Dora och IKT-tredjepartsleverantörer: vad finansiella entiteter behöver av sina leverantörer

01Läget för Dora hösten 2026

Förordningen om digital operativ motståndskraft för finanssektorn (öppnar en extern webbplats), förordning (EU) 2022/2554, har gällt sedan den 17 januari 2025. Som förordning gäller den direkt i alla medlemsstater; den nationella lagen utser främst behöriga myndigheter och fastställer sanktioner. I Sverige kompletteras den av lag (2024:1278), som gör Finansinspektionen till behörig myndighet. Detaljerna finns i tekniska standarder som kommissionen har antagit om ramverket för IKT-riskhantering, klassificering och rapportering av incidenter, informationsregistret, avtalspolicyer, underleverantörer och hotbildsstyrda penetrationstester.

För finansiella entiteter är Dora den sektorsspecifika rättsakt som ersätter reglerna i NIS 2 om IKT-riskhantering, incidentrapportering och tillsyn. Den 18 november 2025 publicerade (öppnar en extern webbplats) de tre europeiska tillsynsmyndigheterna (EBA, Eiopa och Esma) den första listan över kritiska IKT-tredjepartsleverantörer som de övervakar direkt.

02Finansiella entiteter och deras IKT-leverantörer

Dora omfattar tjugo typer av finansiella entiteter, från kreditinstitut, betalningsinstitut, institut för elektroniska pengar och värdepappersföretag till leverantörer av kryptotillgångstjänster, handelsplatser, fondförvaltare, försäkringsföretag, försäkringsförmedlare, tjänstepensionsinstitut, kreditvärderingsinstitut och plattformar för gräsrotsfinansiering. Proportionalitet är inbyggd: artikel 4 anpassar kraven efter storlek, riskprofil och komplexitet, och artikel 16 ger ett förenklat ramverk för vissa mindre entiteter.

En tredjepartsleverantör av IKT-tjänster är varje företag som tillhandahåller IKT-tjänster, och Dora definierar dem brett: digitala tjänster och datatjänster som tillhandahålls via IKT-system till interna eller externa användare löpande. Drift, förvaltade tjänster, programvara som tjänst, applikationsförvaltning och support och datatjänster brukar omfattas. Leverantörerna står inte under tillsyn enligt Dora om de inte har utsetts till kritiska, men deras kunder för in skyldigheterna i varje avtal.

03Ledningsorganet bär IKT-risken

Artikel 5 ger ledningsorganet det yttersta ansvaret för IKT-risken. Det fastställer, godkänner och övervakar ramverket för IKT-riskhantering, fastställer strategin för digital operativ motståndskraft och risktoleransen, godkänner kontinuitetspolicyn och planerna för åtgärder och återställning, och godkänner och ser över policyn för användning av IKT-tjänster från tredjepartsleverantörer. Ledamöterna ska hålla sina kunskaper aktuella, bland annat genom regelbunden utbildning.

04Allvarliga incidenter: 4 timmar, 72 timmar, en månad

Finansiella entiteter klassificerar IKT-relaterade incidenter enligt kriterierna i artikel 18, som preciseras i delegerad förordning (EU) 2024/1772 (öppnar en extern webbplats): berörda kunder och transaktioner, varaktighet och avbrottstid, geografisk spridning, dataförluster, hur kritiska de berörda tjänsterna är och ekonomisk påverkan. En allvarlig incident rapporteras till den behöriga myndigheten i tre steg, med tidsfrister enligt delegerad förordning (EU) 2025/301 (öppnar en extern webbplats). I Sverige informerar Finansinspektionen Riksbanken om allvarliga IKT-relaterade incidenter.

Kunder vars ekonomiska intressen påverkas ska informeras utan onödigt dröjsmål. En finansiell entitet får lägga ut själva rapporteringen på en tredje part, men har kvar hela ansvaret för den (artikel 19.5).

För leverantörer är detta konkret. Varje IKT-avtal ska innehålla leverantörens skyldighet att bistå när en incident som rör tjänsten inträffar, utan extra kostnad eller till en kostnad som har bestämts i förväg (artikel 30.2 f). Kundens fönster på fyra timmar fungerar bara om leverantörens övervakning, loggar och kontakter finns på plats före incidenten.

05Tester, ända till hotbildsstyrda penetrations­tester

Artikel 24 kräver ett riskbaserat testprogram, som genomförs av oberoende interna eller externa testare, med lämpliga tester minst en gång om året av alla IKT-system och applikationer som stöder kritiska eller viktiga funktioner. Enheter som den behöriga myndigheten har pekat ut ska också genomföra hotbildsstyrda penetrationstester minst vart tredje år, i skarpa produktionssystem, enligt delegerad förordning (EU) 2025/1190 (öppnar en extern webbplats), som följer ramverket TIBER-EU. I Sverige beslutar Finansinspektionen vilka entiteter som ska genomföra sådana tester, och Riksbanken övervakar dem.

När en leverantörs tjänster ingår i ett TLPT ska den finansiella entiteten se till att leverantören deltar (artikel 26.3), och avtal för kritiska eller viktiga funktioner ska innehålla den skyldigheten (artikel 30.3 d). Om leverantörens deltagande kan skada dess andra kunder tillåter Dora gemensamma tester, där leverantören själv anlitar en extern testare för flera finansiella entiteters räkning (artikel 26.4).

06IKT-tredjepartsrisk: strategi, register och exit

Artikel 28 gör IKT-tredjepartsrisken till en del av ramverket för IKT-riskhantering, och den finansiella entiteten har kvar hela ansvaret för att reglerna följs, oavsett vad den lägger ut. De viktigaste skyldigheterna:

• En strategi för IKT-tredjepartsrisk, med en policy för IKT-tjänster som stöder kritiska eller viktiga funktioner, som ledningsorganet ser över regelbundet.
• Ett informationsregister över alla avtal om IKT-tjänster, på entitets- och koncernnivå, som skiljer ut de avtal som stöder kritiska eller viktiga funktioner. Mallarna fastställs i genomförandeförordning (EU) 2024/2956 (öppnar en extern webbplats). Enheterna rapporterar om registret till sin behöriga myndighet minst en gång om året och lämnar hela registret på begäran.
• Due diligence före avtal: om tjänsten stöder en kritisk eller viktig funktion, riskerna inklusive koncentrationsrisk, leverantörens lämplighet och eventuella intressekonflikter. Leverantörerna ska tillämpa lämpliga standarder för informationssäkerhet, och för kritiska eller viktiga funktioner de mest aktuella och de av högsta kvalitet.
• Rätt att säga upp avtalet, bland annat vid ett väsentligt avtalsbrott från leverantören, påvisade brister i dess IKT-riskhantering eller omständigheter som hindrar en effektiv tillsyn.
• Exitstrategier för IKT-tjänster som stöder kritiska eller viktiga funktioner, dokumenterade och testade, så att entiteten kan lämna leverantören utan att störa verksamheten, begränsa sin regelefterlevnad eller skada tjänsterna till sina kunder.

Vad avtalet ska innehålla

Artikel 30 anger minimivillkoren. Varje IKT-avtal ska vara skriftligt, i ett dokument som också innehåller servicenivåerna, och omfatta minst:

• en fullständig beskrivning av funktionerna och tjänsterna, och om, och på vilka villkor, underleverantörer får anlitas;
• de platser där tjänsterna tillhandahålls och data behandlas och lagras, med förhandsbesked om ändringar;
• tillgänglighet, autenticitet, integritet och konfidentialitet för data, inklusive personuppgifter;
• åtkomst till, återställning och återlämnande av data i ett lättillgängligt format vid insolvens, avveckling eller uppsägning;
• beskrivningar av servicenivåerna;
• stöd vid IKT-incidenter som rör tjänsten, utan extra kostnad eller till en kostnad som har bestämts i förväg;
• fullt samarbete med behöriga myndigheter och resolutionsmyndigheter;
• rätt till uppsägning och minsta uppsägningstider;
• deltagande i entitetens program för medvetenhet om IKT-säkerhet och utbildning i digital operativ motståndskraft.

För tjänster som stöder kritiska eller viktiga funktioner lägger artikel 30.3 till exakta kvantitativa och kvalitativa resultatmål, skyldigheter att underrätta och rapportera, beredskapsplaner som leverantören genomför och testar, deltagande i TLPT, obegränsad rätt till åtkomst, inspektion och revision för entiteten och dess tillsynsmyndighet, och en exitstrategi med en obligatorisk övergångsperiod. Delegerad förordning (EU) 2025/532 (öppnar en extern webbplats) anger vad entiteten ska bedöma när sådana tjänster läggs ut på underleverantörer.

07Kritiska IKT-tredjeparts­leverantörer

Enligt artikel 31 utser de europeiska tillsynsmyndigheterna IKT-leverantörer som är kritiska för finanssektorn, utifrån deras systemiska påverkan, betydelsen av de finansiella entiteter som är beroende av dem, deras roll i kritiska eller viktiga funktioner och hur lätt de kan ersättas. Varje kritisk leverantör får en ledande tillsynsmyndighet (Lead Overseer), en av de tre myndigheterna, som kan begära information, genomföra utredningar och inspektioner och utfärda rekommendationer.

Den första listan (öppnar en extern webbplats), som publicerades den 18 november 2025, utsåg 19 leverantörer, från moln- och datacenteroperatörer till företag inom telekom, it-tjänster, marknadsdata och affärsprogramvara. Utseendet tar inte bort någon skyldighet från den finansiella entiteten: den har fortfarande kvar registret, avtalsvillkoren och en exitstrategi för var och en av dessa leverantörer.

08Vad en IKT-leverantör bör ha klart

De flesta leverantörer till finansiella entiteter kommer aldrig att utses till kritiska, men alla möter Dora genom avtal, due diligence och revisioner. En leverantör som har följande på plats kortar upphandlingen och gör kundens dialog med Finansinspektionen enklare:

• Registeruppgifter. Det som kunden behöver för sitt informationsregister: juridisk person och identifierare, de tjänster som levereras och de funktioner de stöder, platser och underleverantörerna i kedjan.
• Avtalsvillkor som motsvarar artikel 30. Helst ett standardtillägg för Dora som täcker båda listorna, i stället för att förhandla varje klausul från början.
• Underlag vid incidenter. Övervakning, loggar med tillförlitliga tidsstämplar och en rutin för underrättelser som låter kunden klassificera och rapportera inom några timmar.
• Testad kontinuitet. Beredskapsplaner och återställningstester, med datum och resultat.
• Säkerhet som går att visa. Standarder för informationssäkerhet, åtkomstkontroll, en säker utvecklingsprocess och hantering av sårbarheter, med oberoende underlag där det går.
• Beredskap för revision och tester. Ett fungerande sätt att ta emot revisioner och inspektioner och att delta i TLPT, inklusive gemensamma tester där det passar.
• En exitplan. Återlämnande av data i användbara format, dokumentation och stöd vid övergången under en överenskommen period.

Så arbetar vi som IKT-leverantör till finansiella entiteter: vi kommer överens om de avtalsvillkor som Dora kräver, underrättar om incidenter i den överenskomna kanalen, dokumenterar exitplaner, deltar i tester av motståndskraften och lämnar de uppgifter som ditt register behöver. Vår sida om förtroende och regelefterlevnad beskriver hur vi arbetar, bland annat med vårt ledningssystem för informationssäkerhet, certifierat enligt ISO/IEC 27001.

09En praktisk plan för båda parter

1. 01Gör registret komplett. Koppla varje IKT-avtal till de funktioner det stöder och markera de kritiska eller viktiga.
2. 02Täpp till luckorna i avtalen. Jämför varje avtal med artikel 30 och kom överens om ett tillägg där villkor saknas.
3. 03Samordna incidenthanteringen. Kom överens om underlag för klassificering, kontakter och tider för underrättelse med varje kritisk leverantör, och testa dem.
4. 04Planera tester med leverantörerna. Ta med dem i testprogrammet och, där det är relevant, när omfånget för ett TLPT bestäms.
5. 05Skriv och testa exitstrategier. För varje kritisk eller viktig funktion: alternativ, återlämnande av data och övergångsperiod.
6. 06Bevaka koncentrationen. Flera kritiska funktioner hos samma leverantör är en risk som ska dokumenteras och hanteras (artikel 29).

10Finansinspektionen och svensk lag

Dora är samma text i hela EU, men tillsynen över de flesta finansiella entiteter är nationell. I Sverige kompletteras förordningen av lag (2024:1278) med kompletterande bestämmelser till EU:s förordning om digital operativ motståndskraft för finanssektorn. Finansinspektionen är behörig myndighet enligt Dora och har tillsyn över att de finansiella entiteterna följer reglerna. Finansinspektionen informerar Riksbanken om allvarliga IKT-relaterade incidenter och beslutar vilka entiteter som ska genomföra hotbildsstyrda penetrationstester, som Riksbanken övervakar. Format och kanal för informationsregistret och för incidentrapporterna bestäms på nationell nivå: följ Finansinspektionens vägledning.

11Att bevaka de kommande månaderna

• Finansinspektionens prioriteringar och iakttagelser i tillsynen av informationsregistret och incidentrapporteringen.
• De ledande tillsynsmyndigheternas övervakning av kritiska IKT-tredjepartsleverantörer, och rekommendationer som rör tjänster du använder.
• Kommissionens förslag till ett digitalt omnibuspaket (öppnar en extern webbplats), COM(2025) 837, som skulle leda rapporterna om allvarliga incidenter enligt Dora genom en gemensam ingång som drivs av Enisa. I oktober 2026 låg det fortfarande hos Europaparlamentet; tills det har antagits och börjar gälla gäller nuvarande kanaler och tidsfrister.

Organisationer utanför finanssektorn har liknande skyldigheter för leverantörskedjan enligt cybersäkerhetslagen och NIS 2; läs vår artikel om cybersäkerhetslagen, NIS 2 och it-leverantörer. De europeiska tillsynsmyndigheterna har en översikt över de tekniska standarderna och övervakningsramverket på sina sidor om Dora (öppnar en extern webbplats).