DORA (Digital Operational Resilience Act) är EU:s förordning om digital operativ motståndskraft i finanssektorn och tillämpas sedan den 17 januari 2025. Syftet är att banker, försäkringsbolag, betalningsinstitut, värdepappersbolag och andra finansiella företag ska kunna motstå, hantera och återhämta sig från IT-störningar och cyberhot. I Sverige är det Finansinspektionen som har tillsyn.
DORA påverkar också leverantörerna, eftersom finansiella företag måste kunna visa att även deras IT-leverantörer håller måttet.
Checklista för DORA-efterlevnad
- Ramverk för IKT-risker. Ett dokumenterat ramverk för att identifiera, bedöma och hantera IT-risker, förankrat i ledningen.
- Styrning och ansvar. Ledningen har det yttersta ansvaret, och roller och befogenheter är tydliga.
- Incidenthantering. Rutiner för att upptäcka, klassificera och åtgärda IT-incidenter.
- Incidentrapportering. Allvarliga incidenter rapporteras till Finansinspektionen inom fastställda tidsgränser (se nedan).
- Testning. Regelbunden testning av systemen, till exempel sårbarhetsskanningar och penetrationstester. Vissa större företag ska även genomföra hotbildsbaserade penetrationstester (TLPT).
- Tredjepartsrisker. Avtal med IT-leverantörer som uppfyller DORA:s krav, inklusive en plan för att kunna byta leverantör.
- Informationsregister. Ett register över alla avtal med IT-leverantörer, som rapporteras till Finansinspektionen varje år.
- Utbildning. Personal och ledning utbildas i IT-säkerhet och digital motståndskraft.
Tidsgränser för rapportering av allvarliga IT-incidenter
- Första anmälan: inom 4 timmar från att incidenten klassificerats som allvarlig, och senast 24 timmar efter att den upptäcktes.
- Mellanrapport: inom 72 timmar efter den första anmälan.
- Slutrapport: senast en månad efter den senaste mellanrapporten.
Så arbetar Sweet Systems med DORA
Som leverantör till banker och försäkringsbolag ser vi det som vårt ansvar att göra det enkelt för våra kunder att leva upp till DORA.
- ISO 27001-certifierade sedan flera år. Vår informationssäkerhet granskas regelbundet enligt den internationella standarden.
- Dokumenterad incidenthantering. Vi har en inarbetad process för att dokumentera och hantera incidenter, och vi hjälper gärna kunder att införa samma arbetssätt.
- Regelbunden testning. Vi testar olika scenarier för att hitta risker och förbättringar, och anlitar en extern säkerhetspartner för sårbarhets- och penetrationstester.
- Krav på våra partners. Våra egna leverantörer ska hålla en hög säkerhetsnivå, och vi följer upp det löpande.
- Tydligt ansvar och ständig förbättring. Varje roll har definierade ansvarsområden, och vi ser regelbundet över våra rutiner.
Vanliga frågor om DORA
När började DORA gälla?
DORA tillämpas sedan den 17 januari 2025 i hela EU.
Vilka omfattas av DORA?
I princip alla finansiella företag, till exempel banker, försäkringsbolag, betalnings- och e-pengainstitut, värdepappersbolag och fondbolag. IT-leverantörer påverkas indirekt via kraven i kundernas avtal, och de mest kritiska leverantörerna står under direkt EU-tillsyn.
Vem har tillsyn i Sverige?
Finansinspektionen.
Vad är skillnaden mellan DORA och NIS2?
NIS2 gäller cybersäkerhet i många samhällsviktiga sektorer. DORA är särskilda regler för finanssektorn och gäller före NIS2 för finansiella företag.
Hur kan Sweet hjälpa till?
Vi är ISO 27001-certifierade, har dokumenterad incidenthantering och testar våra system regelbundet. Kontakta oss så berättar vi mer om hur vi stödjer ert DORA-arbete.
Kontakta oss
Vill du veta mer om hur Sweet Systems arbetar med DORA och andra regulatoriska krav? Kontakta oss, så berättar vi gärna. Sweet Systems AB | Drottninggatan 97, 113 60 Stockholm | Telefon +46 (0)8 23 08 30 | sweetsystems.se
Läs också: DORA: 5 viktiga aspekter för IT inom finanssektorn · Regtech-plattformen
