I korthet
- Finansinspektionens tillsynsprioriteringar för 2026 säger att myndigheten ska analysera inrapporterade DORA-data för att hitta risker och säkra efterlevnaden.
- Informationsregistret ska rapporteras till FI senast den 28 februari varje år och avse förhållandena vid utgången av föregående kalenderår.
- Inlämningen den 28 februari är inte mållinjen. FI påminde den 4 mars 2026 om att varje företag själv ansvarar för att rapporteringen är godkänd hos EBA senast den 31 mars.
- FI beslutar vilka företag som ska göra hotbildsstyrda penetrationstester och hur ofta. Riksbanken samordnar testerna och utfärdar intyget.
- I Sverige används TIBER-SE för DORA TLPT, och utpekade entiteter testar minst vart tredje år om inte FI ändrar frekvensen.
- DORA lämnar sanktionerna till nationell rätt. Vilket tak som gäller beror på vilken svensk lag som styr din verksamhet.
Informationsregistret du lämnade in i februari är granskningen
Den 5 februari 2026 publicerade Finansinspektionen sina tillsynsprioriteringar för året, och när det gäller IKT-risker var myndigheten konkret. FI skulle analysera de uppgifter som rapporteras enligt DORA för att identifiera risker och säkerställa en god efterlevnad. Fyra veckor senare gjorde myndigheten precis det och meddelade att EBA hade hittat brister i företagens informationsregister.
Den ordningsföljden är själva formen för de DORA-krav Sverige nu tillämpar. Om du ansvarar för säkerhet eller regelefterlevnad på en bank, ett försäkringsbolag, ett betalningsinstitut, ett fondbolag eller en leverantör av kryptotillgångstjänster under FI:s tillsyn, eller på ett fintechbolag som levererar till någon av dem, har dina inlämnade filer blivit en del av din granskningshistorik.
Skälet är att tillsynen har bytt bevisunderlag. IKT-tillsyn byggde tidigare på enkäter, tematiska granskningar och revisionsrapporter, och inget av det har försvunnit. Det nya är att DORA har gjort samma sakinnehåll till strukturerade årsdata med en fast mall och färdiga valideringsregler. FI behöver inte längre fråga hur din leverantörsbild ser ut.
Vad är DORA och vilka svenska regler bär upp det
DORA är förordning (EU) 2022/2554, EU:s ramverk för digital operativ motståndskraft i finanssektorn. Den gäller sedan den 17 januari 2025 och omfattar IKT-riskhantering, incidentrapportering, motståndskraftstester, tredjepartsrisk och informationsdelning. Som förordning gäller den direkt, utan nationellt införlivande.
Två svenska instrument gör den till en praktisk skyldighet. Finansinspektionen är behörig myndighet enligt artikel 46, vilket bekräftas av lagen (2024:1278), som också ger FI tillsyns- och ingripandebefogenheter och fördelar rollerna för hotbildsstyrd testning.
Det andra är FFFS 2024:20, som har varit i kraft sedan den 17 januari 2025 och som anger format och tidpunkter för rapporteringen. FI kan besluta om förelägganden och sanktionsavgifter mot företag som brister.
Datumen som faktiskt spelar roll
| 17 Jan 2025 | DORA börjar gälla och FFFS 2024:20 träder i kraft. |
| 8 Jul 2025 | TLPT-standarden 2025/1190 börjar tillämpas. |
| 1 Jan 2026 | Riksbankens avgiftsföreskrifter för TLPT träder i kraft. |
| 28 Feb 2026 | Informationsregistret ska in till FI i Fidac och avse den 31 december 2025. |
| 31 Mar 2026 | Varje företags register ska vara godkänt hos EBA. |
| 30 Apr 2026 | Rättelser från EBA:s aprilkontroller klara. |
Vilka omfattas och vilka pekas ut för TLPT
DORA träffar i praktiken nästan alla företag som redan står under FI:s tillsyn, från kreditinstitut och försäkringsföretag till värdepappersföretag, fondbolag, betalningsinstitut och leverantörer av kryptotillgångstjänster. Den når även deras IKT-tredjepartsleverantörer, via avtalskraven och registret.
Hotbildsstyrd penetrationstestning är betydligt smalare. Artikel 26.1 gäller entiteter utöver dem som omfattas av det förenklade ramverket i artikel 16.1 och utöver mikroföretag, och bara när de har pekats ut enligt artikel 26.8. Utpekade entiteter testar minst vart tredje år, och den behöriga myndigheten får ändra frekvensen.
Du väljer inte själv. Enligt 2 kap. 1 § lagen (2024:1278) beslutar FI vilka entiteter som ska testa och hur ofta, efter att Riksbanken fått yttra sig. Kriterierna och metodiken finns i delegerad förordning (EU) 2025/1190, som tillämpas sedan den 8 juli 2025.
Vem bär vilket ansvar
- Alla i omfattning : IKT-riskhantering, incidentrapportering och ett årligt informationsregister.
- Utpekade entiteter : Hotbildsstyrd testning av kritiska eller viktiga funktioner i produktionsmiljö.
- Finansinspektionen : Tar emot rapporterna och beslutar vilka som testar och hur ofta.
- Riksbanken : Samordnar testerna, validerar omfattning och testare och utfärdar intyget.
- ESA-myndigheterna : Pekar ut kritiska IKT-tredjepartsleverantörer utifrån de insamlade registren.
Informationsregistret slutar inte den 28 februari
Enligt 4 § FFFS 2024:20 ska registret rapporteras till FI senast den 28 februari och avse förhållandena vid utgången av föregående kalenderår. 2026 års omgång avsåg den 31 december 2025. Företagen använder mallarna i genomförandeförordning (EU) 2024/2956 och håller registret på entitets-, undergrupps- och gruppnivå enligt artikel 28.3.
Praktiskt är det en inlämning i Fidac i xbrl-csv, där entiteterna identifieras med LEI-kod. En grupp kan rapportera ett register på högsta konsoliderade nivå, eller varje företag rapporterar på entitetsnivå. En väg, inte båda.
EBA:s återkoppling den 4 mars 2026
Den 4 mars 2026 meddelade FI att EBA rapporterat brister i företagens registerrapportering och att myndigheten skulle mejla företagen för att få felen rättade och en reviderad rapport inskickad. De flesta bristerna hade felkod 805 eller 807.
Det bärande i beskedet var ansvaret. Varje företag ansvarar själv för att dess rapportering är godkänd hos EBA senast den 31 mars. Från den 1 april körde EBA nya kvalitetskontroller och rättelser skulle vara klara senast den 30 april.
När de europeiska tillsynsmyndigheterna den 18 november 2025 pekade ut sina första kritiska IKT-tredjepartsleverantörer började arbetet i de informationsregister som företagen upprätthåller. Ditt register är ett underlag för tillsyn på EU-nivå.
Så fungerar TLPT i Sverige när två myndigheter delar på jobbet
Sverige delade upp uppgiften. FI pekar ut och bestämmer frekvensen. Riksbanken övervakar och samordnar de tester som görs enligt artiklarna 26 och 27, och enligt 2 kap. 2 § lagen (2024:1278) är det Riksbanken som utfärdar intyget i artikel 26.7. Intyget är det som bär det ömsesidigt erkännande inom EU, och ingen annan svensk myndighet kan utfärda det.
I praktiken validerar Riksbanken vilka kritiska eller viktiga funktioner som ligger inom testets omfattning och säkerställer att testaren uppfyller kraven i artikel 27. Utpekade företag ska lämna de uppgifter Riksbanken behöver, och testningen är avgiftsbelagd.
TIBER-SE är hur och TLPT är vad
TIBER-EU är Europeiska centralbankens ramverk för standardiserad testning av cybermotståndskraft, och dess red team-tester är medvetet inte pass or fail. TIBER-SE är den svenska implementationen och använder TIBER-EU:s dokument.
Riksbanken beskriver förhållandet rakt. TLPT säger vad som ska göras och TIBER-SE hur det ska göras, och i Sverige används TIBER-SE för DORA TLPT. Riksbanken har samordnat hotbildsstyrda tester sedan 2019. Ramverket uppdateras just nu, så den som planerar ett test under 2026 bör utgå från de aktuella dokumenten och stämma av processen tidigt.
Vad du gör före fönstret, under det och året runt
Före fönstret: stäm av avtalen mot registret, inte registret mot avtalen. Varje IKT-avtal ska finnas på rätt nivå, med motpartens LEI-kod och underleverantörskedjan bakom varje kritisk eller viktig funktion. Testrapportera sedan och rensa valideringsfelen.
Under fönstret: den 28 februari är inlämningsdagen och den 31 mars den frist som räknas, eftersom det är då filen måste vara godkänd hos EBA.
Året runt: incidentklockan enligt delegerad förordning (EU) 2025/301 startar vid klassificeringen, så beslutet att klassa en incident som allvarlig är den kontroll som är värd att öva.
Ordningen för incidentrapportering
| Första anmälan | Inom fyra timmar från att incidenten klassificerats som allvarlig och senast 24 timmar efter att företaget blivit medvetet om den. |
| Delrapport | Inom 72 timmar från den första anmälan, även om ingenting har ändrats. |
| Slutrapport | Inom en månad efter delrapporten eller den senast uppdaterade delrapporten. |
| Cyberhot | Frivillig anmälan till FI enligt artikel 19.2. |
Där svenska företag är mest utsatta
Koncentrationen är den första exponeringen. Ett fåtal leverantörer bär kritiska funktioner i större delen av sektorn, och nu ser tillsynsmyndigheterna mönstret samlat. Räkna med frågor om utbytbarhet och exitlösningar.
Underleverantörskedjorna är den andra, eftersom ett register som stannar vid din direkta leverantör inte klarar ett krav som når längre ner i kedjan.
För det tredje är fyra timmar från klassificering generöst bara om klassificeringen går snabbt. För det fjärde, och specifikt svenskt, framhåller FI att den finansiella entiteten ansvarar för att inga säkerhetsskyddsklassificerade uppgifter hamnar i incidentrapporterna.
Sanktioner enligt svensk lag
DORA lämnar de administrativa sanktionerna till nationell rätt, vilket i Sverige betyder 4 kap. lagen (2024:1278) och de sektorsvisa lagarna. Vilket tak som gäller beror på vilken av dem som styr din verksamhet.
För de entiteter som räknas upp i 4 kap. 1 §, bland dem leverantörer av kryptotillgångstjänster, pensionsstiftelser, administratörer av kritiska referensvärden och leverantörer av gräsrotsfinansieringstjänster, sätter 14 § sanktionsavgiften för en juridisk person till högst det högsta av motvärdet i kronor av 1 miljon euro per den 16 januari 2023, 10 % av omsättningen eller tre gånger vinsten från överträdelsen. För banker, försäkringsföretag och värdepappersföretag hänvisar 2 § i stället till den lag som reglerar verksamheten.
Enligt 9 § kan FI också förbjuda en styrelseledamot eller verkställande direktör att inneha uppdraget i tre till tio år och besluta om sanktionsavgift. Båda kan tillämpas samtidigt, men bara när överträdelsen är allvarlig och personen har orsakat den uppsåtligen eller av grov oaktsamhet. Överträdelser av artiklarna 26, 27 och 28 finns på den listan.
Taket beror på vilken lag som styr dig
4 kap. lagen (2024:1278) sätter avgiftstaken för en avgränsad lista av entiteter. För banker, försäkringsföretag och värdepappersföretag hänvisar kapitlet i stället till den sektorsvisa lagen, så att citera taken i 4 kap. för en bank är det vanligaste felet i sammanfattningar av DORA-sanktioner.
Så håller du registret och testcykeln levande
Låt en avtalsändring utlösa en registerändring. Om inköp kan teckna ett IKT-avtal utan att registeransvarig får veta det byggs februarifilen på minnet, och då faller den på valideringen.
Behåll förra omgångens felkoder som den här omgångens checklista, eftersom FI:s publicerade förklaringar i praktiken är en gratis specifikation av vad EBA avvisar. Och är du utpekad för testning: ta kontakt med Riksbanken innan du sätter omfattningen, eftersom både omfattningen och testaren måste godtas innan ett intyg kan utfärdas.
Registret är beviset, inte pappersarbetet
FI sa i februari att myndigheten skulle analysera vad företagen rapporterar enligt DORA, och i mars agerade den på vad uppgifterna visade. Bygg registret som en dokumentation du kan försvara rad för rad vilken dag som helst på året, inte som en fil du sätter ihop i februari.
Vanliga frågor
Vilka ska göra TLPT enligt DORA i Sverige?
Bara de entiteter Finansinspektionen pekar ut. Enligt 2 kap. 1 § lagen (2024:1278) beslutar FI vilka finansiella entiteter som ska göra hotbildsstyrda penetrationstester och hur ofta, efter att Riksbanken yttrat sig. Företag med förenklat IKT-ramverk och mikroföretag faller utanför artikel 26, och ingen kan välja in sig.
När ska informationsregistret rapporteras till Finansinspektionen?
Årligen, senast den 28 februari, enligt 4 § FFFS 2024:20. Den version som lämnas in ska avse förhållandena vid utgången av föregående kalenderår, så 2026 års inlämning avsåg den 31 december 2025. Rapporteringen görs till FI via Fidac i formatet xbrl-csv.
Vad händer om EBA avvisar informationsregistret?
FI mejlar företaget med felkoderna och begär en rättad inlämning. Varje företag ansvarar själv för att rapporteringen är godkänd hos EBA senast den 31 mars. Den 4 mars 2026 uppgav FI att de flesta bristerna hade felkod 805 eller 807, och myndigheten publicerade förklaringar till koderna.
Räknas ett TIBER-SE-test som ett DORA TLPT?
I Sverige används TIBER-SE som process för hotbildsstyrd penetrationstestning enligt DORA. Riksbanken beskriver TLPT som vad som ska göras och TIBER-SE som hur. Ramverket uppdateras just nu, så stäm av de aktuella dokumenten och omfattningen med Riksbanken innan du beställer ett test.
Vilka tidsfrister gäller för incidentrapportering enligt DORA?
Tre steg, samtliga till FI. En första anmälan inom fyra timmar från att incidenten har klassificerats som allvarlig och senast 24 timmar efter att företaget blivit medvetet om den. En delrapport inom 72 timmar från anmälan. En slutrapport inom en månad efter delrapporten.
eBuilder Security arbetar med finansiella entiteter och deras leverantörer inom Penetration Testing och CISO-as-a-Service. För en översikt av ramverket, se vår DORA-hubb.
This post is also available in:
English
