DORA ja ICT-palvelujen kolmannen osapuolen tarjoajat: mitä finanssiala tarvitsee toimittajiltaan

01Missä DORA on syksyllä 2026

Finanssialan digitaalista häiriönsietokykyä koskevaa asetusta (avautuu ulkoiselle sivustolle), asetusta (EU) 2022/2554, on sovellettu 17. tammikuuta 2025 alkaen. Asetuksena se on suoraan sovellettavaa oikeutta kaikissa jäsenvaltioissa; kansallisessa laissa lähinnä nimetään valvovat viranomaiset ja säädetään seuraamuksista. Yksityiskohdat ovat komission antamissa teknisissä standardeissa, jotka koskevat ICT-riskienhallinnan kehystä, poikkeamien luokittelua ja ilmoittamista, tietorekisteriä, sopimuskäytäntöjä, alihankintaa ja uhkaperusteista tunkeutumistestausta.

Finanssiyhteisöille DORA on alakohtainen säädös, joka korvaa NIS2:n säännöt ICT-riskien hallinnasta, poikkeamista ilmoittamisesta ja valvonnasta. Euroopan kolme valvontaviranomaista (EBA, EIOPA ja ESMA) julkaisivat (avautuu ulkoiselle sivustolle) 18. marraskuuta 2025 ensimmäisen luettelon kriittisistä ICT-palvelujen kolmannen osapuolen tarjoajista, joita ne valvovat suoraan.

02Finanssiyhteisöt ja niiden ICT-toimittajat

DORA kattaa kaksikymmentä finanssiyhteisötyyppiä luottolaitoksista, maksu- ja sähkörahalaitoksista ja sijoituspalveluyrityksistä kryptovarapalvelujen tarjoajiin, kauppapaikkoihin, rahastojen hoitajiin, vakuutusyhtiöihin, vakuutusedustajiin, ammatillisia lisäeläkkeitä tarjoaviin laitoksiin, luottoluokituslaitoksiin ja joukkorahoituspalvelujen tarjoajiin. Suhteellisuus on rakennettu sisään: 4 artikla mitoittaa vaatimukset koon, riskiprofiilin ja monimutkaisuuden mukaan, ja 16 artikla säätää yksinkertaistetusta kehyksestä joillekin pienemmille toimijoille.

ICT-palvelujen kolmannen osapuolen tarjoaja on mikä tahansa yritys, joka tarjoaa ICT-palveluja, ja DORA määrittelee ne laajasti: digitaaliset palvelut ja datapalvelut, joita tarjotaan ICT-järjestelmien kautta sisäisille tai ulkoisille käyttäjille jatkuvasti. Hosting, hallinnoidut palvelut, ohjelmistot palveluna, sovellusten ylläpito ja tuki sekä datapalvelut täyttävät tyypillisesti määritelmän. Toimittajia ei valvota DORA:n nojalla, ellei niitä ole nimetty kriittisiksi, mutta asiakkaat vievät velvoitteet jokaiseen sopimukseen.

03Ylin hallintoelin kantaa ICT-riskin

Asetuksen 5 artikla antaa ylimmälle hallintoelimelle lopullisen vastuun ICT-riskistä. Se määrittelee, hyväksyy ja valvoo ICT-riskienhallinnan kehyksen, asettaa digitaalisen häiriönsietokyvyn strategian ja riskinsietokyvyn, hyväksyy toiminnan jatkuvuuden toimintaperiaatteet sekä reagointi- ja palautumissuunnitelmat ja hyväksyy ja tarkistaa kolmansien osapuolten ICT-palvelujen käyttöä koskevat toimintaperiaatteet. Sen jäsenten on pidettävä osaamisensa ajan tasalla, myös säännöllisellä koulutuksella.

04Laaja­vaikutteiset poikkeamat: 4 tuntia, 72 tuntia, kuukausi

Finanssiyhteisöt luokittelevat ICT-poikkeamat 18 artiklassa säädettyjen ja delegoidussa asetuksessa (EU) 2024/1772 (avautuu ulkoiselle sivustolle) tarkennettujen kriteerien mukaan: asiakkaat ja liiketoimet, joihin poikkeama vaikuttaa, kesto ja käyttökatko, maantieteellinen laajuus, tietojen menetykset, vaikutuksen kohteena olevien palvelujen kriittisyys ja taloudelliset vaikutukset. Laajavaikutteisesta poikkeamasta ilmoitetaan valvojalle kolmessa vaiheessa, ja määräajat on asetettu delegoidussa asetuksessa (EU) 2025/301 (avautuu ulkoiselle sivustolle):

Asiakkaille, joiden taloudellisiin etuihin poikkeama vaikuttaa, on ilmoitettava ilman aiheetonta viivytystä. Finanssiyhteisö voi ulkoistaa itse ilmoittamisen kolmannelle osapuolelle, mutta se vastaa siitä edelleen täysimääräisesti (19 artiklan 5 kohta).

Toimittajalle tämä on konkreettista. Jokaisessa ICT-sopimuksessa on oltava palveluntarjoajan velvollisuus avustaa, kun sen palveluun liittyvä poikkeama tapahtuu, ilman lisäkustannuksia tai etukäteen sovitulla hinnalla (30 artiklan 2 kohdan f alakohta). Asiakkaan neljän tunnin aikaikkuna toimii vain, jos toimittajan valvonta, lokit ja yhteyshenkilöt ovat paikallaan ennen poikkeamaa.

05Testaus uhkaperusteisiin tunkeutumistesteihin asti

Asetuksen 24 artikla edellyttää riskiperusteista testausohjelmaa, jonka toteuttavat riippumattomat sisäiset tai ulkoiset testaajat, ja asianmukaisia testejä vähintään kerran vuodessa kaikille kriittisiä tai tärkeitä toimintoja tukeville ICT-järjestelmille ja -sovelluksille. Valvojan nimeämien toimijoiden on lisäksi tehtävä uhkaperusteinen tunkeutumistestaus vähintään kolmen vuoden välein tuotannossa olevissa järjestelmissä delegoidun asetuksen (EU) 2025/1190 (avautuu ulkoiselle sivustolle) mukaisesti, joka noudattaa TIBER-EU-kehystä.

Kun toimittajan palvelut kuuluvat TLPT-testauksen piiriin, finanssiyhteisön on varmistettava, että toimittaja osallistuu (26 artiklan 3 kohta), ja kriittisiä tai tärkeitä toimintoja tukeviin sopimuksiin on sisällytettävä tämä velvoite (30 artiklan 3 kohdan d alakohta). Jos toimittajan osallistuminen voisi haitata sen muita asiakkaita, DORA sallii yhdistetyn testauksen, jossa toimittaja tilaa ulkoisen testaajan suoraan usean finanssiyhteisön puolesta (26 artiklan 4 kohta).

06Kolmansiin osapuoliin liittyvä ICT-riski: strategia, rekisteri ja irtautuminen

Asetuksen 28 artikla tekee kolmansiin osapuoliin liittyvästä ICT-riskistä osan ICT-riskienhallinnan kehystä, ja finanssiyhteisö vastaa vaatimusten noudattamisesta täysimääräisesti riippumatta siitä, mitä se ulkoistaa. Tärkeimmät velvollisuudet:

• Kolmansiin osapuoliin liittyvän ICT-riskin strategia, johon sisältyy kriittisiä tai tärkeitä toimintoja tukevia ICT-palveluja koskeva toimintaperiaate ja jonka ylin hallintoelin tarkistaa säännöllisesti.
• Tietorekisteri kaikista ICT-palveluja koskevista sopimusjärjestelyistä toimija- ja konsernitasolla, jossa erotetaan kriittisiä tai tärkeitä toimintoja tukevat järjestelyt. Mallipohjat on vahvistettu täytäntöönpanoasetuksessa (EU) 2024/2956 (avautuu ulkoiselle sivustolle). Toimijat raportoivat siitä valvojalleen vähintään kerran vuodessa ja toimittavat koko rekisterin pyynnöstä.
• Huolellisuusvelvoite ennen sopimusta: tukeeko palvelu kriittistä tai tärkeää toimintoa, mitkä ovat riskit keskittymisriski mukaan lukien, onko toimittaja sopiva ja onko eturistiriitoja. Toimittajien on sovellettava asianmukaisia tietoturvastandardeja, ja kriittisissä tai tärkeissä toiminnoissa ajantasaisimpia ja laadukkaimpia.
• Irtisanomisoikeudet muun muassa toimittajan olennaisen rikkomuksen, sen ICT-riskienhallinnan osoitettujen heikkouksien tai tehokkaan valvonnan estävien olosuhteiden varalta.
• Irtautumisstrategiat kriittisiä tai tärkeitä toimintoja tukeville ICT-palveluille, dokumentoituina ja testattuina, jotta toimija voi irtautua häiritsemättä liiketoimintaansa, rajoittamatta vaatimustenmukaisuuttaan tai heikentämättä asiakkailleen tarjoamiaan palveluja.

Mitä sopimuksessa on sanottava

Asetuksen 30 artikla asettaa sopimuksen vähimmäisehdot. Jokaisen ICT-sopimuksen on oltava kirjallinen, yhtenä asiakirjana, johon palvelutasot sisältyvät, ja sen on katettava vähintään:

• toimintojen ja palvelujen täydellinen kuvaus sekä se, sallitaanko alihankinta ja millä ehdoin;
• sijainnit, joissa palveluja tarjotaan ja tietoja käsitellään ja säilytetään, sekä ennakkoilmoitus muutoksista;
• tietojen, myös henkilötietojen, saatavuus, aitous, eheys ja luottamuksellisuus;
• tietoihin pääsy, niiden palautus ja palauttaminen helposti käytettävässä muodossa maksukyvyttömyyden, toiminnan lopettamisen tai sopimuksen päättymisen yhteydessä;
• palvelutasojen kuvaukset;
• avustaminen palveluun liittyvissä ICT-poikkeamissa ilman lisäkustannuksia tai etukäteen sovitulla hinnalla;
• täysimääräinen yhteistyö toimivaltaisten viranomaisten ja kriisinratkaisuviranomaisten kanssa;
• irtisanomisoikeudet ja vähimmäisirtisanomisajat;
• osallistuminen toimijan ICT-turvallisuuden tietoisuusohjelmiin ja häiriönsietokykykoulutukseen.

Kriittisiä tai tärkeitä toimintoja tukevien palvelujen osalta 30 artiklan 3 kohta lisää täsmälliset määrälliset ja laadulliset suoritustavoitteet, ilmoitus- ja raportointivelvollisuudet, toimittajan toteuttamat ja testaamat liiketoiminnan varautumissuunnitelmat, osallistumisen TLPT-testaukseen, toimijan ja sen valvojan rajoittamattomat pääsy-, tarkastus- ja auditointioikeudet sekä irtautumisstrategian pakollisine siirtymäaikoineen. Delegoitu asetus (EU) 2025/532 (avautuu ulkoiselle sivustolle) täydentää, mitä toimijan on arvioitava, kun tällaisia palveluja alihankitaan.

07Kriittiset ICT-palvelujen kolmannen osapuolen tarjoajat

Asetuksen 31 artiklan nojalla Euroopan valvontaviranomaiset nimeävät finanssialalle kriittiset ICT-palveluntarjoajat niiden järjestelmävaikutusten, niihin tukeutuvien finanssiyhteisöjen merkityksen, kriittisissä tai tärkeissä toiminnoissa olevan roolin ja korvattavuuden perusteella. Kullekin kriittiselle palveluntarjoajalle määrätään päävalvoja (Lead Overseer), yksi kolmesta valvontaviranomaisesta, joka voi pyytää tietoja, tehdä tutkimuksia ja tarkastuksia sekä antaa suosituksia.

Ensimmäinen luettelo (avautuu ulkoiselle sivustolle), joka julkaistiin 18. marraskuuta 2025, nimesi 19 palveluntarjoajaa pilvi- ja datakeskusoperaattoreista tietoliikenne-, IT-palvelu-, markkinadata- ja yritysohjelmistoyrityksiin. Nimeäminen ei poista finanssiyhteisöltä yhtään velvollisuutta: sen on edelleen pidettävä rekisteriä, sovellettava sopimusehtoja ja ylläpidettävä irtautumisstrategiaa jokaisen tällaisen palveluntarjoajan osalta.

08Mitä ICT-toimittajalla pitäisi olla valmiina

Useimpia finanssialan toimittajia ei koskaan nimetä kriittisiksi, mutta kaikki kohtaavat DORA:n sopimusten, huolellisuusarviointien ja auditointien kautta. Toimittaja, jolla on seuraavat asiat kunnossa, lyhentää hankintaa ja helpottaa asiakkaansa keskustelua valvojan kanssa:

• Rekisteritiedot. Mitä asiakas tarvitsee tietorekisteriinsä: oikeushenkilö ja tunnisteet, tarjotut palvelut ja niiden tukemat toiminnot, sijainnit ja ketjun alihankkijat.
• 30 artiklaa vastaavat sopimusehdot. Mieluiten vakiomuotoinen DORA-liite, joka kattaa molemmat luettelot, sen sijaan että jokainen ehto neuvoteltaisiin alusta.
• Näyttö poikkeamista. Valvonta, luotettavin aikaleimoin varustetut lokit ja ilmoitusmenettely, jonka avulla asiakas pystyy luokittelemaan ja ilmoittamaan tunneissa.
• Testattu jatkuvuus. Liiketoiminnan varautumissuunnitelmat ja palautustestit päivämäärineen ja tuloksineen.
• Osoitettava tietoturva. Tietoturvastandardit, pääsynhallinta, turvallinen kehityksen elinkaari ja haavoittuvuuksien käsittely, mahdollisuuksien mukaan riippumattomasti todennettuina.
• Valmius auditointeihin ja testaukseen. Toimiva tapa ottaa vastaan auditointeja ja tarkastuksia sekä osallistua TLPT-testaukseen, tarvittaessa myös yhdistettyyn testaukseen.
• Irtautumissuunnitelma. Tietojen palautus käyttökelpoisissa muodoissa, dokumentaatio ja siirtymätuki sovitun ajan.

Näin toimimme finanssiyhteisöjen ICT-toimittajana: sovimme DORA:n edellyttämistä sopimusehdoista, ilmoitamme poikkeamista sovittua kanavaa pitkin, dokumentoimme irtautumissuunnitelmat, osallistumme häiriönsietokyvyn testaukseen ja toimitamme tiedot, joita rekisterisi tarvitsee. Sivumme luottamuksesta ja vaatimustenmukaisuudesta kuvaa toimintatapamme, mukaan lukien ISO/IEC 27001 -sertifioidun tietoturvallisuuden hallintajärjestelmämme.

09Käytännön suunnitelma molemmille osapuolille

1. 01Täydennä rekisteri. Kytke jokainen ICT-sopimus sen tukemiin toimintoihin ja merkitse kriittiset tai tärkeät.
2. 02Paikkaa sopimusten aukot. Vertaa jokaista sopimusta 30 artiklaan ja sovi liitteestä, jos ehtoja puuttuu.
3. 03Yhtenäistä poikkeamien käsittely. Sovi jokaisen kriittisen toimittajan kanssa luokittelun lähtötiedot, yhteyshenkilöt ja ilmoitusajat, ja testaa ne.
4. 04Suunnittele testaus toimittajien kanssa. Ota toimittajat mukaan testausohjelmaan ja tarvittaessa TLPT-testauksen rajaukseen.
5. 05Laadi ja testaa irtautumisstrategiat. Jokaiselle kriittiselle tai tärkeälle toiminnolle: vaihtoehdot, tietojen palautus ja siirtymäaika.
6. 06Seuraa keskittymistä. Useat kriittiset toiminnot saman palveluntarjoajan varassa on riski, joka on dokumentoitava ja jota on hallittava (29 artikla).

10Valvova viranomainen Suomessa

DORA on sama teksti kaikkialla, mutta useimpien finanssiyhteisöjen valvonta on kansallista: valvojana toimii keskuspankki, vakavaraisuusvalvoja tai markkinavalvoja toimijatyypistä riippuen, ja merkittäviä pankkeja valvoo EKP. Suomessa Finanssivalvonta (avautuu ulkoiselle sivustolle) valvoo finanssi- ja vakuutussektoria eli pankkeja, vakuutus- ja eläkeyhtiöitä, sijoituspalveluyrityksiä, rahastoyhtiöitä ja pörssiä, ja se valvoo myös DORA:n vaatimusten noudattamista valvomissaan toimijoissa. Finanssivalvonta toimii hallinnollisesti Suomen Pankin yhteydessä. Tietorekisterin ja poikkeamailmoitusten muoto ja kanava sekä TLPT-testauksesta vastaava viranomainen määräytyvät kansallisesti, joten tarkista valvojasi ohjeet.

11Mitä seurata tulevina kuukausina

• Valvojasi painopisteet ja havainnot tietorekisteristä ja poikkeamista ilmoittamisesta.
• Päävalvojien harjoittama kriittisten ICT-palveluntarjoajien valvonta ja suositukset, jotka koskevat käyttämiäsi palveluja.
• Komission digitaalinen omnibus -ehdotus (avautuu ulkoiselle sivustolle), COM(2025) 837, jonka mukaan DORA:n laajavaikutteisia poikkeamia koskevat ilmoitukset kulkisivat ENISA:n ylläpitämän yhteisen ilmoituspisteen kautta. Lokakuussa 2026 ehdotus oli yhä Euroopan parlamentin käsittelyssä; kunnes se hyväksytään ja sitä sovelletaan, nykyiset kanavat ja määräajat ovat voimassa.

Finanssialan ulkopuoliset organisaatiot kohtaavat vastaavia toimitusketjuvelvoitteita kyberturvallisuuslain ja NIS2:n kautta; ks. artikkelimme kyberturvallisuuslaista, NIS2:sta ja ohjelmistotoimittajista. Euroopan valvontaviranomaiset ylläpitävät teknisten standardien ja valvontakehyksen yleiskatsausta DORA-sivuillaan (avautuu ulkoiselle sivustolle).