DORA gäller er.
Kan ni bevisa er ICT-motståndskraft?

Nej. DORA är en EU-förordning, inte ett direktiv, och gäller därför direkt i Sverige sedan 17 januari 2025 utan någon separat införlivandelag. Lag (2024:1278) kompletterar med svenska regler om tillsyn och sanktioner, men skapar inte de underliggande skyldigheterna.

Sannolikt ja. DORA har ett brett tillämpningsområde och omfattar de flesta reglerade finansiella entiteter oavsett storlek. Mikroföretag (färre än 10 anställda, omsättning eller balansomslutning under 2 MEUR) får lättnader på flera punkter: glesare granskningscykel för riskramverket, inget krav på TLPT och friare testning. Kraven på incidentrapportering och avtal med tredjepartsleverantörer gäller ändå fullt ut. Gapanalysen avgör om ni omfattas.

Ja, potentiellt. Stödjer ni en kritisk eller viktig funktion hos en finansiell entitet når DORA er via de obligatoriska avtalsklausuler som er kund nu måste införa. Leverantörer som bedöms systemviktiga kan dessutom pekas ut som kritiska ICT-tredjepartsleverantörer under direkt tillsyn på EU-nivå.

Ett dokumenterat, styrelsegodkänt ramverk för ICT-riskhantering med tydligt ansvar i ledningsorganet: en riskaptit för ICT-risk, löpande identifiering och skydd av tillgångar och en strategi för detektering, åtgärd och återställning. Ledningsorganet bär det yttersta ansvaret och ska hålla sin kunskap om ICT-risk aktuell.

Sen rapportering är i sig en brist som kan sanktioneras. Artikel 19 kräver första anmälan inom 4 timmar från klassificering (bortre gräns 24 timmar från upptäckt), delrapport inom 72 timmar och slutrapport inom en månad. eBuilders SOC tidsstämplar incidenter från första upptäckt så att ert team klarar alla tre.

Varje avtal som stödjer en kritisk eller viktig funktion behöver granskningsrätt, säkerhetskrav, skyldighet att anmäla incidenter och exitvillkor. Ni behöver också ett informationsregister över alla ICT-avtal med tredje part, som lämnas till Finansinspektionen årligen. eBuilders CISO-rådgivning håller det registret aktuellt.

Bara om Finansinspektionen pekar ut er organisation som ”betydande”. Då krävs TLPT minst vart tredje år enligt TIBER-SE, av testare som uppfyller kraven i artikel 27. Varje entitet som omfattas behöver ändå ett årligt grundläggande testprogram.

Ja. Enligt lag (2024:1278) kan enskilda få en sanktionsavgift på upp till 500 000 EUR eller tre gånger den egna vinsten av överträdelsen, och vid allvarliga, uppsåtliga eller grovt oaktsamma överträdelser förbjudas att inneha styrelse- eller vd-uppdrag i en finansiell entitet i 3 till 10 år.

Finansinspektionen kan besluta om en sanktionsavgift upp till det högsta av cirka 1 MEUR, 10 % av föregående års omsättning eller tre gånger vinsten av överträdelsen, för en finansiell entitet som är juridisk person enligt lag (2024:1278).

Ja. DORA gäller direkt sedan 17 januari 2025 och Finansinspektionen är Sveriges behöriga myndighet för den, kompletterat av lag (2024:1278). Tillsynen pågår nu, inte vid ett framtida datum.

Inte automatiskt. DORA har företräde framför NIS2 för finansiella entiteter och lägger till krav som varken NIS2 eller GDPR täcker: ett informationsregister, TLPT för betydande entiteter och DORA:s egna trösklar för incidentklassning. En incident som rör personuppgifter kan dessutom utlösa en separat anmälningsplikt enligt GDPR samtidigt.

DORA har företräde framför NIS2 för finansiella entiteter; det är sektorsspecifik lagstiftning som täcker samma ICT-risk mer i detalj. Vår tjänst CISO-rådgivning kan hantera båda i ett samlat program när en koncern även har enheter som omfattas av NIS2.

Vår tjänst CISO-rådgivning hjälpte ett Stockholmsbaserat fintechbolag att kartlägga DORA-omfattningen, definiera trösklar för incidentklassning och utforma rapporteringsflödet på en enda arbetsvecka. Tidplanen för full anpassning beror på ert utgångsläge. Gapanalysen ger er en konkret startpunkt innan ni binder er till något.

Ja. eBuilders MDR/SOC och CISO-rådgivning förstärker ert befintliga teams förmåga i stället för att ersätta den. Vi integrerar med era verktyg och står för den ständiga övervakning och det styrningsstöd som DORA förväntar sig.