DORA:n ICT-riskienhallinnan viitekehys 2026: 5–15 art.

DORA:n 5–15 artikla velvoittaa finanssitoimijan ylläpitämään kirjallista ICT-riskienhallinnan viitekehystä, jonka ylin hallintoelin hyväksyy ja jonka toteutumista se valvoo – vastuuta ei voi siirtää ICT-johdolle eikä ulkoistaa palveluntarjoajalle.

Viitekehys ei ole yksi dokumentti vaan yhdeksän toisiinsa kytkeytyvää velvoitetta: hallinto, riskienhallinnan kehys, järjestelmät ja työkalut, tunnistaminen, suojaus ja ennaltaehkäisy, havainnointi, reagointi ja palautuminen, varmuuskopiointi, oppiminen ja viestintä. Tämä artikkeli käy ne läpi artikla kerrallaan ja kertoo, mitä Finanssivalvonta käytännössä pyytää nähtäväkseen. Kohderyhmä: pankkien, vakuutusyhtiöiden ja sijoituspalveluyritysten riskienhallinnasta, tietoturvasta ja compliancesta vastaavat.

Keskeiset kohdat

• 5 artikla asettaa vastuun nimenomaisesti ylimmälle hallintoelimelle: hallitus hyväksyy, valvoo ja vastaa – ja sen jäsenten on ylläpidettävä riittävää ICT-riskiosaamista.
• 6 artikla vaatii dokumentoidun viitekehyksen, joka tarkistetaan vähintään kerran vuodessa ja aina merkittävän poikkeaman jälkeen.
• 8–11 artikla muodostavat elinkaaren: tunnista, suojaa, havaitse, reagoi ja palaudu. Jokaisesta vaiheesta on oltava kirjallinen menettely.
• 12 artikla edellyttää varmuuskopiointipolitiikan sekä palautus- ja toipumismenettelyt; kriittisten toimintojen palautumistavoitteet on määriteltävä.
• 16 artikla sallii tietyille pienille toimijoille kevennetyn viitekehyksen, mutta ei vapauta dokumentointivelvollisuudesta.

Kuka vastaa? Hallituksen rooli 5 artiklan mukaan

DORA:n suurin muutos suomalaisen finanssitoimijan arjessa ei ole tekninen vaan hallinnollinen. Asetuksen (EU) 2022/2554 5 artiklan mukaan ylin hallintoelin – käytännössä hallitus – määrittelee, hyväksyy, valvoo ja vastaa ICT-riskienhallinnan viitekehyksen toteutuksesta. Artikla luettelee nimenomaisesti, että hallitus muun muassa asettaa roolit ja vastuut kaikille ICT-toiminnoille, hyväksyy digitaalisen häiriönsietokyvyn strategian, hyväksyy ICT-palveluntarjoajien käyttöä koskevat linjaukset, määrittää riskinsietotason ja hyväksyy tarkastussuunnitelmat.

Vielä terävämpi kohta on 5 artiklan 4 kohta: hallituksen jäsenten on aktiivisesti ylläpidettävä riittävää tietämystä ICT-riskeistä ja osallistuttava säännölliseen koulutukseen. Suomessa Finanssivalvonta tarkastelee tätä konkreettisesti – koulutuspöytäkirjat, hallituksen esityslistat ja päätöspöytäkirjat ovat aitoa näyttöä. Kansallisen valvonnan yleiskuva on artikkelissa DORA Suomessa.

Käytännön testi on yksinkertainen: jos hallituksen pöytäkirjoista ei löydy päätöstä, jolla ICT-riskienhallinnan viitekehys on hyväksytty, viitekehystä ei DORA:n mielessä ole olemassa – riippumatta siitä, kuinka hyvä dokumentti on.

Mitä viitekehykseen kuuluu? (6 artikla)

Kuudes artikla määrittää viitekehyksen sisällön. Sen on oltava kirjallinen, katettava strategiat, politiikat, menettelyt, ICT-protokollat ja työkalut, ja se on tarkistettava vähintään kerran vuodessa sekä aina merkittävän ICT-poikkeaman jälkeen tai valvojan havaintojen perusteella. Viitekehyksen on myös oltava sisäisen tarkastuksen kohteena säännöllisesti, ja tarkastajilla on oltava riittävä ICT-osaaminen.

Artikla	Velvoite	Käytännön tuotos
5 art.	Hallinto ja organisaatio	Hallituksen hyväksyntäpäätös, roolit ja vastuut, koulutusnäyttö
6 art.	ICT-riskienhallinnan viitekehys	Kirjallinen kehys, vuosittainen katselmointi, sisäinen tarkastus
7 art.	ICT-järjestelmät, protokollat ja työkalut	Kapasiteetti- ja luotettavuusvaatimukset, teknologiavalinnat
8 art.	Tunnistaminen	Toimintojen, tietovarantojen ja riippuvuuksien luettelo
9 art.	Suojaus ja ennaltaehkäisy	Pääsynhallinta, salaus, verkkojen erottelu, muutoshallinta
10 art.	Havainnointi	Valvonta, hälytyskynnykset, poikkeavuuksien tunnistaminen
11 art.	Reagointi ja palautuminen	Jatkuvuussuunnitelma, palautumissuunnitelmat, testaus
12 art.	Varmuuskopiointi ja palautus	Varmuuskopiopolitiikka, erillinen ympäristö, palautustestit
13 art.	Oppiminen ja kehittyminen	Jälkiarvioinnit, uhkatiedon hyödyntäminen, koulutusohjelma
14 art.	Viestintä	Kriisiviestintäsuunnitelma, nimetty tiedottaja

Tunnistaminen, suojaus ja havainnointi (8–10 art.)

Tunnistaminen (8 art.) on koko kehyksen perusta. Toimijan on tunnistettava ja dokumentoitava kaikki ICT-tuetut liiketoimintatoiminnot, roolit ja vastuut, niitä tukevat tietovarannot ja ICT-varannot sekä näiden väliset riippuvuudet. Luettelo on päivitettävä säännöllisesti ja aina merkittävän muutoksen yhteydessä. Tämä työ tuottaa myös raaka-aineen DORA-tietorekisterille, joka luetteloi ICT-palveluntarjoajien kanssa tehdyt sopimukset.

Tunnistamisen työmäärää aliarvioidaan järjestelmällisesti. Se muistuttaa rakenteeltaan GDPR:n käsittelytoimien selostetta: molemmissa kartoitetaan, mitä tietoa on, missä se on ja kuka sitä käsittelee. Jos ROPA on jo tehty kunnolla, DORA:n 8 artiklan kartoitus kannattaa rakentaa sen päälle eikä rinnalle.

Suojaus ja ennaltaehkäisy (9 art.) kattaa tekniset ja organisatoriset kontrollit: tietoturvapolitiikat, pääsynhallinnan vähimmän oikeuden periaatteella, vahvan tunnistautumisen, salauksen levossa ja siirrossa, verkkojen segmentoinnin, muutoshallinnan ja haavoittuvuuksien hallinnan. Vaatimustaso on korkeampi kuin GDPR:n 32 artiklassa, koska DORA edellyttää nimenomaisia menettelyjä eikä pelkkää “asianmukaista tasoa”. Käytännössä sama kontrollikanta palvelee molempia sääntelyjä, ja sisäänrakennettu tietosuoja tukee suoraan 9 artiklan vaatimuksia.

Havainnointi (10 art.) vaatii mekanismit poikkeavan toiminnan havaitsemiseksi, mukaan lukien ICT-verkon suorituskyvyn valvonta ja hälytyskynnykset, joiden perusteella poikkeamien havaitseminen ja reagointi käynnistyvät. Havainnointikyky on suoraan yhteydessä poikkeamien ilmoittamiseen: jos et havaitse, et voi ilmoittaa 4 tunnin määräajassa. Ilmoitusprosessi on kuvattu artikkelissa DORA-poikkeamailmoitukset ja määräajat.

Reagointi, palautuminen ja varmuuskopiot (11–12 art.)

11 artikla edellyttää ICT-liiketoiminnan jatkuvuuspolitiikkaa sekä reagointi- ja palautumissuunnitelmia, jotka testataan vähintään vuosittain. Kriittisten tai tärkeiden toimintojen osalta suunnitelmien on katettava myös vakavat mutta uskottavat skenaariot – kyberhyökkäys, palveluntarjoajan konkurssi, konesalin menetys. Toimija ei saa nojata pelkästään palveluntarjoajan omiin jatkuvuusjärjestelyihin.

12 artikla on varmuuskopioinnin ja palautuksen artikla. Se vaatii varmuuskopiointipolitiikan, jossa määritellään varmuuskopioinnin laajuus ja tiheys tietojen kriittisyyden perusteella, sekä palautus- ja toipumismenettelyt. Olennainen yksityiskohta: varmuuskopiojärjestelmien on oltava loogisesti ja fyysisesti erotettuja tuotantojärjestelmistä, jotta kiristyshaittaohjelma ei tuhoa molempia. Palautuksen onnistuminen on testattava, ei oletettava. Tämä on yksi tavallisimmista havainnoista, joita olen nähnyt tarkastuksissa: varmuuskopiot otetaan, mutta palautusta ei ole koskaan ajettu läpi tuotantoa vastaavalla laajuudella.

Varmuuskopiopolitiikan on myös sovitettava yhteen tietosuojan kanssa. Henkilötietojen säilytysajan rajoittaminen koskee myös varmuuskopioita, ja poistopyyntöjen käsittely varmuuskopioista on ratkaistava etukäteen politiikassa, ei tapauskohtaisesti.

Oppiminen ja viestintä (13–14 art.)

13 artikla velvoittaa keräämään tietoa haavoittuvuuksista, kyberuhkista ja poikkeamista, tekemään merkittävistä poikkeamista jälkiarvioinnin ja syöttämään havainnot takaisin riskiarviointiin. Lisäksi henkilöstölle ja ylimmälle johdolle on järjestettävä säännöllistä tietoturvatietoisuuden koulutusta. Jälkiarviointi ei ole vapaaehtoinen laadunparannustoimi vaan asetuksen velvoite, ja sen tulokset on raportoitava toimivaltaiselle viranomaiselle pyynnöstä.

14 artikla vaatii kriisiviestintäsuunnitelmat, joilla merkittävistä poikkeamista viestitään asiakkaille, vastapuolille ja yleisölle. Vähintään yksi henkilö on nimettävä vastaamaan viestinnän toteuttamisesta. Kun poikkeama koskee henkilötietoja, viestintä kytkeytyy suoraan GDPR:n 34 artiklan velvoitteeseen ilmoittaa rekisteröidyille – ks. tietoturvaloukkauksen ilmoittaminen ja regimien yhteensovittaminen artikkelissa häiriöilmoitukset: DORA, NIS2 ja GDPR.

Kevennetty viitekehys ja suhteellisuus (16 art.)

DORA noudattaa suhteellisuusperiaatetta. 16 artikla sallii tietyille pienille ja yhteenliittymättömille sijoituspalveluyrityksille, pienille maksulaitoksille, pienille ammatillisia lisäeläkkeitä tarjoaville laitoksille ja eräille muille toimijoille yksinkertaistetun ICT-riskienhallinnan viitekehyksen. Kevennys ei kuitenkaan poista velvoitetta dokumentoida kehys, valvoa ICT-järjestelmiä, hallita poikkeamia, varmistaa jatkuvuus ja hallita kolmannen osapuolen riskiä. Se keventää yksityiskohtaisuutta, ei rakennetta.

Kaikkien muiden – pankit mukaan lukien – on sovellettava täyttä 5–15 artiklan kehystä. Pankkikohtainen tiekartta ja Finanssivalvonnan odotukset on käyty läpi artikkelissa DORA pankeille. Sääntelyjen välinen rajanveto puolestaan artikkelissa DORA vs NIS2.

Viitekehyksen ylläpito – vuosikatselmoinnit, kontrollikartta, poikkeamahistoria ja näyttöaineisto – on työtä, joka kannattaa teollistaa yhteen järjestelmään sen sijaan, että se hajautuu Exceleihin. Vaihtoehdot on vertailtu artikkelissa paras DORA-ohjelmisto.

Usein kysytyt kysymykset

Kuinka usein ICT-riskienhallinnan viitekehys on päivitettävä?

Vähintään kerran vuodessa (6 art.), lisäksi aina merkittävän ICT-poikkeaman jälkeen, häiriönsietokykytestien tulosten perusteella ja valvojan havaintojen perusteella. Päivityksestä on jäätävä dokumentoitu jälki.

Voiko ICT-riskienhallinnan ulkoistaa palveluntarjoajalle?

Toteutuksen voi ulkoistaa, vastuun ei. DORA:n lähtökohta on, että vastuu digitaalisesta häiriönsietokyvystä säilyy finanssitoimijalla riippumatta siitä, kuka palvelun teknisesti tuottaa.

Riittääkö ISO 27001 -sertifikaatti DORA:n vaatimuksiin?

Ei sellaisenaan. ISO 27001 kattaa suuren osan 9 artiklan kontrolleista, mutta ei hallinnon vastuuta (5 art.), poikkeamien luokittelua ja raportointia (17–19 art.), tietorekisteriä (28 art.) eikä uhkaperusteista testausta (26 art.). Se on hyvä pohja, ei vastaus.

Mitä eroa on DORA:n 9 artiklalla ja GDPR:n 32 artiklalla?

Molemmat vaativat asianmukaista tietoturvaa, mutta GDPR suojaa henkilötietoja ja rekisteröityjen oikeuksia, DORA taas toiminnan jatkuvuutta ja rahoitusjärjestelmän vakautta. DORA on selvästi yksityiskohtaisempi ja nimeää konkreettisia menettelyjä.

Koskeeko 5 artiklan koulutusvelvoite koko hallitusta?

Kyllä. Velvoite ylläpitää riittävää ICT-riskiosaamista koskee ylimmän hallintoelimen jäseniä, ei vain ICT-vastuullista jäsentä. Koulutuksesta on syytä pitää kirjaa.

Yhteenveto

DORA:n 5–15 artikla muodostaa yhden ehyen kokonaisuuden: hallitus omistaa viitekehyksen, kehys dokumentoidaan ja katselmoidaan vuosittain, ja sen alla kulkee elinkaari tunnistamisesta suojaukseen, havainnointiin, reagointiin, palautumiseen ja oppimiseen. Suurimmat käytännön puutteet ovat hallituksen näytön ohuus, 8 artiklan kartoituksen keskeneräisyys ja testaamattomat palautusmenettelyt. Aloita hallituksen hyväksyntäpäätöksestä ja toimintokartoituksesta – muu rakentuu niiden päälle. Asetuksen teksti: DORA EUR-Lexissä.

Viimeksi tarkistettu: heinäkuu 2026.