DORA och IKT-leverantörerna: vad banker och försäkringsbolag kräver av dem

01Var DORA står hösten 2026

Förordningen om digital operativ motståndskraft för finanssektorn (öppnar en extern webbplats), förordning (EU) 2022/2554, tillämpas sedan 17 januari 2025. Eftersom den är en förordning gäller den direkt i alla medlemsstater; den nationella lagstiftningen pekar i huvudsak ut de behöriga myndigheterna och bestämmer påföljderna. Detaljerna finns i tekniska standarder från kommissionen, bland annat om ramverket för IKT-risker, hur incidenter klassificeras och rapporteras, informationsregistret, avtalspolicyer, underleverantörer och hotbildsstyrda penetrationstester.

Finansinspektionen övervakar den finländska finans- och försäkringssektorn och därmed också hur DORA följs hos de entiteter som står under dess tillsyn. För finansiella entiteter ersätter DORA de regler i NIS2 som gäller IKT-riskhantering, incidentrapportering och tillsyn; i den finländska cybersäkerhetslagen (124/2025) kallas den DORA-förordningen. De tre europeiska tillsynsmyndigheterna, EBA, Eiopa och Esma, publicerade (öppnar en extern webbplats) 18 november 2025 sin första lista över kritiska tredjepartsleverantörer av IKT-tjänster, som de själva övervakar.

02Vilka som omfattas

Förordningen gäller tjugo slag av finansiella entiteter: kreditinstitut, betalningsinstitut och institut för elektroniska pengar, värdepappersföretag, leverantörer av kryptotillgångstjänster, handelsplatser, fondförvaltare, försäkringsbolag och försäkringsförmedlare, tjänstepensionsinstitut, kreditvärderingsinstitut, plattformar för gräsrotsfinansiering och flera andra. Kraven skalas efter storlek, riskprofil och komplexitet (artikel 4), och vissa mindre entiteter får tillämpa ett förenklat ramverk (artikel 16).

Som tredjepartsleverantör av IKT-tjänster räknas varje företag som levererar IKT-tjänster, och begreppet är vitt: digitala tjänster och datatjänster som fortlöpande tillhandahålls interna eller externa användare via IKT-system. Drift och hosting, förvaltade tjänster, programvara som tjänst, applikationsförvaltning, support och datatjänster faller i regel inom ramen. Leverantören står inte själv under DORA-tillsyn om den inte har utsetts till kritisk, men kunden skriver in sina skyldigheter i varje avtal.

03Ansvaret ligger hos ledningsorganet

Enligt artikel 5 har ledningsorganet det slutliga ansvaret för IKT-risken. Det fastställer och följer upp ramverket för IKT-riskhantering, beslutar om strategin för digital operativ motståndskraft och om hur mycket risk som godtas, fastställer kontinuitetspolicyn och planerna för hantering och återställning, och godkänner och ser över policyn för IKT-tjänster som köps från tredje part. Ledamöterna ska hålla sina kunskaper uppdaterade, bland annat genom utbildning med jämna mellanrum.

04Allvarliga incidenter: fyra timmar, tre dygn, en månad

De finansiella entiteterna klassificerar sina IKT-relaterade incidenter enligt kriterierna i artikel 18, som närmare beskrivs i delegerad förordning (EU) 2024/1772 (öppnar en extern webbplats). Kriterierna gäller antalet kunder och transaktioner som berörs, hur länge driften stod still, den geografiska spridningen, förlorade data, hur kritiska tjänsterna är och den ekonomiska effekten. En allvarlig incident anmäls till den behöriga myndigheten i tre steg, med tidsgränser från delegerad förordning (EU) 2025/301 (öppnar en extern webbplats):

Kunder vars ekonomiska intressen berörs ska få veta det utan onödigt dröjsmål. Entiteten får anlita någon annan för att sköta själva anmälningarna, men ansvaret ligger kvar hos entiteten (artikel 19.5).

För en leverantör blir det här mycket konkret. Alla IKT-avtal ska förplikta leverantören att hjälpa till när en incident i dess tjänst inträffar, utan tilläggskostnad eller till ett pris som bestämts i förväg (artikel 30.2 f). Kunden klarar fyratimmarsgränsen bara om leverantörens övervakning, loggar och kontaktvägar redan fungerar när incidenten inträffar.

05Tester ända upp till hotbilds­styrda penetrations­tester

Artikel 24 kräver ett testprogram som utgår från risk och som sköts av oberoende testare, interna eller externa. Alla IKT-system och applikationer bakom kritiska eller viktiga funktioner ska testas på lämpligt sätt minst en gång om året. De entiteter som den behöriga myndigheten pekar ut ska därtill göra hotbildsstyrda penetrationstester i produktionsmiljön minst vart tredje år, enligt delegerad förordning (EU) 2025/1190 (öppnar en extern webbplats), som bygger på ramverket TIBER-EU.

Omfattas en leverantörs tjänster av ett TLPT ska entiteten se till att leverantören är med (artikel 26.3), och kravet ska stå i avtalen om kritiska eller viktiga funktioner (artikel 30.3 d). Skulle leverantörens medverkan kunna skada dess övriga kunder får testet göras samlat: leverantören anlitar då själv en extern testare för flera finansiella entiteters räkning (artikel 26.4).

06Tredjeparts­risken: strategi, register och exit

Genom artikel 28 blir riskerna hos IKT-leverantörerna en del av entitetens ramverk för IKT-riskhantering, och entiteten ansvarar fullt ut för att reglerna följs även för det som köps utifrån. Detta krävs i huvudsak:

• En strategi för risker hos IKT-leverantörer, med en policy för tjänster bakom kritiska eller viktiga funktioner som ledningsorganet följer upp regelbundet.
• Ett informationsregister som omfattar varje avtal om IKT-tjänster, både för entiteten och för koncernen, och som skiljer ut avtalen bakom kritiska eller viktiga funktioner. Mallarna finns i genomförandeförordning (EU) 2024/2956 (öppnar en extern webbplats). Registret rapporteras till den behöriga myndigheten minst årligen och lämnas i sin helhet när myndigheten begär det.
• En förhandsbedömning innan avtalet sluts: stöder tjänsten en kritisk eller viktig funktion, vilka risker finns, också koncentrationsrisker, är leverantören lämplig och finns det intressekonflikter? Leverantören ska följa lämpliga standarder för informationssäkerhet och, för kritiska eller viktiga funktioner, de senaste och högst ställda.
• Rätt att säga upp avtalet, till exempel om leverantören bryter väsentligt mot det, om dess IKT-riskhantering visat sig brista eller om förhållandena förhindrar en effektiv tillsyn.
• Exitstrategier för tjänster bakom kritiska eller viktiga funktioner, nedskrivna och prövade, så att entiteten kan byta leverantör utan avbrott i verksamheten, utan att regelefterlevnaden försämras och utan att kunderna drabbas.

Det här ska stå i avtalet

Artikel 30 anger vad avtalet minst ska innehålla. Avtalet ska vara skriftligt och samlat i ett dokument, tjänstenivåerna inräknade, och minst ta upp:

• en heltäckande beskrivning av funktioner och tjänster, och om underleverantörer får anlitas och i så fall på vilka villkor;
• var tjänsterna levereras och var data behandlas och lagras, och att ändringar ska meddelas i förväg;
• hur datas tillgänglighet, äkthet, riktighet och konfidentialitet skyddas, personuppgifter inräknade;
• åtkomst till data, återställning och återlämnande i ett lättåtkomligt format om leverantören går i konkurs, lägger ner eller avtalet sägs upp;
• beskrivningar av servicenivåerna;
• hjälp vid IKT-incidenter i tjänsten, utan tilläggskostnad eller till ett pris som bestämts i förväg;
• fullständigt samarbete med behöriga myndigheter och resolutionsmyndigheter;
• uppsägningsrätt och kortaste uppsägningstider;
• deltagande i entitetens program för medvetenhet om IKT-säkerhet och i dess utbildning i digital operativ motståndskraft.

Gäller avtalet kritiska eller viktiga funktioner kräver artikel 30.3 mer: exakta kvantitativa och kvalitativa prestationsmål, skyldigheter att informera och rapportera, beredskapsplaner som leverantören både inför och prövar, deltagande i TLPT, oinskränkt rätt för entiteten och dess tillsynsmyndighet till åtkomst, inspektion och revision samt en exitstrategi med en tvingande övergångstid. Vad entiteten ska bedöma när sådana tjänster läggs vidare på underleverantörer framgår av delegerad förordning (EU) 2025/532 (öppnar en extern webbplats).

07Kritiska tredjeparts­leverantörer

De europeiska tillsynsmyndigheterna pekar enligt artikel 31 ut vilka IKT-leverantörer som är kritiska för finanssektorn. De ser på leverantörens betydelse för systemet som helhet, hur betydelsefulla kunderna är, vilken roll tjänsterna spelar för kritiska eller viktiga funktioner och hur svårt det är att ersätta leverantören. Varje kritisk leverantör får en av de tre myndigheterna som ledande tillsynsmyndighet. Den kan begära uppgifter, utreda, inspektera och ge rekommendationer.

Den första listan (öppnar en extern webbplats) blev offentlig 18 november 2025 och omfattar 19 leverantörer, allt från moln- och datacenterföretag till teleoperatörer, IT-tjänsteföretag, leverantörer av marknadsdata och utvecklare av affärsprogramvara. Att en leverantör är utpekad befriar inte den finansiella entiteten från något: registret, avtalsvillkoren och en exitstrategi behövs fortfarande för varje sådan leverantör.

08Det här bör en IKT-leverantör ha i ordning

Få leverantörer till finanssektorn blir någonsin utpekade som kritiska, men alla möter DORA genom avtal, förhandsbedömningar och revisioner. Den som har följande på plats kortar ner upphandlingen och gör det lättare för kunden i kontakterna med Finansinspektionen eller en annan tillsynsmyndighet:

• Uppgifter till registret. Allt kunden behöver för sitt informationsregister: juridisk person och identifierare, levererade tjänster och de funktioner de stöder, platser och underleverantörerna längs kedjan.
• Avtalsvillkor i linje med artikel 30. Gärna ett färdigt DORA-tillägg som täcker båda förteckningarna, så att inte varje klausul behöver förhandlas från noll.
• Underlag vid incidenter. Övervakning, loggar med pålitliga tidsstämplar och en rutin för anmälan som låter kunden klassificera och rapportera inom några timmar.
• Prövad kontinuitet. Beredskapsplaner och återställningstester, med datum och utfall.
• Säkerhet som kan visas upp. Standarder för informationssäkerhet, åtkomststyrning, säker utveckling och hantering av sårbarheter, gärna med oberoende belägg.
• Redo för revisioner och tester. En fungerande rutin för att ta emot revisioner och inspektioner och för att delta i TLPT, också i samlade tester när det passar.
• En exitplan. Återlämnande av data i användbara format, dokumentation och stöd under en överenskommen övergångstid.

Så här arbetar vi när vi levererar IKT-tjänster till finanssektorn: vi avtalar om de villkor som DORA kräver, anmäler incidenter i den kanal vi kommit överens om, skriver ner exitplanerna, deltar i tester av motståndskraften och tar fram de uppgifter som ditt register behöver. På sidan Förtroende och regelefterlevnad beskriver vi vårt arbetssätt, bland annat ledningssystemet för informationssäkerhet som är certifierat enligt ISO/IEC 27001.

09En plan för kund och leverantör

1. 01Fyll i registret. Knyt varje IKT-avtal till de funktioner det stöder och märk ut de kritiska och viktiga.
2. 02Komplettera avtalen. Gå igenom varje avtal mot artikel 30 och gör ett tillägg där något saknas.
3. 03Stäm av incidenthanteringen. Kom överens med varje kritisk leverantör om vilka uppgifter som behövs för klassificeringen, vilka kontaktpersoner som gäller och hur snabbt anmälan ska ske, och öva det.
4. 04Ta med leverantörerna i testerna. Låt dem ingå i testprogrammet och, när det behövs, i avgränsningen av ett TLPT.
5. 05Skriv och pröva exitstrategier. För varje kritisk eller viktig funktion: alternativ, återlämnande av data och övergångstid.
6. 06Följ koncentrationen. Ligger flera kritiska funktioner hos samma leverantör är det en risk som ska dokumenteras och hanteras (artikel 29).

10Vem som har tillsynen

Texten i DORA är densamma i hela unionen, men för de flesta finansiella entiteter sköts tillsynen nationellt: av centralbanken, av den myndighet som har stabilitetstillsynen eller av marknadsmyndigheten, beroende på typ av entitet, och för betydande banker av ECB. I Finland övervakar Finansinspektionen finans- och försäkringssektorn, och därmed också efterlevnaden av DORA. Hur registret och incidentrapporterna ska lämnas in, och vilken myndighet som ansvarar för TLPT, avgörs nationellt. Följ anvisningarna från din egen tillsynsmyndighet.

11Att följa under de kommande månaderna

• Vilka prioriteringar Finansinspektionen gör i tillsynen och vad den iakttar om informationsregistren och incidentrapporteringen.
• Hur de ledande tillsynsmyndigheterna övervakar de kritiska tredjepartsleverantörerna, och rekommendationer som rör tjänster du själv använder.
• Kommissionens förslag till digital omnibus (öppnar en extern webbplats), COM(2025) 837, enligt vilket rapporter om allvarliga incidenter enligt DORA skulle lämnas via en gemensam ingång hos Enisa. I oktober 2026 var förslaget fortfarande under behandling i Europaparlamentet; tills det har antagits och börjat tillämpas gäller dagens kanaler och tidsgränser.

Utanför finanssektorn ställer NIS2, i Finland genom cybersäkerhetslagen (124/2025), liknande krav på leveranskedjan; läs mer i vår artikel om cybersäkerhetslagen och NIS2. Tillsynsmyndigheterna samlar de tekniska standarderna och tillsynsramverket på sina sidor om DORA (öppnar en extern webbplats).