DORA står för Digital Operational Resilience Act. Det är EU:s regelverk för digital operativ motståndskraft i finanssektorn, och kallas på svenska DORA-förordningen. Kraven gäller sedan den 17 januari 2025.
Till skillnad från ett direktiv är DORA en EU-förordning. Det betyder att reglerna gäller direkt i alla medlemsstater utan att först behöva översättas till nationell lag — en viktig skillnad mot exempelvis NIS2, som varje land måste implementera själv.
Enkelt uttryckt betyder DORA att finansiella företag måste kunna förebygga, hantera, rapportera och återhämta sig från it-störningar och cyberincidenter. Det gäller både egna system och beroenden till leverantörer.
När började DORA gälla?
Här är datumen som är viktiga att hålla isär:
- DORA trädde i kraft den 16 januari 2023
- DORA började tillämpas den 17 januari 2025
Det betyder att företag som omfattas fick en förberedelsetid under 2023 och 2024, men att kraven gäller skarpt från 17 januari 2025.
Varför finns DORA?
Finanssektorn är starkt beroende av digitala system, molntjänster, nätverk, integrationsplattformar och externa IKT‑leverantörer.
När sådana beroenden brister kan effekten bli större än i många andra branscher. Ett driftstopp, en större cyberattack eller en leverantörsstörning kan snabbt påverka betalningar, handel, försäkringsprocesser eller marknadsinfrastruktur. Därför har EU valt att införa ett gemensamt och mer detaljerat regelverk för just finanssektorn.
Vilka omfattas av DORA?
DORA omfattar stora delar av den finansiella sektorn. Exempel på företag som omfattas är:
- banker och andra kreditinstitut
- betalningsinstitut och e‑pengainstitut
- kontoinformationstjänster
- värdepappersföretag och handelsplatser
- fondförvaltare och fondbolag
- försäkrings- och återförsäkringsbolag
- kreditvärderingsinstitut
- vissa crowdfunding- och kryptotjänsteaktörer
Det är alltså inte ett smalt regelverk för bara banker. DORA är brett inom finans, även om kraven ser lite olika ut beroende på verksamhetens storlek, riskprofil och typ av tjänster.
Gäller DORA även leverantörer?
Ja, men på två olika sätt.
För det första riktar sig DORA direkt till finansiella företag. Det är de som måste styra risker, skriva rätt avtal, följa upp leverantörer och ha kontroll över sina beroenden.
För det andra påverkas IKT‑leverantörer indirekt eftersom finansiella företag måste ställa tydligare krav på dem. Vissa kritiska IKT‑tredjepartsleverantörer kan dessutom bli föremål för särskild EU‑övervakning av de europeiska tillsynsmyndigheterna.
Om du vill fördjupa dig i leverantörsspåret kan du läsa mer i vår artikel om DORA-krav på ICT-leverantörer.
Vilka företag undantas eller får lättnader?
DORA gäller inte bokstavligen alla aktörer i finansvärlden. Förordningen innehåller vissa undantag.
Exempel på aktörer som uttryckligen undantas i regelverket är:
- vissa mycket små pensionsupplägg
- vissa undantagna investeringsverksamheter
- försäkringsförmedlare som är mikro-, små eller medelstora företag
Det finns också proportionalitet i regelverket. Vissa mindre eller särskilt definierade aktörer får använda ett förenklat IKT-riskhanteringsramverk i stället för att uppfylla hela den mer omfattande modellen. Det betyder dock inte att små aktörer kan ignorera DORA. Kraven blir enklare, men de försvinner inte.
Vad kräver DORA i praktiken?
DORA är ganska omfattande, men i praktiken kretsar det kring fem huvudområden.
1. IKT-riskhantering
Företaget ska ha ett tydligt ramverk för att identifiera, bedöma, hantera och följa upp IKT-risker.
Det innebär bland annat att ledningen måste vara involverad, att roller behöver vara tydliga och att företaget ska kunna visa hur det arbetar med skydd, övervakning, kontinuitet och återställning. Här hänger DORA tätt ihop med ett strukturerat arbete för riskbedömning.
2. Incidenthantering och rapportering
Företaget måste kunna upptäcka, klassificera och rapportera allvarliga IKT‑relaterade incidenter.
Enligt delegerad förordning (EU) 2025/301 är huvudfristerna:
- Initial anmälan: så tidigt som möjligt, inom fyra timmar efter klassificering som allvarlig och normalt senast 24 timmar efter kännedom. Om klassificeringen sker senare än 24 timmar efter kännedom gäller fyra timmar från klassificeringen.
- Mellanrapport: senast 72 timmar efter den initiala anmälan.
- Slutrapport: senast en månad efter mellanrapporten eller den senaste uppdaterade mellanrapporten.
Vissa undantag och uppdateringskrav gäller. Kontrollera även Finansinspektionens DORA-information och testa åtkomsten till rapporteringstjänsten i förväg.
3. Testning av digital operativ motståndskraft
Företag ska testa att deras skydd och beredskap faktiskt fungerar.
Det kan handla om sårbarhetstester, scenarioövningar, kontinuitetstester och i vissa fall mer avancerade tester som hotbaserade penetrationstester. Syftet är att hitta svagheter innan en verklig störning gör det åt er.
4. Hantering av IKT‑tredjepartsrisker
DORA ställer höga krav på kontrollen över externa IKT‑leverantörer.
Ni behöver bland annat veta vilka leverantörer ni är beroende av, vilka tjänster de stödjer, vilka som är kritiska och hur ni ska agera om en leverantör faller bort. Det gör leverantörshantering, leverantörsbedömning och exitplanering till centrala delar av DORA-arbetet — vi har samlat hur man bygger ett strukturerat register för IKT-leverantörer enligt DORA i en separat översikt.
5. Informationsdelning och lärande
DORA uppmuntrar även informationsdelning om cyberhot och sårbarheter inom sektorn.
Poängen är enkel: finanssektorn blir starkare om företag lär av varandra och om tillsynsmyndigheter får bättre insyn i hur risker och incidenter utvecklas.
Vilka deadlines och datum behöver man hålla koll på?
Här är tidslinjen i klartext:
- 16 januari 2023: DORA trädde i kraft
- 17 januari 2025: DORA började tillämpas
- från 2025: företag som omfattas måste kunna leva upp till krav på IKT-riskhantering, incidentrapportering, testning och tredjepartsrisk
Utöver detta finns löpande rapporteringskrav och tekniska standarder som styr format, innehåll och detaljer för exempelvis incidentrapportering och informationsregister över IKT‑leverantörer.
Det viktigaste i praktiken är därför inte bara ett enda datum. Det viktiga är att arbetet blir en del av den löpande styrningen, dokumentationen och uppföljningen.
Hur ser den svenska kontexten ut?
I Sverige är DORA redan en verklig tillsynsfråga, inte bara ett framtida EU‑projekt.
Finansinspektionen beskriver att DORA gäller för i stort sett de företag i finanssektorn som står under FI:s tillsyn. FI hanterar också rapporteringsskyldigheter enligt DORA, tar emot rapporter om allvarliga IKT‑incidenter och har svenska föreskrifter om bland annat tekniskt format och tidpunkter för rapportering.
Det betyder att svenska företag inte bara behöver läsa EU‑förordningen. De behöver också förstå hur rapportering och tillsyn fungerar hos Finansinspektionen.
Vad händer om man inte följer DORA?
Det korta svaret är att brister kan få både tillsynsmässiga och affärsmässiga konsekvenser.
För finansiella företag sker tillsyn och sanktioner i huvudsak genom behöriga myndigheter, i Sverige framför allt Finansinspektionen. FI har möjlighet att använda tillsynsverktyg som förelägganden och sanktionsavgifter när företag inte lever upp till regelverken.
För vissa kritiska IKT‑tredjepartsleverantörer finns dessutom ett särskilt EU‑översynssystem. Där kan de europeiska tillsynsmyndigheterna bland annat begära information, genomföra inspektioner, ge rekommendationer och besluta om löpande sanktionsliknande betalningar. Enligt DORA kan sådana periodiska betalningar uppgå till upp till 1 % av leverantörens genomsnittliga dagliga globala omsättning.
Men den största risken är ofta inte böterna. Det är driftstopp, kundpåverkan, förlorat förtroende och att ledning och styrelse tvingas hantera incidenter som borde ha fångats upp långt tidigare.
Hur skiljer sig DORA från NIS2?
DORA och NIS2 handlar båda om cybersäkerhet och motståndskraft, men de är inte samma sak.
NIS2 är bredare och riktar sig till flera samhällsviktiga sektorer. DORA är mer detaljerat och är skrivet särskilt för finanssektorn. För ett finansiellt företag är DORA därför normalt det mer konkreta regelverket för IKT-risker, incidentrapportering, testning och leverantörsstyrning.
Det betyder inte att NIS2 är ointressant för finanssektorn, för verksamhetsutövare som omfattas av DORA gäller inte skyldigheterna i 2 kap. 3–10 §§ cybersäkerhetslagen. DORA ersätter där de överlappande kraven på säkerhetsåtgärder och incidentrapportering. Se 1 kap. 11 § cybersäkerhetslagen.
Så kommer ni igång med DORA i praktiken
Många fastnar i att DORA känns stort. Det blir enklare om ni börjar i rätt ordning.
Ett praktiskt upplägg är:
- Bekräfta om ni omfattas. Säkerställ först att ni verkligen omfattas och vilken typ av finansiell aktör ni är.
- Kartlägg era IKT‑tillgångar och beroenden. Vilka system, processer och leverantörer är kritiska?
- Se över styrning och ansvar. Vem äger DORA-frågorna? Vem beslutar? Vem följer upp?
- Granska incidentprocessen. Kan ni upptäcka, klassificera och rapportera i tid?
- Gå igenom leverantörsavtal. Finns rätt krav, insyn, rapporteringsskyldigheter och exitmöjligheter?
- Planera tester och övningar. Det räcker inte att anta att kontrollerna fungerar.
- Dokumentera och följ upp. DORA kräver att ni kan visa hur arbetet bedrivs.
Ett bra nästa steg är ofta en gap-analys där ni jämför dagens arbetssätt mot DORA:s krav. Då blir det tydligare vad som redan finns på plats och vad som saknas.
Vanliga frågor om DORA
Vad betyder DORA?
DORA står för Digital Operational Resilience Act. Det är EU:s regelverk för att stärka den digitala operativa motståndskraften i finanssektorn.
När började DORA gälla?
DORA trädde i kraft den 16 januari 2023 och började tillämpas den 17 januari 2025. Det är alltså från den 17 januari 2025 som kraven gäller i praktiken.
Vilka företag omfattas av DORA?
DORA omfattar stora delar av finanssektorn, till exempel banker, betalningsinstitut, e‑pengainstitut, värdepappersföretag, fondbolag, försäkringsbolag och vissa andra finansiella aktörer. Även kritiska IKT‑tredjepartsleverantörer kan omfattas av särskild EU‑tillsyn.
Gäller DORA alla leverantörer?
Nej. DORA riktar sig främst till finansiella företag. Men leverantörer som tillhandahåller IKT‑tjänster till finansiella företag påverkas indirekt genom avtalskrav, granskning och uppföljning. Vissa kritiska IKT‑leverantörer kan dessutom omfattas av EU‑övervakning.
Hur skiljer sig DORA från NIS2?
DORA gäller finanssektorn och NIS2 flera samhällsviktiga sektorer. För verksamhetsutövare som omfattas av DORA ersätter DORA de överlappande skyldigheterna om säkerhetsåtgärder och incidentrapportering i 2 kap. 3–10 §§ cybersäkerhetslagen. Kontrollera även eventuella kvarstående skyldigheter, till exempel anmälan av verksamheten.
Är DORA en förordning eller ett direktiv?
DORA är en EU-förordning, inte ett direktiv. Det betyder att reglerna gäller direkt i alla medlemsstater utan att först införlivas i nationell lagstiftning. Sverige har dock kompletterande föreskrifter från Finansinspektionen om bland annat format och tidpunkter för incidentrapportering.
Vad är DORA:s viktigaste krav?
DORA vilar på fem områden: IKT-riskhantering med tydligt ramverk och ledningsansvar, incidenthantering och rapportering av allvarliga IKT-incidenter, testning av digital operativ motståndskraft, hantering av IKT-tredjepartsrisker inklusive leverantörsregister och exitplaner, samt informationsdelning om cyberhot inom sektorn.
Vem har tillsyn över DORA i Sverige?
Finansinspektionen är behörig myndighet för DORA i Sverige. FI tar emot rapporter om allvarliga IKT-incidenter, har svenska föreskrifter om rapporteringens format och tidpunkter, och kan använda tillsynsverktyg som förelägganden och sanktionsavgifter. Vissa kritiska IKT-leverantörer omfattas dessutom av särskild EU-övervakning.
