstrategier och dataåtkomst. Finansbolag måste föra register över alla ICT-tredjepartsavtal och rapportera dem till tillsynsmyndigheten.

[UNIQUE INSIGHT] DORA:s TLPT-krav är unikt bland EU:s cybersäkerhetsregleringar. Det kräver att kvalificerade externa testare genomför avancerade angreppssimulationer baserade på aktuell hotbild. Denna typ av testning var tidigare frivillig under TIBER-ramverket men blir nu obligatorisk.

[INTERNAL-LINK: Managed Detection and Response -> /sv/managed-detection-response-services/]

Hur påverkas ICT-leverantörer till finanssektorn?

ICT-leverantörer befinner sig i korselden mellan NIS2 och DORA. Enligt EBA, 2024, identifierar DORA specifikt kritiska ICT-tredjepartsleverantörer som träffas av direkt tillsyn från europeiska myndigheter. Samtidigt kan dessa leverantörer omfattas av NIS2 som digitala tjänsteleverantörer.

En molnleverantör som tillhandahåller infrastruktur till svenska banker kan behöva uppfylla DORA:s krav på avtalsvillkor, revisionsrätt och exitstrategier gentemot sina finanskunder. Samma leverantör kan samtidigt vara registreringsskyldig under NIS2 som leverantör av digital infrastruktur.

Finansbolag bör kartlägga sina ICT-leverantörer och bedöma vilka som klassificeras som kritiska enligt DORA. Avtal med dessa leverantörer behöver uppdateras med DORA-specifika klausuler. Det handlar om tillgång till data, revisionsrättigheter, uppsägningstider och krav vid leverantörsbyte.

[PERSONAL EXPERIENCE] Vi ser att många finansbolag underskattar antalet ICT-leverantörer som berörs. En genomsnittlig svensk bank har ofta 50-100 ICT-avtal där DORA-krav kan vara relevanta. Prioritera baserat på kritikalitet och beroendegrad.

Hur bör svenska finansbolag agera nu?

En strukturerad approach krävs. Enligt FI, 2025, förväntar sig myndigheten att finansbolag redan har påbörjat DORA-implementeringen och kan visa framsteg vid tillsyn. DORA gäller sedan januari 2025, så väntan är inte ett alternativ.

Prioritet 1: Gap-analys mot DORA

Kartlägg er nuvarande efterlevnad mot DORA:s krav. Fokusera på ICT-riskhantering (artikel 6-16), incidentrapportering (artikel 17-23) och tredjepartshantering (artikel 28-44). Identifiera de största gapen och prioritera åtgärder.

Prioritet 2: Uppdatera incidenthanteringen

Säkerställ att ni kan klassificera och rapportera incidenter inom 4 timmar. Det kräver ofta dygnet-runt-bevakning, fördefinierade klassificeringskriterier och automatiserade rapporteringsmallar. Testa processen genom simulerade incidenter.

Prioritet 3: Granska ICT-leverantörsavtal

Gå igenom befintliga avtal med ICT-leverantörer. Identifiera vilka som saknar DORA-krävda klausuler och inled omförhandling. Prioritera avtal med leverantörer som stödjer kritiska affärsprocesser.

Prioritet 4: Säkerställ NIS2-registrering

Trots DORA:s företräde behöver finansbolag sannolikt registrera sig i MSB:s MCF-portal enligt NIS2:s nationella krav. Parallellkör denna registrering med DORA-implementeringen.

NIS2 registrering i MCF-portalen

Compliance och riskbedömning

Vanliga frågor om NIS2 och DORA för finansbolag

Behöver vi följa både NIS2 och DORA?

DORA tar företräde som lex specialis för de krav som överlappar. Enligt EU-kommissionen, 2024, innebär det att ni primärt följer DORA. Men NIS2-krav som saknar motsvarighet i DORA gäller fortfarande. I praktiken innebär det att DORA-efterlevnad täcker det mesta, med några NIS2-tillägg.

Vem rapporterar vi incidenter till?

Under DORA rapporterar ni allvarliga ICT-incidenter till FI. Under NIS2 rapporterar ni till CSIRT Sverige via MSB. En och samma incident kan kräva rapportering till båda, men med olika tidsfrister (4 timmar respektive 24 timmar). Bygg en gemensam process som hanterar båda flödena.

Gäller DORA även för mindre finansbolag?

Ja, men med proportionalitetsprincipen. Enligt EBA, 2024, ska kraven tillämpas proportionellt baserat på storlek, komplexitet och riskprofil. Mikroföretag undantas från vissa krav som TLPT-testning men ska fortfarande ha grundläggande ICT-riskhantering.

Hur förhåller sig DORA till ISO 27001?

ISO 27001 ger en bra grund men täcker inte DORA:s alla krav. Särskilt TLPT-testning, detaljerade ICT-tredjepartskrav och de specifika rapporteringstidsfristerna går bortom vad standarden omfattar. Använd ISO 27001 som bas och komplettera med DORA-specifika åtgärder.

Vad kostar DORA-implementering för en svensk bank?

Kostnaderna varierar kraftigt beroende på storlek och nuvarande mognad. Enligt McKinsey, 2024, beräknas medelstora europeiska finansbolag lägga 1-5 MEUR på DORA-implementering under en tvåårsperiod. Banker med befintlig ISO 27001-certifiering och mogen incidenthantering hamnar i den nedre delen av spannet.

Sammanfattning

Svenska finansbolag behöver primärt följa DORA för ICT-säkerhet, med NIS2 som kompletterande regelverk. DORA:s krav är konsekvent strängare eller mer detaljerade, särskilt gällande incidentrapportering (4 timmar), TLPT-testning och ICT-leverantörshantering. FI övervakar efterlevnaden av båda regelverken.

Börja med en DORA gap-analys, uppdatera incidenthanteringen till 4-timmarskravet och granska era ICT-leverantörsavtal. Parallellkör NIS2-registrering i MCF-portalen. Finansbolag som redan har ISO 27001 har ett försprång, men betydande insatser krävs oavsett utgångspunkt.

Komplett guide till NIS2-direktivet