Bank och finans

DORA står för Digital Operational Resilience Act och är EU:s regelverk för digital operativ motståndskraft inom finanssektorn. Regelverket ska stärka finansiella företags förmåga att förebygga, hantera och återhämta sig efter IKT-relaterade incidenter och cyberattacker.

DORA omfattar bland annat hantering av IKT-risker, incidenthantering och rapportering, testning av digital motståndskraft, hantering av tredjepartsrisker samt frivillig delning av information om cyberhot.

DORA-lagen trädde i kraft i Sverige den 1 juli 2025. DORA-förordningen har införlivats i svensk lag genom lagen om digital operativ motståndskraft inom finanssektorn.

DORA gäller de flesta verksamheter inom finanssektorn som regleras av EU/EES-regelverket, med vissa undantag. I Norge omfattar detta huvudsakligen verksamheter som står under tillsyn av Finanstilsynet.

IKT-tjänsteleverantörer påverkas också av regelverket när de levererar tjänster som stödjer finansiella företags kritiska eller viktiga funktioner. Det finansiella företaget behåller dock ansvaret för sin egen IKT-riskhantering och regelefterlevnad.

DORA ställer bland annat krav på:

- Styrning och kontroll av IKT-risker
- Hantering och rapportering av allvarliga IKT-relaterade incidenter
- Testning av digital motståndskraft
- Hantering av IKT-risker kopplade till tredjepartsleverantörer
- Dokumentation, beredskap och återställning
- Avtal, överblick och exitplaner för IKT-tjänster som stödjer kritiska eller viktiga funktioner

Kraven ska bidra till att verksamheten kan förebygga incidenter, minska konsekvenserna när de inträffar och återställa kritiska tjänster.

Alla relevanta verksamheter måste ha ett riskbaserat och dokumenterat arbetssätt för att testa sin digitala motståndskraft. Avancerad hotbaserad penetrationstestning, ofta kallad TLPT, gäller verksamheter som särskilt pekas ut eller omfattas av relevanta krav och undantag i DORA.

För de flesta verksamheter är det viktigt att ha ett systematiskt program för säkerhetstestning, beredskap och återställning som står i proportion till verksamhetens risker och kritiska tjänster.

DORA ställer tydliga krav på hur finansiella företag bedömer, dokumenterar och följer upp risker kopplade till IKT-leverantörer. Det gäller särskilt tjänster som stödjer kritiska eller viktiga funktioner.

Verksamheten måste bland annat ha överblick över avtal för IKT-tjänster, tydliga avtalskrav, beredskapsplaner och exitstrategier. Målet är att minska riskerna vid leverantörsberoende och säkerställa att kritiska tjänster kan upprätthållas eller ersättas vid allvarliga driftstörningar.

För de flesta relevanta finansiella företag är DORA det centrala regelverket för digital operativ motståndskraft och IKT-risker.

Den norska digitalsäkerhetslagen kan samtidigt vara relevant för vissa systemviktiga banker och finansmarknadsinfrastrukturer. Verksamheten bör bedöma vilka krav som gäller utifrån den egna rollen, tjänsterna och det regulatoriska ramverket.

PCI DSS är en internationell säkerhetsstandard för verksamheter som lagrar, behandlar eller överför kortdata. Standarden ställer bland annat krav på åtkomstkontroll, nätverkssäkerhet, loggning, övervakning, sårbarhetshantering och säkerhetstestning.

För banker, betalningsaktörer och leverantörer som hanterar korttransaktioner är PCI DSS en viktig del av säkerhets- och compliancearbetet.

En modern dataplattform ger bättre kontroll över datakvalitet, åtkomst, spårbarhet och styrning. Det är en viktig grund för att använda AI och avancerad analys för exempelvis bedrägeridetektion, riskhantering, kundinsikter och automatisering.

Data governance, åtkomstkontroll, dokumentation och MLOps bidrar till att AI-lösningar kan utvecklas och drivas på ett mer ansvarsfullt, säkert och transparent sätt.

Orange Business kan bidra med säker och robust IT-infrastruktur, drift, cybersäkerhet, molntjänster, dataplattformar och rådgivning. Vi hjälper verksamheter att stärka kontrollen över risker, tillgänglighet, tredjepartsberoenden och dokumentation.

Vi kan stödja compliancearbetet, men verksamheten ansvarar alltid själv för att uppfylla gällande regelverk.