Vanliga frågor och svar om DORA

Hur kan vi hjälpa dig med DORA?

DORA

• Vad är DORA?

  DORA (Digital Operational Resilience Act) är en EU‑förordning som syftar till att stärka den digitala operativa motståndskraften inom finanssektorn. Till skillnad från ett direktiv gäller den direkt i medlemsstaterna utan nationell implementering. Syftet är att säkerställa att finansiella organisationer kan stå emot, hantera och återhämta sig från IT‑incidenter, har kontroll över sina ICT‑risker och upprätthåller stabila finansiella tjänster även vid störningar. DORA är därmed inte bara ett säkerhetsramverk – utan ett regelverk för operativ resiliens i en digital ekonomi.  

• Vad innebär DORA för finanssektorn? 

  DORA innebär en tydlig förflyttning från traditionell IT‑säkerhet till operativ motståndskraft. Organisationer måste kunna identifiera och hantera IT‑risker systematiskt, upprätthålla drift vid incidenter, snabbt återställa verksamheten och säkerställa att beroenden fungerar. 

  Det innebär ett skifte från att skydda system till att säkerställa att verksamheten fungerar trots störningar. 

• Vilka företag omfattas av DORA?

  DORA omfattar i princip hela finanssektorn inom EU, inklusive banker, försäkringsbolag, värdepappersbolag, betalningsinstitut och fintech‑bolag. 

  Dessutom omfattas även kritiska tredjepartsleverantörer, exempelvis molntjänster, IT‑driftleverantörer och SaaS‑plattformar, vilket innebär att även externa aktörer påverkas indirekt. 

• Hur vet jag om mitt företag omfattas av DORA?

  Du omfattas direkt om du är en finansiell aktör enligt EU:s definition. Du kan omfattas indirekt om du levererar IT‑tjänster eller stödjer kritiska funktioner åt finansiella aktörer. 

  I praktiken krävs ofta en regulatorisk analys och kartläggning av affärsrelationer för att avgöra detta. 

• Vilka krav ställer DORA på IT-säkerhet?

  DORA kräver att organisationer etablerar ett ICT‑riskhanteringsramverk, säkerställer incidenthantering, inför kontinuitet och återställning, genomför tester och hanterar tredjepartsrisker. 

  Det handlar inte bara om teknik utan om styrning, processer och kontinuitet i hela organisationen. 

• Vad är ICT risk management enligt DORA?

  ICT risk management är kärnan i DORA och innebär att organisationen ska ha ett dokumenterat och heltäckande riskramverk. 

  Det omfattar hela livscykeln: 

  • identifiering 

  • skydd 

  • upptäckt 

  • respons 

  • återställning 

  Ramverket ska vara integrerat i styrningen och följas upp kontinuerligt.  

• Vad innebär DORA för banker och försäkringsbolag?

  För banker och försäkringsbolag innebär DORA skärpta krav på styrning, IT‑riskhantering, operativ resiliens och leverantörskontroll. 

  IT‑risk blir en affärskritisk fråga där ledningen har ett tydligt ansvar, vilket ofta driver större transformationsprogram. 

• Hur påverkar DORA tredjepartsleverantörer?

  Organisationer måste kartlägga, klassificera och följa upp alla leverantörer som påverkar kritiska funktioner. 

  Det innebär att: 

  • ansvar inte kan outsourcas 

  • hela leverantörskedjan måste styras och kontrolleras 

  • kontinuerlig uppföljning krävs 
• Vad händer om man inte uppfyller DORA?

  Eftersom DORA är en förordning gäller juridiskt bindande krav. 

  Bristande efterlevnad kan leda till: 

  • sanktionsavgifter 

  • tillsynsåtgärder 

  • krav på åtgärder 

  • påverkan på affär och licenser 

   

  Tillsyn sker löpande, inte bara vid incidenter. 

• Hur förbereder man sig för DORA?

  Ett strukturerat angreppssätt är avgörande: 

  • analysera om organisationen omfattas 

  • genomföra GAP‑analys 

  • etablera ramverk (ofta baserat på ISO 27001/22301) 

  • införa processer och kontroller 

  • testa och följa upp 

  Det viktigaste är att bygga ett sammanhängande system, inte isolerade åtgärder.

• Vilka kompetenser behövs för att uppfylla DORA?

  DORA kräver kombination av kompetenser inom: 

  • informationssäkerhet 

  • ICT risk management 

  • kontinuitet och återställning 

  • compliance 

  • IT‑arkitektur 

  Samt förändringsledning och governance för att få genomslag i organisationen. 

• Hur genomför man en DORA-gap-analys?

  En DORA‑GAP analyserar nuläget mot kraven inom: 

  • ICT risk management 

  • incidenthantering 

  • resiliens 

  • leverantörsstyrning 

  • governance 

   

  Resultatet blir en tydlig lista över gap, prioriteringar och en roadmap framåt. 

• Hur kan ett konsultbolag hjälpa till med DORA?

  Konsulter hjälper med: 

  • tolkning av regelverket 

  • GAP‑analys 

  • etablering av ramverk 

  • implementation av processer 

  • programledning 

   

  Det minskar risk, ökar tempo och säkerställer revisionsbar kvalitet. 

• Vad kostar ett DORA-projekt?

  Kostnaden varierar beroende på: 

  • organisationens storlek 

  • mognadsnivå 

  • befintliga ramverk 

  • komplexitet i IT‑miljö och leverantörer 

   

  Det bör ses som ett transformationsprogram snarare än ett enskilt projekt – där investeringen speglar både compliance och långsiktig resiliens.

Mer från Omegapoint