DORA:s fem pelare
| Pelare | Innebörd |
|---|---|
| IKT-riskhantering | Ett dokumenterat ramverk med styrning, skydd, upptäckt, återställning och lärande – godkänt av ledningsorganet |
| Incidenthantering och rapportering | Klassificering av IKT-relaterade incidenter och rapportering till behörig myndighet enligt fasta frister |
| Testning av digital motståndskraft | Regelbunden testning; de största aktörerna ska genomföra hotbildsstyrda penetrationstester (TLPT) |
| Tredjepartsrisk | Register över alla avtal om IKT-tjänster, obligatoriska avtalsvillkor och exitstrategier |
| Informationsdelning | Frivilligt utbyte av underrättelser om cyberhot mellan finansiella entiteter |
Backup- och återställningskraven i artikel 12
DORA är ovanligt konkret jämfört med andra regelverk. Artikel 12 kräver policyer och rutiner för säkerhetskopiering samt metoder för återställning, och pekar ut ett antal saker som inte är valfria:
- Backupomfattning och frekvens ska sättas utifrån hur kritisk informationen är och hur känslig verksamheten är för avbrott.
- Backupsystemen ska vara fysiskt och logiskt åtskilda från källsystemen.
- Återställning från backup får inte äventyra säkerheten i produktionsmiljön eller leda till dataförlust eller integritetsbrott.
- Återställningstester ska genomföras regelbundet och periodvis i en isolerad testmiljö.
- Kritiska funktioner ska ha redundanta IKT-resurser med tillräcklig kapacitet.
Incidentrapportering enligt DORA
Allvarliga IKT-relaterade incidenter rapporteras till behörig myndighet – i Sverige Finansinspektionen – i tre steg: en inledande anmälan, en delrapport och en slutrapport. Klassificeringen bygger på tekniska tillsynsstandarder med kriterier som antal berörda kunder, varaktighet, geografisk spridning, dataförlust och ekonomisk påverkan.
Skillnaden mot NIS2 är att DORA också täcker allvarliga betalningsrelaterade driftincidenter, även när de inte har en cyberorsak.
Tredjepartsrisk – där de flesta fastnar
Finansiella entiteter ska föra ett informationsregister över samtliga avtal om IKT-tjänster och rapportera in det till tillsynsmyndigheten. Avtalen ska innehålla bestämda villkor: tillgång, inspektion och revision, dataplacering, tjänstenivåer med kvantitativa mål, uppsägningsrätt och stöd vid exit.
Använder ni en molnbackuptjänst är den ett IKT-tjänsteavtal som ska in i registret. Är den dessutom kritisk för en kritisk eller viktig funktion gäller de striktare avtalskraven, inklusive en dokumenterad exitplan som visar hur ni får ut era data om leverantören försvinner.
DORA, NIS2 och lex specialis
DORA är lex specialis i förhållande till NIS2 för finanssektorn. En bank som omfattas av DORA följer DORA:s krav på IKT-riskhantering och incidentrapportering i stället för NIS2:s motsvarande bestämmelser. Övriga delar av NIS2-ramverket, som medlemsstaternas tillsynsstruktur, kan fortfarande beröra verksamheten.
Vanliga frågor
När började DORA gälla?
DORA (EU) 2022/2554 tillämpas sedan den 17 januari 2025.
Vilka omfattas av DORA?
Ett tjugotal kategorier av finansiella entiteter – banker, försäkringsbolag, betalningsinstitut, värdepappersbolag, fondbolag, kryptotillhandahållare och fler – samt kritiska IKT-tredjepartsleverantörer till dessa.
Kräver DORA att backupen ligger åtskild?
Ja. Artikel 12 kräver att backupsystemen är fysiskt och logiskt åtskilda från källsystemen, och att återställning testas regelbundet, periodvis i en isolerad miljö.
Måste vi rapportera vår molnbackupleverantör?
Ja, avtal om IKT-tjänster ska in i informationsregistret som rapporteras till tillsynsmyndigheten, och avtalet behöver innehålla DORA:s obligatoriska villkor.