För vilka gäller DORA?

Sedan januari 2025 står den finansiella sektorn under nya krav. DORA, förordningen om digital operativ motståndskraft, gäller för nästan alla under Finansinspektionens tillsyn. Detta innebär att många fler organisationer än tidigare tänkt är berörda.

Det gäller allt från traditionella banker och försäkringsbolag till värdepappersföretag och revisorer. Även moderna tjänsteleverantörer och tredjepartsleverantörer av kritiska IKT-tjänster, som molntjänster, är inkluderade. Detta kräver att hela den finansiella ekonomin samordnar sina insatser.

Regeln följer en princip där kraven anpassas efter verksamhetens storlek och risk. Det gäller både stora och små företag. Det viktigaste först är att se om din organisation omfattas av regeln. Vi hjälper till med att göra denna bedömning genom exempel från den svenska marknaden.

Viktiga punkter att komma ihåg

• Regleringen omfattar i princip alla företag under Finansinspektionens tillsyn sedan januari 2025
• Banker, försäkringsbolag, värdepappersföretag och revisorer berörs direkt av regelverket
• Tredjepartsleverantörer av kritiska IKT-tjänster inkluderas nu i tillämpningsområdet
• Proportionalitetsprincipen anpassar kraven efter verksamhetens storlek och risknivå
• Förordningen började gälla januari 2023 med full efterlevnad krävd från 2025
• Bedömning av din verksamhets beröring är första steget mot efterlevnad

Vad är DORA?

Idag är digitala risker lika viktiga som traditionella risker för finanssektorn. Digitaliseringen har skapat nya sårbarheter. DORA är EU:s svar med ett enhetligt regelverk för digital operativ motståndskraft i alla medlemsstater.

Förordningen gör det tryggare och stabiltare för finanssystemet. Företag ska inte bara hantera finansiella risker. De måste också säkerställa att deras digitala infrastruktur kan motstå och återhämta sig från störningar.

Bakgrund och syfte

Det har alltid behövts digitala regler i finanssektorn. Men tidigare var det svårt med olika krav i olika länder. Det ledde till ojämna spelplaner och olika skyddsnivåer för konsumenter.

Cyberhot och IT-risker har ökat mycket. Finansiella institutioner är ofta mål för attacker. DORA-förordningen tar ett proaktivt grepp på dessa risker.

DORA har många syften. Här är några viktiga:

• Harmonisering av krav för digital operativ motståndskraft över alla EU-medlemsstater
• Förstärkning av företagens förmåga att förebygga, upptäcka och hantera IT-relaterade incidenter
• Standardisering av testning och översyn av digitala system och kontroller
• Reglering av externa IT-tjänsteleverantörer som spelar kritiska roller i finansiella företags verksamhet
• Säkerställande av snabb informationsdelning om cyberhot mellan företag och myndigheter

Det är viktigt att se digitala och operativa risker som lika viktiga som finansiella. I dagens värld är nästan allt digitalt. DORA hjälper företag att förstå detta och anpassa sig.

Definition av DORA

Digital Operational Resilience Act, eller DORA, är en EU-förordning. Den skapar ett ramverk för hantering av IKT-risker inom finanssektorn. Det finns fem huvudpelare för att stärka digital motståndskraft.

Den första pelaren handlar om IKT-riskhantering. Företag måste ha styrnings- och kontrollramverk för att hantera digitala risker. Detta inkluderar tekniska och organisatoriska aspekter. DORA kräver en nära samverkan mellan IT-säkerhet och företagsstyrning.

För det andra kräver DORA att företag kan hantera och rapportera IKT-relaterade incidenter. Detta gör att tillsynsmyndigheter kan få en komplett bild av riskerna i finanssektorn.

Den tredje pelaren fokuserar på digital operativ motståndskraftstestning. Detta inkluderar avancerad testning för att simulera verkliga hot. Syftet är att se till att företagens återhämtningsförmåga fungerar i praktiken.

Vidare kräver DORA tydliga krav på hantering av tredjepartsrisker relaterade till IKT-tjänsteleverantörer. Detta erkänner den moderna verkligheten där många kritiska funktioner outsourcas. DORA skapar tydliga ansvarsgränser och kontrollmekanismer för dessa relationer.

Slutligen etablerar DORA ramverk för informationsdelning om cyberhot och sårbarheter mellan företag. Detta stärker hela sektorns motståndskraft genom snabbare identifiering och respons på hot. DORA skapar en heltäckande strategi för att hantera digitala risker.

DORAs tillämpningsområde

DORA sträcker sig långt bortom traditionella finansiella institutioner. Det omfattar även teknologileverantörer som är viktiga för den moderna finansiella världen. Förordningen innebär en stor förändring i hur digital säkerhet regleras inom finanssektorn.

För att förstå vilka företag som omfattas av DORA är avgörande. Det hjälper organisationer att planera och genomföra nödvändiga förändringar i tid.

DORA regelverket täcker hela det finansiella ekosystemet. Det inkluderar både de som direkt hanterar konsumenters tillgångar och de bakomliggande teknikleverantörer som möjliggör detta. Detta visar att finansiella tjänster idag är beroende av komplex teknologi.

Vilka typer av företag påverkas?

Det är viktigt för organisationer att veta om de omfattas av DORA. DORA gäller både traditionella finansiella aktörer och moderna fintech-företag. Det inkluderar banker och sparbanker som är kärnan i det finansiella systemet.

Försäkringsbolag och försäkringsmellanhänder omfattas också. De hanterar stora mängder personuppgifter och finansiella åtaganden. Värdepappersföretag, från stora investmentbanker till mindre mäklare, måste också följa DORAs krav.

En viktig del är att vilka företag omfattas av DORA inkluderar även nyare finansiella aktörer. Det inkluderar leverantörer av kryptotillgångar som blivit allt viktigare. De måste uppfylla samma säkerhetskrav som traditionella finansiella institutioner.

Revisorer och revisionsbyråer som granskar dessa företag omfattas också. Deras roll är viktig för att hålla det finansiella ekosystemet på spåret. Datarapporteringstjänster måste också följa DORAs krav.

Den största förändringen är att tredjepartsleverantörer av kritiska IKT-tjänster nu omfattas av direkt tillsyn. Detta inkluderar molntjänster, IT-säkerhetsföretag, mjukvaruutvecklare och datacenterleverantörer. Detta är ett stort steg mot att följa de verkliga riskerna i värdekedjan.

Företagskategori	Exempel på verksamhet	Huvudsaklig risk	Omfattning enligt DORA
Kreditinstitut	Banker, sparbanker, kreditbolag	Transaktionsavbrott, dataförlust	Fullständig tillämpning av alla pelare
Försäkringsbolag	Liv-, skade- och återförsäkring	Avbrottsrisk i skadehantering	Fullständig tillämpning med sektorspecifika krav
Värdepappersföretag	Mäklare, investmentbanker, fondbolag	Handelsavbrott, marknadsintegritet	Omfattande krav på kontinuitet och testning
Kryptotillgångsleverantörer	Kryptobörser, wallet-leverantörer	Säkerhetsbrott, tillgångsförlust	Strikta säkerhetskrav och incidentrapportering
Kritiska IKT-leverantörer	Molntjänster, datacenter, betalningsinfrastruktur	Systemfel med omfattande påverkan	Direkt tillsyn av ESA, särskilda krav

Vad omfattar DORA?

DORA bygger på fem huvudpelare för digital operativ motståndskraft. Detta ger organisationer en vägledning för att följa reglerna. Den första pelaren handlar om IKT-riskhantering.

Företag måste ha robusta ramverk för att hantera IKT-relaterade risker. Detta innebär att de måste dokumentera sina IKT-system och bedöma sårbarheter kontinuerligt. De måste också vidta åtgärder för att minska risker.

Den andra pelaren fokuserar på incidentrapportering. DORA kräver att företag rapporterar allvarliga IKT-relaterade incidenter. Rapporteringskraven varierar beroende på incidentens allvar.

För att rapportera incidenter måste företag ha tydliga processer. De ska rapportera incidenten omedelbart och sedan uppdatera regelbundet. Detta hjälper tillsynsmyndigheter att övervaka risker i realtid.

Den tredje pelaren handlar om testning av digital operativ motståndskraft. Finansiella institutioner måste regelbundet testa sina IKT-system. Detta inkluderar allt från sårbarhetsanalyser till avancerade penetrationstester.

För de mest kritiska företagen krävs Threat-Led Penetration Testing (TLPT). Detta är simuleringar av cyberattacker. Resultaten rapporteras till tillsynsmyndigheter och åtgärdas systematiskt.

Den fjärde pelaren handlar om hantering av IKT-relaterade tredjepartsrisker. Många företag är beroende av externa leverantörer för kritiska IKT-tjänster. DORA kräver att företag upprätthåller en fullständig förteckning över dessa leverantörer.

För avtal med kritiska leverantörer ställs särskilda krav. Avtalen måste innehålla detaljer om säkerhetskrav och granskningsrättigheter. Företag ansvarar för sina IKT-tjänster även när de outsourcas.

Den femte och sista pelaren handlar om informationsdelning om cyberhot och sårbarheter. DORA uppmuntrar till att dela information om cyberrisker. Detta skapar ett kollektivt försvar där alla kan dra nytta av varandras erfarenheter.

Informationsdelningen ska ske genom etablerade kanaler. Målet är att skapa en mer robust finansiell sektor. Detta är viktigt för att möta moderna cyberrisker.

Sammantaget kräver DORA att företag tar ett helhetsgrepp om sin digitala säkerhet. Det erkänner att finansiell stabilitet i den digitala eran kräver både enskilda institutioners och hela ekosystemets säkerhet. Detta innebär högre krav på företag att hantera risker inom IKT på ett strukturerat sätt.

DORA och finansiella institutioner

Finansiella institutioner är viktiga för det europeiska finansiella systemet. DORA ställer därför höga krav på dem när det gäller IKT-säkerhet. Banker och försäkringsbolag måste anpassa sig för de nya digitala utmaningarna.

De hanterar kritisk information och gör transaktioner som påverkar många människors ekonomi. DORA kräver att de hanterar IKT-risker och rapporterar incidenter. De måste också testa sin digitala motståndskraft och hantera risker från tredje part.

Företagen måste regelbundet se över sina riskstrategier. Det kräver en stark digital infrastruktur med ständig övervakning. Detta gäller hela organisationen.

Omfattande skyldigheter för banker

Banker står inför stora utmaningar med sina digitala tjänster. De måste ha starka ramverk för IKT-riskhantering. Det övergripande ansvaret ligger på den högsta ledningsnivån.

Banker måste ha flera viktiga processer. Det inkluderar kontinuerlig övervakning och tydliga incidenthanteringsprocesser. De måste också göra regelbundna stresstester och scenarioanalyser.

De måste dokumentera och rapportera alla IKT-relaterade incidenter. Dessa krav är viktiga för deras affärsstrategi och riskhantering. Digitalisering är en strategisk fråga som kräver ständig uppmärksamhet.

Försäkringsbolagens unika ansvar

Försäkringssektorn möter unika utmaningar under DORA. De använder digitala system för kritiska kundprocesser. Skadehantering och riskbedömning är beroende av fungerande digitala lösningar.

Kontinuiteten i kundservice är central. Det kräver särskild planering och beredskap. Försäkringsbolag måste ägna särskild uppmärksamhet åt datasäkerhet.

De hanterar känslig information och hälsodata. Säkerhetsåtgärder måste vara mångfacetterade. En holistisk approach till digital riskhantering är nödvändig.

Den högsta ledningen i finansiella institutioner bär det yttersta ansvaret. Det kräver aktiv styrning och kontinuerlig uppföljning.

Arbetet med digital motståndskraft kräver engagemang från alla. Styrelsen och ledningsgruppen måste vara delaktiga. Det kräver kompetenshöjning på ledningsnivå.

Genomförandet av dessa skyldigheter kräver stora resurser. Men det stärker konkurrenskraften och kundförtroendet på lång sikt.

DORA:s krav på rapportering

Rapporteringsskyldigheten enligt DORA kräver en bra infrastruktur. Företag måste kunna identifiera, klassificera och rapportera IKT-relaterade händelser. DORA krav på företag är viktigt för att företag ska kunna hantera dessa händelser.

Detta kräver att företag har strukturerade processer för övervakning och dokumentation. Syftet är att skapa transparens och hjälpa tillsynsmyndigheter att förstå cybersäkerhetsläget inom den finansiella sektorn.

Genom enhetliga rapporteringsstandarder kan europeiska tillsynsmyndigheter identifiera och hantera större hot. Detta kräver investeringar i teknologi och processer. Men fördelarna överväger kostnaderna på lång sikt.

Vilka incidenter måste rapporteras enligt DORA?

Företag måste logga och klassificera alla IKT-relaterade incidenter. Men bara större säkerhetsincidenter ska rapporteras till ESA. Vad som är en större incident bestäms av flera faktorer.

Det inkluderar påverkan på affärskontinuitet och antal berörda kunder. Också omfattning av dataförlust och risk för det finansiella systemet spelar roll. Gränsdragningen kan vara komplex och kräver tydliga kriterier.

Rapporteringspliktiga händelser inkluderar cyberangrepp och dataintrång. Dataintrång som exponerar känslig information kräver omedelbar rapportering. Detta gäller både DORA och GDPR.

Systemavbrott som påverkar kritiska tjänster och tredjepartsleverantörsproblem måste också rapporteras. Detta är en viktig del av DORA krav på företag.

För att underlätta bedömning av allvarlighetsgrad har vi sammanställt en lista över incidenttyper och deras rapporteringskrav:

Incidenttyp	Allvarlighetsgrad	Rapporteringskrav	Tidsfrist initial notifiering
Cyberangrepp med dataintrång	Kritisk	Obligatorisk rapportering till ESA	Inom 4 timmar
Systemavbrott över 2 timmar	Hög	Obligatorisk rapportering till ESA	Inom 4 timmar
Mindre dataläckage utan kundpåverkan	Medel	Intern loggning, ingen extern rapportering	Ej tillämpligt
Tredjepartsleverantörsincident med affärspåverkan	Hög	Obligatorisk rapportering till ESA	Inom 24 timmar
Mindre tekniska störningar	Låg	Intern loggning, ingen extern rapportering	Ej tillämpligt

Rapportering av IKT-relaterade incidenter är viktig för att stärka den finansiella sektorns motståndskraft mot cyberhot.

Process och tidsramar för incidentrapportering

Vi hjälper företag genom processen och tidsramarna för DORA krav på företag. Rapporteringen består av flera faser med specifika deadlines. Den första fasen är den initiala notifieringen som måste ske inom fyra timmar.

Efter den initiala notifieringen följer mellanliggande rapporter. Dessa rapporter ger uppdaterad information om incidentens utveckling. De levereras inom 24-72 timmar beroende på komplexitet.

Den slutliga analysrapporten är den tredje fasen. Den ska innehålla en omfattande genomgång av incidenten. Detta inkluderar analys av orsaken, påverkan på verksamheten och åtgärder som tagits.

Finansinspektionen ger vägledning för svenska företag. Vi rekommenderar att företag etablerar interna processer för att möta rapporteringsdeadlines. Detta kräver tydliga roller och tekniska system för automatisering.

Dokumentation av incidenter måste vara noggrann. Varje incident ska loggas med detaljer om tidpunkt och påverkade system. Företag som använder centraliserade system har lättare att uppfylla rapporteringskraven.

Företag måste också rapportera sitt informationsregister till Finansinspektionen. Detta ger en översikt över IKT-miljön och tredjepartsberoenden. Vi hjälper företag att strukturera denna information på ett sätt som uppfyller kraven och ger värdefulla insikter.

ESA har utvecklat tekniska standarder för rapportering. Detta säkerställer att svensk praktik följer EU-krav. Vi rekommenderar att företag bekantar sig med dessa standarder tidigt.

DORA och tekniska tjänsteleverantörer

Tekniska tjänsteleverantörer är viktiga för finansiella företags digitala infrastruktur. DORA ställer krav på dessa leverantörer. Finansiella företag litar allt mer på externa partners för viktiga funktioner.

DORA är ett steg framåt. Det inkluderar tredjepartsleverantörer DORA i regler. Det visar att finansiella institutioner använder externa tekniker för sin verksamhet. Det påverkar hela finansvärlden.

Klassificering av kritiska teknikleverantörer

Vi måste veta vem som är kritisk enligt DORA. Regelverket har flera kriterier för detta. Det tar hänsyn till leverantörens roll i finansvärlden.

En leverantör anses kritisk om:

• Tjänstens betydelse för företagets kärnverksamhet
• Svårighetsgraden att ersätta leverantören
• Omfattningen av tjänster till flera finansiella aktörer
• Systemrisk vid avbrott i tjänster
• Sammankoppling med finansiella institutioners kärnprocesser

Tekniska tjänsteleverantörer inkluderar många typer av företag. Molntjänster och datacenteroperatörer är i fokus. Säkerhetstjänster och dataanalyslösningar räknas också som kritiska.

Företag som driver betalningsinfrastruktur och transaktionshantering är också inkluderade. Även dataanalyslösningar och affärskritiska applikationer anses kritiska.

Skyldigheter för tekniska tjänsteleverantörer

Kritiska leverantörer får nya skyldigheter. De måste registrera sig hos ESA. Det skapar transparens och möjliggör övervakning.

De genomgår regelbunden tillsyn. De måste uppfylla säkerhets- och tillförlitlighetsstandarder. Det säkerställer kvaliteten på kritiska IKT-tjänster.

Kraven inkluderar följande:

1. Implementera säkerhetsåtgärder och övervaka system
2. Rapportera viktiga incidenter till kunder och tillsynsmyndigheter
3. Ge fullständig dokumentation om kunddata
4. Möjliggöra tillsynsmyndigheternas granskningar
5. Upprätthålla strategier för smidig övergång vid leverantörsbyte

Det nya samarbetet mellan företag och leverantörer förändrar allt. Finansiella företag får stöd för att ställa krav. De kan dra nytta av tillsynsmyndigheternas granskningar.

Det är viktigt att finansiella företag tar ansvar för sin digitala säkerhet. Det gäller även när de outsourcar tjänster. Att förstå DORA innebär att ha robusta processer för leverantörshantering.

Företag måste göra noggrann due diligence innan de väljer en leverantör. De måste övervaka leverantörens prestanda. Förmågan att snabbt byta leverantör är viktig.

Genom att inkludera tredjepartsleverantörer DORA i tillsynsramverket blir finansiella ekosystem säkrare. Det skyddar både företag och kunder mot risker i den digitala världen.

DORA och riskhantering

För att uppnå den digitala operativa motståndskraft som DORA kräver måste finansiella företag etablera robusta ramverk för IKT-riskhantering. Detta ramverk utgör kärnan i förordningen och fungerar som grunden för hur organisationer skyddar sina digitala tillgångar och processer. Riskhanteringen enligt DORA är inte en isolerad IT-funktion, utan kräver tvärfunktionellt samarbete mellan IT, risk, compliance, affärsenheter och ledning för att säkerställa en helhetssyn på organisationens digitala motståndskraft.

DORA-förordningen betonar att IT-säkerhet måste integreras med affärskontinuitetsplanering och den övergripande riskhanteringsstrategin. Detta innebär att företag inte kan behandla digitala risker som en separat fråga utan måste erkänna deras påverkan på hela verksamheten. Genom att skapa denna integration säkerställer organisationer att de kan hantera både förväntade och oväntade digitala hot på ett effektivt sätt.

Riskhanteringsstrategier enligt DORA

En effektiv IKT-riskhanteringsstrategi enligt DORA bygger på flera sammanlänkta komponenter som tillsammans skapar en heltäckande skyddsmekanism. Vi rekommenderar att organisationer börjar med att etablera en systematisk process för regelbunden riskidentifiering och riskbedömning, där både interna sårbarheter och externa hot analyseras kontinuerligt. Detta kräver att företag ser till att strategier och policys för riskbedömning utvärderas och uppdateras regelbundet för att möta nya utmaningar i den digitala miljön.

Efter identifieringen av risker måste organisationer implementera lämpliga skyddsåtgärder och säkerhetskontroller baserade på de identifierade riskerna. Detta inkluderar tekniska lösningar såsom brandväggar, kryptering och åtkomstkontroller, men också organisatoriska åtgärder som policys, utbildning och ansvarsfördelning. DORA kräver att företag säkerställer en robust digital infrastruktur med kontinuerlig övervakning för att snabbt kunna upptäcka avvikelser och åtgärda potentiella sårbarheter innan de utnyttjas.

En viktig aspekt av IT-säkerhet DORA är etablering av robusta processer för incident respons och återhämtning. Vi betonar att företag måste ha tydliga rutiner för hur de ska reagera när en säkerhetsincident inträffar, inklusive eskaleringsvägar, kommunikationsplaner och återställningsprocesser. Dessa processer måste testas regelbundet genom simuleringar och övningar för att säkerställa att de fungerar under verkliga förhållanden.

Dokumentation utgör en grundläggande del av DORA:s krav på riskhantering. Alla riskhanteringsprocesser och beslut måste dokumenteras för att möjliggöra tillsynsgranskning och kontinuerlig förbättring. Detta skapar också en kunskapsbas som hjälper organisationen att lära av tidigare erfarenheter och utveckla sina skyddsmekanismer över tid.

Företag måste regelbundet testa den digitala motståndskraften i verksamhetens IKT-system, inklusive tjänster från tredjepartsleverantörer, för att kunna identifiera och åtgärda eventuella säkerhetsbrister. Vi ser att dessa tester inte bara fokuserar på tekniska aspekter utan också utvärderar organisatoriska och processrelaterade faktorer som påverkar den digitala motståndskraften.

Vilka risker omfattas av DORA?

DORA adresserar ett brett spektrum av IKT-risker som finansiella företag måste hantera proaktivt. Den första och mest uppenbara kategorin är cybersäkerhetsrisker, som inkluderar hot som ransomware, phishing, DDoS-attacker och avancerade persistenta hot. Dessa externa attacker kan leda till dataläckage, systemavbrott och ekonomiska förluster som påverkar både organisationen och dess kunder.

Operativa IT-risker utgör en annan viktig kategori som omfattas av förordningen. Dessa inkluderar systemfel, mjukvarubugs, konfigurationsfel och mänskliga misstag som kan leda till driftstopp eller felaktig bearbetning av kritisk information. Vi observerar att många av dessa risker uppstår internt och kräver starka kontrollmekanismer och kvalitetssäkringsprocesser för att förebyggas.

Risker relaterade till tredjepartsberoenden har fått särskild uppmärksamhet i DORA eftersom finansiella företag i allt högre grad förlitar sig på externa tjänsteleverantörer. Om en kritisk leverantör drabbas av en incident kan detta få omfattande konsekvenser för alla organisationer som använder deras tjänster. Förordningen kräver därför att företag noggrant utvärderar och övervakar sina leverantörsrelationer som en del av sin riskhantering.

Riskkategori	Exempel på hot	Potentiell påverkan	Skyddsåtgärder enligt DORA
Cybersäkerhetsrisker	Ransomware, phishing, DDoS-attacker, dataintrång	Dataläckage, systemavbrott, ekonomiska förluster, reputationsskador	Brandväggar, kryptering, säkerhetsövervakning, utbildning
Operativa IT-risker	Systemfel, mjukvarubugs, konfigurationsfel, mänskliga misstag	Driftstopp, felaktig databearbetning, förlorad produktivitet	Testning, kvalitetssäkring, ändringshantering, dokumentation
Tredjepartsrisker	Leverantörsstörningar, bristande säkerhet hos underleverantörer, kontraktsbrott	Avbrott i kritiska tjänster, sekundära säkerhetsincidenter	Due diligence, kontraktuella skydd, kontinuerlig övervakning
Teknologiska risker	Föråldrad teknologi, otillräcklig kapacitet, kompatibilitetsproblem	Minskad prestanda, ökad sårbarhet, konkurrenskraftsförlust	Teknologiöversyn, kapacitetsplanering, modernisering

Dataintegritet och tillgänglighet representerar grundläggande risker som DORA adresserar genom krav på säkerhetskopiering, redundans och återställningsmöjligheter. Företag måste kunna säkerställa att kritisk data förblir korrekt, komplett och tillgänglig även under störningar. Detta kräver investeringar i både teknisk infrastruktur och processer för datahantering.

Föråldrad teknologi och otillräcklig kapacitet för att hantera belastningstoppar utgör också risker som omfattas av förordningen. Vi ser att många finansiella företag kämpar med legacy-system som både är svåra att underhålla och mer sårbara för moderna hot. DORA driver därför på för modernisering och säkerställande av att IKT-system har tillräcklig kapacitet för att hantera både normal drift och extraordinära situationer.

Konkreta exempel från den finansiella sektorn illustrerar hur dessa risker kan materialiseras och vilken påverkan de kan ha på verksamheten. En stor bank kan till exempel drabbas av en DDoS-attack som gör deras internetbank otillgänglig för kunder, vilket leder till förlorade intäkter, missnöjda kunder och potentiella regulatoriska påföljder. Ett försäkringsbolag kan uppleva ett systemfel som förhindrar korrekt behandling av skadeanmälningar, vilket skapar operativa problem och kundklagomål.

Vi betonar att proaktiv riskhantering enligt DORA är betydligt mer kostnadseffektiv än reaktiv problemlösning. Genom att identifiera och åtgärda sårbarheter innan de utnyttjas kan organisationer undvika de omfattande kostnaderna och störningarna som följer av säkerhetsincidenter. Detta kräver dock ett långsiktigt engagemang och kontinuerliga investeringar i både teknologi och kompetens för att upprätthålla en stark digital motståndskraft över tid.

DORA:s tillämpning för små och medelstora företag

Vi vet att många små företag undrar om DORA:s krav är för dem. Det är viktigt att förstå att DORA anpassar sina krav efter företagets storlek och risknivå. Detta gör att även mindre företag kan följa reglerna utan att det blir för tungt.

DORA följer en princip där varje företag behandlas enligt sina unika förutsättningar. DORA regelverket tillämpningsområde inkluderar alla finansiella företag. Men hur man implementerar dessa regler varierar beroende på företagets specifika situation.

Praktiska konsekvenser för mindre finansiella aktörer

Små företag kan känna att DORA:s krav är övermäktiga. Det är sant att de står inför utmaningar när de ska implementera säkerhetsprogram med begränsade resurser.

De största utmaningarna för mindre företag inkluderar begränsade budgetar för IT-säkerhet. Dessutom saknar många företag specialistkunskap inom cybersäkerhet. Detta kräver kreativa lösningar.

Även om IT-systemen är mindre komplexa, måste de skyddas väl. Företagen måste balansera kostnader för att följa regler med att utveckla sin verksamhet. Detta kräver strategisk planering.

Vi rekommenderar flera strategier för att små företag kan följa DORA på ett kostnadseffektivt sätt:

• Prioritera kritiska system: Fokusera på de mest viktiga systemen för att maximera säkerheten
• Molnbaserade lösningar: Använd molnbaserade säkerhetslösningar för lägre kostnader och mindre krav på expertis
• Branschsamarbete: Samarbeta med andra för att dela kunskap och resurser inom cybersäkerhet
• Strategisk outsourcing: Överväg att outsourca vissa funktioner till specialiserade tjänsteleverantörer

Dessa strategier hjälper till att bygga upp cybersäkerhetsmognaden stegvis. Det gör att små och medelstora företag kan hantera DORA utan att överbelasta sig.

Flexibilitet genom proportionalitetsprincipen

Proportionalitetsprincipen är viktig för att förstå vilka företag omfattas av DORA. Det betyder att kraven anpassas efter företagets specifika situation. Detta gör att implementeringen blir rimlig och anpassad.

Tillsynsmyndigheter tittar på flera saker när de bedömer hur DORA ska tillämpas. De ser på företagets storlek, komplexitet och digitala tjänster. Detta hjälper till att bestämma hur strikta kraven ska vara.

Företagsstorlek	Implementeringskrav	Dokumentationsnivå	Rapporteringsfrekvens
Mikroföretag	Grundläggande säkerhetskontroller och riskbedömning	Förenklad dokumentation av kritiska processer	Årlig rapportering vid väsentliga incidenter
Små företag	Strukturerad riskhantering med dokumenterade processer	Standard dokumentation av säkerhetsåtgärder	Halvårsrapportering plus incidentrapportering
Medelstora företag	Omfattande cybersäkerhetsprogram med regelbunden testning	Detaljerad dokumentation av alla säkerhetsdomäner	Kvartalsrapportering plus omedelbar incidentrapportering
Stora institutioner	Avancerade säkerhetsprogram med kontinuerlig övervakning	Fullständig dokumentation inklusive tredjepartsgranskningar	Månadsrapportering plus realtidsincidentrapportering

Företagets risknivå är också viktig. En organisation som hanterar känslig kunddata eller kritiska betalningsflöden kan ha högre krav. Detta beror på deras exponering.

Proportionalitetsprincipen ger flexibilitet, men inte undantag från DORA för små företag. Det betyder att implementeringen ska vara rimlig och proportionerlig.

Mindre företag måste visa att de hanterar IKT-risker på ett systematiskt sätt. Detta kan innebära mindre dokumentation och processer än för stora företag. Men grundläggande element som riskidentifiering och säkerhetskontroller måste finnas på plats.

Resurser och tillgång till expertis påverkar hur snabbt företag kan implementera DORA. Tillsynsmyndigheter förstår att mindre företag kan behöva mer tid och stöd för att bygga upp nödvändig kompetens.

Sammanhang mellan DORA och andra regleringar

Det finns många regler för finanssektorn. DORA är en del av dessa regler. Företag måste förstå hur dessa regler samverkar.

Detta hjälper företag att följa reglerna bättre. Det minskar också riskerna för brister.

DORA kompletterar existerande regler. Detta gör att företag kan navigera det komplexa regelverket bättre. En strategisk förståelse är viktig för att följa reglerna.

Genom att identifiera kopplingar till andra regler, säkerställer vi att DORA integreras i det övergripande ramverket. Detta inkluderar viktiga samband med NIS2-direktivet för nätverks- och informationssäkerhet. Det bidrar till en enhetlig tillsynsmetod för alla relevanta sektorer i hela EU.

Målet är att uppnå både konvergens och harmonisering av tidigare praxis vad gäller cybersäkerhet. Det skapar tydligare riktlinjer för finansiella företag.

Vi hjälper företag att utveckla integrerade efterlevnadsstrategier. Detta behandlar alla tillämpliga regelverk på ett koordinerat sätt. Det är avgörande för att maximera synergier mellan olika regelverks krav.

Hur DORA kompletterar dataskyddsregelverket

Relationen mellan DORA och GDPR är intressant. Båda delar grundläggande principer om dataskydd och säkerhet. Men de fokuserar på olika områden.

GDPR fokuserar på personuppgifters integritet och individens rätt till skydd. DORA fokuserar på den operativa motståndskraften i de system som behandlar dessa uppgifter. Tillsammans skapar de ett robust ramverk för både dataskydd och systemtillgänglighet.

Det finns flera viktiga överlappningsområden mellan regelverken. Finansiella företag måste beakta dessa. Båda ställer krav på säkerhetsåtgärder för att skydda personuppgifter.

Vi betonar att dessa gemensamma krav skapar möjligheter för synergier i implementeringsarbetet. Detta gör det lättare att följa reglerna.

GDPR gäller alla organisationer som behandlar personuppgifter inom EU. DORA riktar sig till finansiella företag och deras tjänsteleverantörer. Det innebär att finansiella företag måste uppfylla båda regelverkens krav.

Men de kan dra nytta av att många processer och tekniska lösningar kan utformas för att möta båda regelverkens förväntningar. Vi rekommenderar att företag utvecklar integrerade processer för riskbedömning, säkerhetsövervakning och incidenthantering.

Genom att behandla GDPR och DORA som kompletterande delar av en helhetslösning kan företag skapa mer robusta och kostnadseffektiva efterlevnadsstrategier. Företag som redan har investerat i starka GDPR-program kan bygga vidare på denna grund när de implementerar DORAs krav.

DORAs förhållande till värdepappersregleringen

Relationen mellan DORA och MiFID II är viktig. MiFID II innehåller redan vissa krav på operativ motståndskraft och IT-system för värdepappersföretag. Men DORA förstärker dessa krav genom ett mer detaljerat ramverk.

DORA kompletterar MiFID II:s krav på handelssystem, transaktionsrapportering och kundskydd. Det tillförs specifika och mätbara standarder för digital operativ motståndskraft. Företag som redan har implementerat robusta system för att uppfylla MiFID II:s omfattande krav kan bygga vidare på detta arbete när de implementerar DORA.

Regelverk	Primärt fokusområde	Tillämpningsområde	Koppling till DORA
GDPR	Dataskydd och integritet	Alla organisationer som behandlar personuppgifter i EU	Överlappande krav på säkerhet, dokumentation och incidentrapportering
MiFID II	Investerarskydd och marknadstransparens	Värdepappersföretag och handelsplatser	Förstärker operativa krav för handelssystem och IT-infrastruktur
NIS2	Nätverks- och informationssäkerhet	Kritisk infrastruktur inklusive finanssektorn	Harmoniserad cybersäkerhetsapproach över sektorer
PSD2	Betaltjänster och öppen bankverksamhet	Betaltjänstleverantörer	Kompletterande säkerhetskrav för betalningssystem

Vi betonar också vikten av att förstå hur DORA samverkar med andra relevanta regelverk. Sammantaget skapar dessa digitala regelverk finanssektorn ett omfattande men sammanhängande ramverk. Genom att utveckla en holistisk compliance-strategi kan företag inte bara uppfylla regulatoriska krav. De kan också skapa verkliga affärsfördelar genom förbättrad operativ effektivitet och minskad risk.

DORAs övervakning

DORAs tillsynsramverk är en viktig förändring för övervakning av finansiella företags digitala motståndskraft. Det skapar en ny struktur för tillsyn över hela EU. Det innebär att både finansiella institutioner och deras viktigaste IKT-partners kommer att övervakas noggrant.

För att förstå DORA krav på företag och hur de efterlevs, måste vi känna till den nya struktur som förordningen skapar. Den kombinerar nationell expertis med europeisk samordning. Detta gör tillsynsarbetet både effektivt och enhetligt.

Tillsynsmyndigheternas struktur och ansvar

Den nya tillsynsstruktur som DORA etablerar bygger på två nivåer. Detta säkerställer omfattande övervakning av alla relevanta aktörer. Tvånivåmodellen är grunden för DORAs verkställighetsramverk, där varje nivå har tydliga ansvarsområden och befogenheter.

På nationell nivå ansvarar Finansinspektionen för tillsyn av finansiella företag i Sverige. Banker, försäkringsbolag och andra reglerade enheter står under Finansinspektionens övervakning. De måste implementera starka IKT-riskhanteringsramverk och rapportera incidenter korrekt.

På europeisk nivå har ESAs fått ett nytt mandat genom DORA. EBA, EIOPA och ESMA ansvarar för direkt övervakning av kritiska IKT-tjänster. Detta innebär att stora teknikleverantörer nu står under direkt europeisk tillsyn.

Med en enhetlig tillsynsmetod för alla relevanta sektorer i hela EU säkerställs både konvergens och harmonisering.

Denna flernivåstruktur säkerställer att vem måste följa DORA är tydligt definierat. Det finns också effektiva mekanismer för att övervaka och verkställa efterlevnad hos alla berörda parter. Genom att kombinera nationell närhet med europeisk samordning skapas en tillsynsapparat som kan hantera både lokala och gränsöverskridande utmaningar effektivt.

Tillsynsnivå	Ansvarig myndighet	Primärt tillsynsobjekt	Geografisk räckvidd
Nationell tillsyn	Finansinspektionen (Sverige)	Finansiella företag etablerade i Sverige	Nationell jurisdiktion
Europeisk tillsyn	ESAs (EBA, EIOPA, ESMA)	Kritiska tredjepartsleverantörer av IKT-tjänster	Hela EU/EES
Samordning	Joint Committee of ESAs	Harmonisering och metodutveckling	EU-omfattande standardisering

Övervakningsmetoder och verkställighetsmekanismer

Tillsynsmyndigheterna använder en mångfacetterad uppsättning metoder för att säkerställa att DORA krav på företag efterlevs. Denna metodpalett kombinerar både proaktiva granskningar och reaktiva åtgärder. Det skapar ett robust system för kontinuerlig övervakning av digital motståndskraft inom den finansiella sektorn.

Den första och mest grundläggande övervakningsmetoden är regelbunden rapportering från företagen själva. Finansiella institutioner måste rapportera om sina IKT-riskhanteringsramverk och väsentliga incidenter. Denna rapportering ger tillsynsmyndigheterna en löpande översikt över sektorns tillstånd.

Fysiska inspektioner utgör en annan central komponent i tillsynsarbetet. Finansinspektionen och andra nationella myndigheter genomför regelbundna on-site inspektioner. Dessa inspektioner ger djupare insikter än rapportering ensam kan erbjuda.

Tematiska granskningar används för att fokusera på specifika aspekter av digital motståndskraft. Exempelvis kan Finansinspektionen genomföra en tematisk granskning av hur väl banker hanterar risker relaterade till molntjänster. Denna metod möjliggör benchmarking och identifiering av både best practices och gemensamma svagheter inom sektorn.

När det gäller frågan om vem måste följa DORA och vad som händer vid bristande efterlevnad, finns det tydliga verkställighetsmekanismer tillgängliga. Dessa mekanismer är graderade och kan anpassas efter överträdelsens allvar och varaktighet.

• Informella diskussioner och vägledning används som första steg när mindre brister identifieras, där myndigheten arbetar tillsammans med företaget för att snabbt åtgärda problemet
• Formella åtgärdsplaner kräver att företaget dokumenterar hur specifika brister ska åtgärdas inom en viss tidsram, med regelbunden rapportering om framsteg till tillsynsmyndigheten
• Administrativa varningar och förelägganden utfärdas när allvarligare brister upptäcks eller när tidigare åtgärder inte gett tillräcklig effekt
• Ekonomiska sanktioner kan uppgå till upp till 1% av företagets globala omsättning för allvarliga eller upprepade överträdelser av DORA-kraven
• Begränsningar av verksamhet kan i extrema fall innebära att tillsynsmyndigheten förbjuder företaget att erbjuda vissa tjänster eller ingå nya avtal tills bristerna åtgärdats

För kritiska tredjepartsleverantörer som övervakas direkt av ESAs finns ytterligare verkställighetsmekanismer. ESAs kan utfärda rekommendationer som leverantörerna måste följa, begära omfattande dokumentation och genomföra inspektioner av leverantörens verksamhet i alla medlemsstater där de erbjuder tjänster till finansiella företag. Detta säkerställer att även globala teknikleverantörer som tidigare varit svåra att reglera nu omfattas av effektiv tillsyn.

Den samordning som sker mellan nationella myndigheter och ESAs är avgörande för att undvika både regulatorisk arbitrage och dubbelarbete. Genom Joint Committee of the ESAs utvecklas gemensamma tillsynsmetoder, utbildningsprogram för tillsynspersonal och verktyg för informationsutbyte. Detta säkerställer att DORA tillämpas konsekvent över hela EU. Det innebär att finansiella företag som verkar i flera medlemsstater kan förvänta sig en harmoniserad tillsynsmetod, vilket förenklar deras efterlevnadsarbete och skapar lika konkurrensvillkor.

Vi ser också att tillsynsmyndigheterna använder sig av avancerad dataanalys och benchmarking för att identifiera outliers och potentiella risker. Genom att jämföra hur olika företag presterar på olika aspekter av digital motståndskraft kan myndigheterna snabbt identifiera vilka organisationer som ligger efter eller vilka som implementerat särskilt effektiva lösningar. Denna information används både för att rikta tillsynsinsatser där de behövs mest och för att sprida kunskap om best practices genom hela sektorn.

Framtida utveckling av DORA

DORA är ett levande regelverk som kommer att förändras mycket. Detta beror på nya teknologier och hot. Digital operativ motståndskraft är nu en viktig del av finansiell stabilitet. Därför måste regelverket ständigt anpassas för att möta framtidens utmaningar.

För organisationer innebär detta att de måste tänka långsiktigt. De bör fokusera på flexibilitet snarare än strikta krav.

Digitala regelverk i finanssektorn är dynamiska. Förordningstexten är bara början. Tekniska standarder utvecklas och förfinas ständigt. Detta skapar både möjligheter och utmaningar för företag.

Ändringar och uppdateringar av DORA

DORA kompletteras av tekniska standarder som specificerar kraven. Dessa standarder utvecklas av europeiska tillsynsmyndigheter. Förordningen började gälla 2023, men den verkliga utvecklingen sker genom tekniska standarder.

ESAs arbetar med att ta in feedback från industrin i uppdateringarna. Detta innebär att organisationer måste kunna hantera regelverksändringar kontinuerligt.

Europeiska kommissionen kommer att göra regelbundna utvärderingar av DORAs effektivitet. Om stora luckor eller problem hittas kan kommissionen föreslå ändringar i förordningen.

Regelverkets framgång mäts inte bara i efterlevnad. Det handlar också om hur väl det stärker finanssektorns motståndskraft mot digitala hot.

Utvecklingen av regler som NIS2 och AI-förordningen kommer att påverka DORA. Vi rekommenderar att organisationer ser dessa regler som ett sammanhängande system. Detta gör det möjligt att ha mer effektiva och integrerade compliance-program.

Olika scenarier för DORAs framtid

Det finns flera möjliga vägar för DORA:s utveckling. Dessa scenarier hjälper organisationer att förbereda sig för olika framtider. De kan bygga anpassningsbara strategier som fungerar oavsett vilken riktning utvecklingen tar.

Scenario	Drivkrafter	Konsekvenser för organisationer	Sannolikhet
AI och maskininlärning i fokus	Ökad användning av AI i finansiella tjänster och nya AI-relaterade risker	Strängare krav på AI-governance, modellvalidering och algoritmisk transparens	Hög
Geopolitisk spänning och cyberkrigföring	Ökade statssponsrade cyberattacker och geopolitiska konflikter	Krav på geografisk datalagring, leverantörsdiversifiering och ökad suveränitet	Medel till hög
Incidentdriven strängare tillsyn	Stora cyberincidenter med systemiska konsekvenser	Hårdare straff, mer intrusiv tillsyn och snabbare krav på incidentrapportering	Medel
Mognad och förenkling	Praktiska erfarenheter visar vissa krav som oproportionerliga	Minskad administrativ börda för lågriskområden med bibehållna kärnkrav	Medel till låg

Det första scenariot, där artificiell intelligens och maskininlärning är centrala, ser ut att vara särskilt troligt. DORA kommer sannolikt att utveckla specifika krav för AI-governance och transparens. Detta kommer att anpassas till EU:s AI-förordning och skapa ett sammanhängande ramverk för AI i finanssektorn.

Det geopolitiska scenariot har blivit mer relevant tack vare ökade spänningar och cyberattacker. Vi ser redan tecken på att tillsynsmyndigheter fokuserar mer på koncentrationsrisker hos leverantörer från vissa geografiska regioner. Detta kan leda till krav på diversifierad infrastruktur och redundans över olika jurisdiktioner.

Oavsett vilken riktning DORA tar kommer grundprincipen om digital operativ motståndskraft att vara central. Vi rekommenderar att organisationer bygger flexibla compliance-program som kan anpassas till framtida ändringar. En proaktiv strategi där cybersäkerhet och operativ motståndskraft integreras i affärsstrategin kommer att vara mer hållbar än reaktiva åtgärder.

En trend vi ser är att finansiell reglering och cybersäkerhetsreglering blir mer sammanhängande. DORA är ett viktigt steg mot att behandla digitala operativa risker som grundläggande för finansiell stabilitet. Denna utveckling kommer sannolikt att fortsätta och fördjupas, vilket gör gränsen mellan IT-funktion och kärnverksamhet allt mer suddig.

Vanliga frågor om DORA

Finansiella institutioner och deras tekniska tjänsteleverantörer ställer många frågor om DORA. Vi har samlat de viktigaste frågorna som organisationer ställer när de börjar arbeta med DORA. Vi ger konkreta svar som hjälper företag att gå från osäkerhet till en klar plan.

Många undrar för vilka gäller DORA och hur man navigerar genom direktivets krav. Vi ger praktiska råd som kan användas direkt i er organisation.

Hur kan företag förbereda sig?

Att utveckla en DORA-efterlevnadsstrategi kräver en strukturerad plan. Starta med en grundlig självanalys. Gör en omfattande gap-analys för att jämföra er nuvarande status med DORAs krav.

Denna analys hjälper er att hitta brister och prioritera åtgärder. Det ger också underlag för att planera resurser och tid.

Etablera en tvärfunktionell projektgrupp med representanter från olika avdelningar. Gruppen bör ha:

• IT-avdelningen för teknisk implementering
• Riskavdelningen för IKT-risker
• Compliance och juridik för regelefterlevnad
• Affärsenheter för verksamhetsperspektiv
• Ledningsrepresentanter för strategiska beslut

För vilka företag omfattas av DORA är det viktigt att involvera styrelsen och ledningsgruppen tidigt. De måste förstå sitt ansvar och få regelbunden rapportering.

Uppdatera ert IKT-riskhanteringsramverk för att möta DORAs krav. Dokumentera processer tydligt och etablera roller och ansvar.

Uppdatera cybersäkerhetspolicys för att återspegla DORAs krav. Utbilda personal om deras roll i digital motståndskraft.

Genomför regelbundna övningar och tester för att testa motståndskraft. Säkerställ att system för övervakning och loggning uppfyller direktivets krav.

Se inte DORA som ett engångsprojekt, utan som en pågående process. Efterlevnad kräver regelbunden utvärdering och uppdatering.

Se över relationer med kritiska digitala tjänster. Justera kontrakt för att uppfylla DORAs krav på tredjepartshantering.

Vilka resurser finns tillgängliga?

Företag som undrar för vilka gäller DORA har många stöd- och vägledningsresurser. Vi har samlat de viktigaste resurserna för er.

Finansinspektionen publicerar vägledning, FAQ och rapporteringskrav för den svenska marknaden. Dessa resurser ger tolkningar av direktivet.

ESAs tillhandahåller tekniska standarder och vägledning för implementering. De ger detaljer om rapporteringsformat och riskhanteringsramverk.

Branschorganisationer och nätverk erbjuder erfarenhetsutbyte. Detta hjälper er att lösa vanliga utmaningar tillsammans.

Externa konsulter och specialiserade tjänsteleverantörer erbjuder expertis. De hjälper med allt från gap-analyser till incidenthantering.

Tekniska lösningar som stödjer DORA-efterlevnad inkluderar SIEM-system. De ger en holistisk syn på säkerheten.

SOC-tjänster ger kontinuerlig hotdetektering och incident respons. Det är bra för organisationer med begränsade resurser.

GRC-plattformar hjälper er att hantera efterlevnadsprocesser systematiskt. De centraliserar arbetet och skapar revision trails.

Molnbaserade säkerhetstjänster ger mindre organisationer tillgång till avancerat skydd. Det gör DORA-efterlevnad tillgänglig för vilka företag omfattas av DORA oavsett storlek.

Genom att använda dessa resurser kan ni bygga en kultur av operativ motståndskraft. Detta stärker er digitala säkerhet och konkurrensfördel.

Slutsats

Den digitala transformationen i finanssektorn kräver nya regler. DORA är ett nytt ramverk för att säkerställa stabilitet och säkerhet. Det gör digital motståndskraft lika viktigt som traditionell finansiell stabilitet.

DORAs strategiska betydelse för finanssektorn

Förordningen skapar en gemensam standard för hela EU:s finansiella ekosystem. Det betyder att alla måste följa DORA, inte bara några. Detta är en ny verklighet för alla inom finansbranschen.

De fem huvudpelarna i DORA bygger en stark digital infrastruktur. IKT-riskhantering, incidentrapportering, motståndskraftstestning, tredjepartsövervakning och informationsdelning skyddar mot digitala hot.

Organisationer som ser DORA som en investering, inte en kostnad, får fördelar. Starkare motståndskraft leder till bättre kundförtroende och en bättre marknadsposition.

Vägen framåt för finansiella organisationer

Vi rekommenderar en proaktiv strategi. Gå bortom minimikraven för verklig motståndskraft som skyddar er långsiktigt.

Se investeringar i digital säkerhet som affärskritiska. Bygg en kultur där alla förstår sin roll i operativ motståndskraft. Det skapar hållbar förändring.

Vi är redo att hjälpa er med DORA-efterlevnad. Från analys till kontinuerlig förbättring arbetar vi tillsammans. Vi säkerställer både regelefterlevnad och affärsnytta av era investeringar i digital motståndskraft.

FAQ

Vilka företag omfattas av DORA-förordningen?

DORA gäller för många finansiella företag i EU. Det inkluderar banker, försäkringsbolag och värdepappersföretag. Även betaltjänster, fondförvaltare och fintech-företag som erbjuder finansiella tjänster omfattas.

Det är viktigt att tredjepartsleverantörer av IKT-tjänster också följer DORA. Detta inkluderar molntjänstleverantörer och datacenteroperatörer som hjälper finanssektorn. Vi hjälper er att se om ni behöver följa DORA genom att analysera er verksamhet.

När träder DORA i kraft?

DORA började gälla den 16 januari 2023. Men det är inte förrän den 17 januari 2025 som företag måste börja följa den. Det ger företag tid att förbereda sig.

Det är viktigt att företag börjar arbeta med DORA snart. En stor förändring tar ofta längre tid än man tror.

Vad är skillnaden mellan DORA och GDPR?

GDPR fokuserar på skydd av personuppgifter. DORA fokuserar på digital säkerhet inom finanssektorn. Båda regler är viktiga, men de handlar om olika saker.

Vi hjälper er att skapa en plan som tar hänsyn till båda regler. Det gör att ni kan följa dem bättre.

Vilka är de fem huvudpelarna i DORA?

DORA har fem huvudpelare. De är IKT-riskhantering, incidentrapportering, testning av motståndskraft, hantering av tredjepartsrisker och informationsdelning om cyberhot.

Varje pelare hjälper till att stärka er digitala motståndskraft. Vi hjälper er att förstå och implementera dessa pelare.

Måste små finansiella företag följa DORA?

Ja, alla finansiella företag måste följa DORA. Men storleken på företaget spelar roll. Mindre företag behöver inte göra lika mycket som stora företag.

Vi hjälper små företag att hitta lösningar som är rimliga. Det hjälper er att följa DORA utan att det kostar för mycket.

Vad händer om ett företag inte följer DORA?

Om ni inte följer DORA kan det bli problem. Tillsynsmyndigheter kan ge straff som kan kosta mycket.

Straff kan även skada er rykte. Vi rekommenderar att ni följer DORA för att undvika dessa problem.

Hur påverkar DORA tredjepartsleverantörer av molntjänster?

DORA gör att tredjepartsleverantörer av IKT-tjänster får tillsyn. Det gäller stora molntjänstleverantörer och andra viktiga leverantörer till finanssektorn.

Detta skapar nya krav på er relation till leverantörer. Ni får stöd från myndigheter, men ni måste fortfarande ta ansvar för er egen säkerhet.

Vilka incidenter måste rapporteras enligt DORA?

Ni måste rapportera större IKT-relaterade incidenter. Detta inkluderar cyberangrepp och systemavbrott som påverkar er verksamhet.

Vi hjälper er att skapa system för att hantera och rapportera dessa incidenter. Detta gör er motståndskraft starkare.

Hur ska företag testa sin digitala motståndskraft enligt DORA?

Ni måste regelbundet testa er digitala motståndskraft. Detta kan innefatta penetrationstester och scenarioövningar.

Vi erbjuder tjänster för att hjälpa er med detta. Det hjälper er att se var ni kan förbättra er motståndskraft.

Vad är skillnaden mellan DORA och NIS2-direktivet?

DORA fokuserar på finanssektorn, medan NIS2 är bredare. NIS2 gäller fler sektorer och implementeras genom nationell lagstiftning.

För företag som omfattas av båda gäller DORAs krav. Men ni måste också följa NIS2 där det är relevant.

Hur kan vi på Capcito hjälpa er med DORA-efterlevnad?

Vi på Capcito erbjuder stöd genom hela er DORA-resa. Vi börjar med att se var ni behöver förbättra er digitala motståndskraft.

Vi hjälper er att skapa en plan för att följa DORA. Detta inkluderar att stärka er IKT-riskhantering och testa er motståndskraft. Vi erbjuder också säkra tekniska lösningar som stödjer er företag.