Hoppa till innehållet
    ProjAlpha säkerhetsplattform
    Boka en genomgång
    Finanssektorn

    DORA-efterlevnad — operativ motståndskraft som tjänst

    DORA (Digital Operational Resilience Act) ställer skarpa krav på finansbolagens IKT-riskhantering, incidentrapportering och leverantörsstyrning. ProjAlpha levererar de tekniska och processmässiga delarna som en löpande tjänst.

    Boka genomgångBygg din lösning
    AE
    Faktagranskad
    · VD, ProjAlpha
    LinkedIn (öppnas i ny flik)

    Vad är DORA?

    DORA — Digital Operational Resilience Act, förordning (EU) 2022/2554 — är EU:s förordning om digital operativ motståndskraft för finanssektorn. Till skillnad från NIS2 är DORA en förordning, vilket gör den direkt tillämplig i alla medlemsstater utan att behöva genomföras i nationell lag. Förordningen omfattar i princip alla auktoriserade finansiella verksamheter inom EU: banker, försäkringsbolag, värdepappersföretag, fondbolag, betaltjänsteleverantörer, kryptotillgångsleverantörer (under MiCA), försäkringsförmedlare, kreditvärderingsinstitut och pensionsbolag — samt deras kritiska IKT-tredjepartsleverantörer. DORA reglerar fyra områden: (1) IKT-riskhantering med ett dokumenterat ramverk ägt av ledningen; (2) incidentrapportering med tidig varning inom 24 timmar och slutrapport inom en månad; (3) hantering av IKT-tredjepartsrisker med register, kontraktskrav och övervakning; och (4) informationsdelning om hot mellan finansiella entiteter. Sanktioner kan nå upp till 1 % av global daglig omsättning för leverantörer, och tillsynen utövas av nationella myndigheter (Finansinspektionen i Sverige) i samarbete med ESA:erna. När DORA och NIS2 överlappar har DORA företräde — den är lex specialis för finanssektorn. ProjAlpha levererar IT-drift där vårt säkerhetscenter (SOC), logghantering och incidentprocesser redan är integrerade, så att en DORA-kund kan visa upp efterlevnad via leverantörsbeviset istället för att bygga kompetensen internt.

    När det passar

    Omfattas ert företag av DORA?

    Banker, kreditmarknadsbolag och värdepappersbolag
    Försäkringsbolag och försäkringsförmedlare
    Fondbolag och AIF-förvaltare
    Betaltjänsteleverantörer och e-pengainstitut
    Kryptotillgångsleverantörer (CASP under MiCA)
    Pensionsbolag och tjänstepensionsföretag
    Kreditvärderingsinstitut och handelsplatser
    IKT-leverantörer klassade som kritiska tredjepartsleverantörer till finanssektorn
    Operativ motståndskraft

    Vad ingår i DORA-leveransen?

    IKT-riskhanteringsramverk

    Dokumenterat ramverk enligt artikel 5–15 — kritiska tillgångar, skydd, detektion, respons och kontinuerlig förbättring.

    Incidentrapportering 24h/72h

    Tidig varning till Finansinspektionen inom 24 timmar, mellanrapport inom 72 timmar, slutrapport inom en månad.

    Leverantörsregister

    Komplett register över IKT-leverantörer som stöder kritiska eller viktiga funktioner — uppdaterat enligt FI:s rapporteringskrav.

    Automatisk SOC-detektion

    Automatisk övervakning och larm dygnet runt. Bemannad larmhantering och support vardagar 08–17. Detektion och automatisk respons som möter DORA:s krav på operativ motståndskraft och snabb incidentklassificering.

    Backup och återställning

    Testad backup med dokumenterad RTO/RPO. Återställningsövningar minst årligen som DORA föreskriver.

    Kontinuitets- och scenarioövningar

    Regelbundna övningar av allvarliga IKT-scenarier — krav för att visa operativ motståndskraft i praktiken.

    Ledningsansvar och rapportering

    Underlag för ledningens icke-delegerbara ansvar enligt artikel 5 — kvartalsvis och vid större förändringar.

    Tillägg

    Vanliga tillägg

    SOC-tjänst

    Automatisk incidentdetektion dygnet runt för DORA. Bemannad larmhantering och support vardagar 08–17.

    Penetrationstest

    Återkommande pentest för att verifiera säkerhetsnivån.

    Logghantering

    Central loggning som underlag för utredning och tillsyn.

    Backup för företag

    Testad återställning enligt DORA:s RTO/RPO-krav.

    Identitet och åtkomst

    MFA och privilegierad åtkomst enligt artikel 9.

    Vanliga frågor

    Frågor och svar

    Sannolikt ja. DORA omfattar i princip alla auktoriserade finansiella verksamheter inom EU — inklusive betaltjänsteleverantörer, kryptoföretag under MiCA, värdepappersföretag och försäkringsförmedlare. Mikroentiteter (färre än 10 anställda och under 2 MEUR i omsättning) har vissa lättnader men är inte undantagna.

    DORA är lex specialis för finanssektorn — den har företräde där regelverken överlappar. En bank med 200 anställda omfattas av DORA, inte cybersäkerhetslagen (NIS2). En IT-leverantör som driftar både bank- och kommunkunder måste dock leva upp till båda regelverken parallellt.

    Leverantörer som klassas som kritiska tredjepartsleverantörer (CTPP) hamnar under direkt EU-tillsyn av ESA:erna. Övriga leverantörer omfattas indirekt via avtal — DORA-kunder kräver revisionsrätt, datalokalisering, SOC-bevakning, incidentrapportering och dokumenterade exit-procedurer.

    Nej. ISO 27001 är ett bra fundament men täcker inte DORA:s specifika krav på incidentrapportering till FI, leverantörsregister eller ledningens icke-delegerbara IKT-ansvar enligt artikel 5.

    Tidig varning till Finansinspektionen senast 4 timmar efter klassificering som allvarlig — och alltid inom 24 timmar efter upptäckt. Mellanrapport inom 72 timmar, slutrapport inom en månad. ProjAlpha levererar tekniskt underlag.

    Nej. DORA är ingen certifiering utan en EU-förordning med tillsyn från Finansinspektionen (och i vissa fall ESA:erna). ProjAlpha levererar de tekniska förutsättningarna — IKT-riskhantering, loggning, incidentunderlag och leverantörsregister — så att ni kan uppfylla kraven. Certifiering, revision och myndighetsdialog ansvarar ni själva för.

    Vill ni veta var ni står mot DORA?

    Boka en kostnadsfri DORA-genomgång där vi kartlägger gapet mot förordningens krav och visar hur efterlevnaden ser ut som opererad tjänst.

    Boka genomgångMejla oss

    Vi använder nödvändiga kakor för att webbplatsen ska fungera. Analys- och marknadsföringskakor används bara om du samtycker. Läs mer i vår integritetspolicy.