Vad är DORA?
DORA är EU:s förordning om digital operativ motståndskraft för finanssektorn, som tillämpas sedan den 17 januari 2025.
Förordning (EU) 2022/2554 gäller bland annat banker, försäkringsbolag, värdepappersbolag och betalningsinstitut. Den samlar krav på hantering av IKT-risker, rapportering av incidenter, tester av motståndskraften och styrning av IKT-tjänster från tredje part.
Det finansiella företaget förblir fullt ansvarigt även när en tjänst köps in. Alla avtal om IKT-tjänster ska föras in i ett informationsregister, och för tjänster som stöder kritiska eller viktiga funktioner krävs bland annat en exitstrategi.
Som förordning gäller DORA direkt i alla medlemsländer. I Sverige ska informationsregistret enligt Finansinspektionens föreskrifter rapporteras senast den 28 februari varje år.
Så fungerar det
DORA vilar på några huvudområden. Företaget ska ha ett ramverk för IKT-risker, rapportera allvarliga incidenter, testa sin motståndskraft och styra sina IKT-leverantörer. För vissa större företag krävs dessutom avancerade tester som efterliknar verkliga angrepp.
De europeiska tillsynsmyndigheterna har också pekat ut kritiska IKT-leverantörer som står under direkt tillsyn på EU-nivå. Det rör stora leverantörer som många finansiella företag är beroende av.
Därför spelar det roll
Många finansiella företag använder samma leverantörer av molntjänster och programvara. Om en av dem slutar fungera kan många drabbas samtidigt. DORA ska se till att varje företag känner till sina beroenden och kan hantera ett avbrott.
Att tänka på
Tänk på hela kedjan. En AI-tjänst kan bygga på en modell från en part och driftas hos en annan, och underleverantörer som stöder kritiska eller viktiga funktioner ska framgå av registret.
För finansiella företag som också omfattas av cybersäkerhetslagen är det DORA som i första hand gäller för IKT-riskerna. När AI-tjänsten behandlar personuppgifter tillkommer frågan om personuppgiftsbiträde.
Vad det betyder för er
Ett AI-verktyg från en extern leverantör är en IKT-tjänst som andra. Det hör hemma i registret och i bedömningen av koncentrationsrisk.
Vanliga frågor
Gäller DORA för AI-tjänster?
Ja, när de är IKT-tjänster som ett finansiellt företag köper in. Då gäller samma krav på avtal, register och uppföljning som för andra IKT-tjänster.
Vad är informationsregistret?
En förteckning över alla avtal om IKT-tjänster från tredje part. I Sverige rapporteras den till Finansinspektionen senast den 28 februari varje år.
Hur förhåller sig DORA till NIS2?
För de finansiella företag som omfattas gäller DORA i första hand för IKT-riskerna. Läs mer om NIS2.
Källor: Förordning (EU) 2022/2554 på EUR-LexFinansinspektionen om IT-risker och DoraFFFS 2024:20 hos Finansinspektionen
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad