DORA — förordning (EU) 2022/2554 — ålägger samtliga finansiella entiteter i EU ett gemensamt ramverk för digital operativ motståndskraft, tillämpligt sedan den 17 januari 2025. Förordningen vilar på fem pelare: IKT-riskhantering, incidentrapportering, testning av motståndskraft, hantering av tredjepartsrisk och informationsdelning. I Sverige är Finansinspektionen behörig myndighet, och det yttersta ansvaret ligger hos ledningsorganet — inte hos IT-avdelningen.
Den här guiden vänder sig till dig som ansvarar för regelefterlevnad i ett kreditinstitut, värdepappersföretag, betalningsinstitut, försäkringsbolag eller fondbolag. Den går igenom vad DORA kräver artikel för artikel, vad Finansinspektionen förväntar sig och var kraven överlappar det GDPR-arbete som redan är gjort.
Viktigaste punkterna
- DORA är en förordning: den gäller direkt, utan svensk införlivandelag, sedan den 17 januari 2025 (art. 64).
- Ett tjugotal kategorier av finansiella entiteter omfattas (art. 2), inklusive kryptotillgångsleverantörer.
- Ledningsorganet bär det yttersta ansvaret för ramverket för IKT-riskhantering (art. 5.2) — ett styrningskrav, inte ett tekniskt krav.
- Informationsregistret enligt art. 28.3 följer bindande mallar i kommissionens genomförandeförordning (EU) 2024/2956.
- Allvarliga incidenter: första underrättelse inom 4 timmar från klassificeringen och senast 24 timmar från upptäckt, delrapport inom 72 timmar, slutrapport inom en månad.
Vilka omfattas av DORA?
Artikel 2 räknar upp de entiteter som omfattas, och listan är avsiktligt bred: kreditinstitut, betalnings- och e-penninginstitut, värdepappersföretag, fondbolag och AIF-förvaltare, försäkrings- och återförsäkringsföretag, tjänstepensionsinstitut, kreditvärderingsinstitut, kryptotillgångsleverantörer, värdepapperscentraler, centrala motparter och handelsplatser. Till detta kommer IKT-tredjepartsleverantörerna, som hamnar under direkt tillsyn först när de utpekas som kritiska.
Artikel 2.3 undantar en begränsad krets, bland annat försäkringsförmedlare som är mikroföretag eller små företag. Artikel 16 innehåller ett förenklat ramverk för IKT-riskhantering som gäller små och icke-sammanlänkade värdepappersföretag samt små betalnings-, e-penning- och tjänstepensionsinstitut. Förenklat är inte detsamma som undantaget: informationsregistret, incidentrapporteringen och styrningskraven gäller ändå.
Står ni under Finansinspektionens tillsyn är utgångspunkten att DORA gäller — bevisbördan för motsatsen är er.
Vilka är DORA:s fem pelare?
| Pelare | Artiklar | Kärnkrav |
|---|---|---|
| IKT-riskhantering | 5–16 | Dokumenterat ramverk, godkänt och årligen granskat av ledningsorganet |
| Incidenthantering och rapportering | 17–23 | Klassificera incidenter och rapportera allvarliga till FI |
| Testning av digital motståndskraft | 24–27 | Årligt testprogram; TLPT för de mest betydande entiteterna |
| Hantering av tredjepartsrisk | 28–44 | Informationsregister, obligatoriska avtalsvillkor, exitstrategier |
| Informationsdelning | 45 | Frivilliga arrangemang för utbyte om cyberhot |
IKT-riskhantering. Artikel 6 kräver ett dokumenterat ramverk som granskas minst en gång per år och därutöver efter allvarliga incidenter. Artiklarna 7–15 anger beståndsdelarna: identifiering av funktioner och tillgångar, skydd, upptäckt av avvikande aktivitet, respons och återställning, säkerhetskopiering samt kriskommunikation.
Incidenter. Artikel 18 kräver klassificering enligt fasta kriterier — berörda kunder, varaktighet, geografisk spridning, dataförlust, de drabbade tjänsternas kritikalitet och ekonomisk påverkan. Väsentlighetströsklarna finns i kommissionens delegerade förordning (EU) 2024/1772; innehåll och tidsfrister för rapporterna i delegerad förordning (EU) 2025/301.
Testning. Artikel 24 kräver ett testprogram som står i proportion till riskprofilen; system som stödjer kritiska eller viktiga funktioner testas minst årligen. Entiteter som myndigheten pekar ut som betydande omfattas dessutom av hotbildsbaserad penetrationstestning (TLPT) minst vart tredje år (art. 26–27).
Tredjepartsrisk. Den mest arbetskrävande pelaren. Utöver informationsregistret anger artikel 30 vilka villkor varje IKT-avtal måste innehålla, artikel 28.8 kräver exitstrategier för kritiska funktioner och artikel 29 en förhandsbedömning av koncentrationsrisk. Informationsdelningen i artikel 45 är den enda frivilliga pelaren.
Vem utövar tillsyn över DORA i Sverige?
Till skillnad från flera andra medlemsstater har Sverige en enda behörig myndighet: Finansinspektionen. FI tar emot rapporter om allvarliga IKT-incidenter, begär in informationsregistret, granskar ramverket för IKT-riskhantering och pekar ut vilka entiteter som ska genomföra TLPT. Det innebär i praktiken att DORA-efterlevnaden prövas inom ramen för FI:s löpande tillsyn och inte som ett separat spår.
Över den nationella nivån ligger de europeiska tillsynsmyndigheterna — EBA, Esma och Eiopa — som utpekar kritiska IKT-tredjepartsleverantörer och utövar direkt tillsyn över dem genom en ledande tillsynsmyndighet (art. 31–44). Utpekandet bygger på de informationsregister som de finansiella entiteterna lämnar in.
Vad kräver DORA av ledningsorganet?
Artikel 5.2 är den bestämmelse som oftast förbises och som snabbast ger en anmärkning vid tillsyn. Ledningsorganet ska godkänna ramverket för IKT-riskhantering, övervaka genomförandet, godkänna och se över policyn för avtal med tredjepartsleverantörer, fastställa risktoleransen, avsätta budget och besluta om revisions- och kontinuitetsplaner. Artikel 5.4 lägger till en personlig skyldighet: ledamöterna ska hålla sina kunskaper om IKT-risk aktuella genom regelbunden utbildning.
Översatt till dokumentation betyder det daterade styrelseprotokoll, återkommande IKT-riskrapportering till styrelsen, utbildningsloggar och en skriftlig delegation som inte urholkar det yttersta ansvaret. En entitet som bara kan visa upp ett tekniskt dokument signerat av IT-chefen uppfyller inte artikel 5. Logiken är densamma som för dataskyddsombudet: funktionen arbetar, men ansvaret stannar högst upp.
Tidslinje: vad som gäller sedan januari 2025
| Datum | Milstolpe |
|---|---|
| 27 december 2022 | Publicering i EUT |
| 16 januari 2023 | Ikraftträdande |
| 2024 | Antagande av tekniska standarder för tillsyn och genomförande |
| 17 januari 2025 | Full tillämpning — samtliga skyldigheter gäller |
Någon övergångsperiod finns inte. Sedan den 17 januari 2025 är en entitet utan informationsregister, utan ett av ledningsorganet godkänt ramverk eller utan incidentrutin i strid med förordningen. Att arbetet “pågår” är ingen invändning.
Hur förhåller sig DORA till NIS2 och GDPR?
Mot NIS2 är förhållandet löst: DORA är speciallagstiftning för finanssektorn, och finansiella entiteter uppfyller sina risk- och rapporteringskrav genom DORA i stället för genom cybersäkerhetslagen. Det gäller dock bara de reglerade entiteterna — har koncernen verksamhet utanför finanssektorn kan NIS2-kraven träffa de bolagen separat.
Mot GDPR är överlappningen partiell, och att blanda ihop regelverken kostar tid. Säkerhetsåtgärderna i artikel 32 GDPR och IKT-ramverket i DORA artiklarna 6–15 täcker samma tekniska mark och bör dokumenteras en gång. De leverantörer som är personuppgiftsbiträden är dessutom nästan alltid IKT-tredjepartsleverantörer. Men biträdesavtalen enligt artikel 28 innehåller inte DORA:s obligatoriska avtalsvillkor enligt artikel 30, och registerförteckningen enligt artikel 30 GDPR ersätter inte informationsregistret. Var uppgifterna lagras och behandlas ska anges i båda dokumenten, men med olika detaljeringsgrad — informationsregistret vill ha land för lagring och land för förvaltning, medan GDPR-dokumentationen fokuserar på tredjelandsöverföringar och skyddsåtgärder.
Rapporteringsplikterna är kumulativa. Ett ransomwareangrepp som krypterar kunduppgifter utlöser både en anmälan av personuppgiftsincident till IMY inom 72 timmar (art. 33 GDPR) och en rapport om allvarlig IKT-incident till Finansinspektionen inom 24 timmar (art. 19 DORA) — olika mottagare, olika frister, olika formulär. Öva scenariot innan det inträffar, och känn IMY:s praxis lika väl som FI:s.
Vanliga misstag
- Att börja för sent med informationsregistret. Det är den skyldighet som tar längst tid och den enda som ska lämnas in i ett bindande format.
- Att behandla DORA som en IT-fråga. Utan dokumenterat godkännande i ledningsorganet saknas efterlevnad av artikel 5, hur bra det tekniska underlaget än är.
- Att stanna vid den direkta leverantören. Underleverantörskedjan för kritiska funktioner ska kartläggas och dokumenteras.
- Att aldrig testa incidentrutinen. Fyratimmarsfristen från klassificering är kort; en rutin som inte har prövats håller sällan under verklig tidspress.
- Att dokumentera samma leverantör tre gånger. Utan gemensam leverantörsbas byggs separata register för GDPR, DORA och koncernens övriga krav, vilket ger motstridiga uppgifter vid granskning.
Var börjar man?
Den ordning som fungerar: kartlägg samtliga IKT-leverantörer och bygg informationsregistret; formalisera ramverket för IKT-riskhantering och lägg det för godkännande i ledningsorganet; sätt upp arbetsflödet för incidentklassificering och rapportering; planera testcyklerna; och samordna sist med befintlig GDPR-dokumentation. Att börja med registret är inte godtyckligt — det är den mest tidskrävande skyldigheten och den tillsynen frågar efter först.
Kalkylark håller ett kvartal och därefter inte. Att samla leverantörer, säkerhetsåtgärder och styrningsbevis på ett ställe är precis vad en DORA-programvara för svenska finansföretag gör: vinsten ligger inte i den första uppbyggnaden utan i underhållskostnaden, och det är där DORA-efterlevnaden faktiskt brister.
Vanliga frågor
Gäller DORA för små finansiella entiteter?
Ja, med lättnader. Artikel 16 ger ett förenklat ramverk för IKT-riskhantering till små och icke-sammanlänkade värdepappersföretag samt små betalnings-, e-penning- och tjänstepensionsinstitut. Informationsregistret, incidentrapporteringen och ledningsorganets ansvar gäller fullt ut.
Krävs en svensk lag för att DORA ska gälla?
Nej. DORA är en förordning och gäller direkt sedan den 17 januari 2025. Nationell lagstiftning pekar ut Finansinspektionen som behörig myndighet och reglerar ingripanden och sanktioner.
Måste en incident rapporteras både till FI och till IMY?
Om den rör personuppgifter och uppfyller kriterierna i båda regelverken, ja. Det är två separata förfaranden: 24 timmar till Finansinspektionen enligt artikel 19 DORA, 72 timmar till IMY enligt artikel 33 GDPR.
Vad är TLPT och vilka omfattas?
Hotbildsbaserad penetrationstestning enligt artiklarna 26–27, som utförs på produktionsmiljöer med utgångspunkt i verkliga hotaktörers metoder. Endast entiteter som den behöriga myndigheten pekar ut omfattas, och testet ska genomföras minst vart tredje år.
Slutsats
DORA har gjort digital operativ motståndskraft till ett bindande och kontrollerbart krav för hela den svenska finanssektorn. De fem pelarna hänger ihop: informationsregistret matar tredjepartsriskhanteringen, riskramverket avgör vad som ska testas, och testerna avslöjar vilka scenarier incidentrutinen måste täcka. Det första tillsynen bedömer är inte tekniskt — det är om ledningsorganet har godkänt, granskat och förstått det man skrivit under.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial