Vad är DORA-förordningen? EU:s förordning om digital operativ motståndskraft förklarad

DORA-förordningen — Digital Operational Resilience Act — är EU:s lag om cyberresiliens för finanssektorn. Den anger hur finansiella institut ska hantera cybersäkerhets- och IT-risker. Enkelt uttryckt måste varje bank, betalningsföretag, värdepappersföretag, försäkringsbolag och kryptobörs i EU kunna fortsätta fungera vid ett intrång, ett avbrott i molntjänster eller en felaktig programuppdatering, samt övervaka de IT-leverantörer som verksamheten är beroende av.

Den här guiden är skriven för personer utan juridisk eller IT-teknisk bakgrund. Den förklarar vilka DORA gäller för, vad den kräver, hur snabbt en incident ska rapporteras, hur den skiljer sig från NIS2 och GDPR, vilka sanktioner som kan bli aktuella och vad DORA-kraven innebär för fintech- och kryptoföretag. Den avslutas med en kort checklista för DORA-efterlevnad.

Vad innebär DORA i enkla ord?

DORA — ibland kallad EU DORA eller DORA Act — är förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn. ”Digital operativ motståndskraft” låter komplicerat, men betyder en sak: kan ditt företag fortsätta betjäna sina kunder när IT-systemen sviktar? Om en hackare tar sig in, en uppdatering misslyckas eller en leverantör blir otillgänglig — går betalningarna fortfarande igenom, kan kunderna fortfarande logga in och är deras uppgifter säkra? DORA gör detta till en rättslig skyldighet, inte bara god praxis.

Före DORA hade varje EU-land och varje del av finanssektorn egna regler för IT-säkerhet och egna incidentformulär. DORA ersätter detta lapptäcke med ett gemensamt regelverk för hela EU:s finanssektor. Eftersom det är en förordning och inte ett direktiv gäller den ord för ord i varje medlemsstat — ingen nationell lag behövs för att aktivera den.

Tidsfristen för DORA-efterlevnad har redan löpt ut. Den tvååriga förberedelsetiden efter antagandet är över, alla DORA-skyldigheter gäller och nationella finansiella tillsynsmyndigheter kontrollerar efterlevnaden. DORA-ramverket vilar på fem pelare, som beskrivs i resten av guiden:

• ICT-riskhantering — en skriftlig plan för IT-risker som ägs av ledningsorganet (styrelsen);
• hantering och rapportering av ICT-relaterade incidenter — att upptäcka, registrera och rapportera IT-incidenter till tillsynsmyndigheten;
• testning av digital operativ motståndskraft — från rutinmässiga sårbarhetsskanningar till fullständiga attacksimulationer med ”red team”;
• riskhantering för ICT-tredjepartsleverantörer — kontroll av de IT-leverantörer företaget är beroende av, med ett register över samtliga;
• informationsdelning — frivilligt utbyte av hotinformation mellan finansiella företag.

Viktiga DORA-begrepp förklarade

Ett antal definierade begrepp förekommer i varje artikel i DORA-förordningen, varje tillsynsformulär och varje leverantörsavtal. När du känner till dem blir resten betydligt lättare att läsa.

Vem gäller DORA för?

DORA:s tillämpningsområde fastställs i artikel 2, som listar tjugo kategorier av finansiella företag. Om ett finansiellt institut har någon av dessa licenser någonstans i EU omfattas det — oavsett hur litet det är — om inte ett särskilt undantag gäller. De huvudsakliga grupperna anges nedan.

Hur är det då med IT-företagen själva? Molnplattformar, datacenter, programvaruleverantörer och företag inom hanterad säkerhet är inte finansiella företag, men DORA når dem på två sätt. För det första måste varje finansiellt företag skriva in DORA-liknande villkor i sina avtal med dem, så en leverantör som vägrar riskerar att förlora kunden. För det andra utses de största leverantörerna — stora leverantörer av molntjänster, datacenter, telekom och finansiell programvara — till kritiska ICT-tredjepartsleverantörer och står under direkt tillsyn på EU-nivå; listan uppdateras varje år.

Gäller DORA företag utanför EU? Direkt gäller den endast företag med licens i EU — inklusive EU-dotterbolag och filialer till brittiska, amerikanska eller asiatiska koncerner. Indirekt når den varje utländsk leverantör som betjänar ett finansiellt företag inom EU, eftersom de obligatoriska avtalsklausulerna gäller oavsett var leverantören är etablerad. En leverantör utanför EU som utses till kritisk måste etablera ett EU-dotterbolag inom tolv månader.

Slutligen är DORA proportionerlig: skyldigheterna ökar med det finansiella institutets storlek och komplexitet. Mikroföretag — färre än tio anställda och en omsättning eller balansomslutning under två miljoner euro — undantas från flera krav, däribland hotstyrd penetrationstestning och vissa skyldigheter för styrning och rapportering. En definierad grupp mindre företag, såsom små och icke-sammanlänkade värdepappersföretag samt vissa undantagna betalnings- och e-pengainstitut, följer ett förenklat ramverk för ICT-riskhantering enligt artikel 16. Att vara liten tar inte ett licensierat företag utanför DORA; det minskar bara bördan.

DORA-krav: de fem pelarna förklarade

Kraven för DORA-efterlevnad delas in i fem grupper. Tillsammans bildar de en cykel — förebygga, upptäcka, hantera, återställa, lära — och tillsynsmyndigheten förväntar sig bevis för varje steg.

Ramverk för ICT-riskhantering (artiklarna 5–16)

Med enkla ord: vet vilken IT du har, vet vad som kan gå fel och ha en skriftlig plan för att skydda den och återställa den. Ramverket måste förteckna IT-tillgångar och beroenden samt ange hur företaget förebygger och upptäcker problem, hanterar och återhämtar sig från dem samt lär av incidenter. Det ses över minst en gång om året och efter varje allvarlig incident. Ledningsorganet godkänner det, bestämmer vilken risknivå som är acceptabel och tillhandahåller budgeten. Kritiska funktioner måste kartläggas, säkerhetskopior måste faktiskt testas och det måste finnas en IT-kontinuitetsplan vid sidan av företagets allmänna kontinuitetsplan.

Incidentrapportering: tidsfristerna på 4 timmar, 72 timmar och en månad

Varje ICT-relaterad incident måste registreras och klassificeras enligt samma kriterier i hela EU: hur många kunder som berörts, hur allvarligt företagets anseende skadats, hur länge incidenten pågick, hur långt den spreds, vilka data som gick förlorade, hur kritisk tjänsten var och vilka ekonomiska värden som stod på spel. En incident som passerar tröskelvärdena är ”allvarlig” och ska rapporteras till tillsynsmyndigheten i tre steg: en första anmälan inom fyra timmar från beslutet att den är allvarlig (och aldrig senare än 24 timmar efter att företaget fick kännedom om den), en delrapport inom 72 timmar efter den första anmälan och en slutrapport inom en månad efter delrapporten. Kunder vars pengar eller data berörs måste informeras utan dröjsmål. Allvarliga cyberhot som ännu inte blivit incidenter kan rapporteras frivilligt.

Resilienstestning och hotstyrd penetrationstestning (TLPT)

Testning av digital operativ motståndskraft är ett årligt program: varje system som stödjer en kritisk eller viktig funktion ska genomgå sårbarhetsskanningar, gapanalyser, granskning av källkod, scenariotester, prestandatester och penetrationstester. Företag som tillsynsmyndigheten bedömer som betydande — på grund av sin storlek eller konsekvenserna av ett fel — måste dessutom utföra hotstyrd penetrationstestning minst vart tredje år. Det är en kontrollerad attack mot driftsatta system av kvalificerade etiska hackare enligt ett erkänt ramverk. Mikroföretag och företag under det förenklade ramverket är undantagna från TLPT och testar enligt ett mindre omfattande, riskbaserat schema.

Tredjepartsrisk, outsourcing och informationsregistret

Att outsourca IT — till en molntjänstleverantör eller någon annan — innebär inte att ansvaret outsourcas. Riskhantering för ICT-tredjeparter börjar med en skriftlig strategi för leverantörsrisker; ett företag måste kontrollera leverantörer före avtalstecknande, undvika ett alltför stort beroende av en enda leverantör och upprätthålla ett informationsregister — en strukturerad lista över alla IT-avtal — som skickas till tillsynsmyndigheten minst en gång per år. Avtalen måste innehålla en fast uppsättning klausuler: vad tjänsten är och vilken nivå som utlovas, var data lagras, rätten till inspektion och revision, skyldigheten att hjälpa till vid incidenter, hur avtalet kan avslutas och hur företaget skulle byta till en annan leverantör om det behövdes. Företaget har fortsatt fullt ansvar även när leverantören är en kritisk leverantör under tillsyn på EU-nivå.

Informationsdelning om cyberhot

Finansiella företag får utbyta hotinformation — attackmönster och komprometteringsindikatorer — inom betrodda grupper. Ingen tvingas delta, men ett företag som gör det måste informera sin tillsynsmyndighet, och utbytet måste följa regler om sekretess och dataskydd.

DORA jämfört med NIS2 och GDPR: så samverkar reglerna

Tre EU-lagar överlappar varandra när det gäller cyberresiliens och incidentrapportering, och många finansiella institut omfattas av fler än en. Tabellen visar vem som omfattas av varje regel och hur rapporteringsfristerna skiljer sig.

I praktiken rapporterar ett finansiellt företag IT-incidenter till sin finansiella tillsynsmyndighet, inte till den nationella cybersäkerhetsmyndigheten. GDPR gäller parallellt: om en cyberattack läcker kunddata rapporterar företaget två gånger — enligt DORA till den finansiella tillsynsmyndigheten och enligt GDPR till dataskyddsmyndigheten — enligt två separata tidsfrister.

DORA och krypto: vad det innebär för CASP och tokenutgivare

För kryptoföretag fungerar DORA-förordningen och MiCA-ramverket tillsammans. MiCA avgör vem som får erbjuda kryptotjänster eller ge ut token i EU; DORA avgör hur tekniken bakom dessa tjänster måste drivas. En leverantör av kryptotillgångstjänster som auktoriserats enligt MiCA är ett finansiellt företag enligt DORA från den dag licensen beviljas, liksom varje utgivare av tillgångsanknutna token. MiCA hänvisar själv till DORA för IT- och säkerhetskrav, så varje tillsynsmyndighet läser dem tillsammans.

I praktiken kontrolleras resiliensen redan under tillståndsprocessen, inte bara efteråt. När en tillsynsmyndighet granskar en CASP-ansökan ingår ramverket för IT-risk, kontinuitetsplanen, incidentrutinerna och outsourcingarrangemangen i underlaget, och DORA är måttstocken för bedömningen. En kryptobörs eller förvaringsinstitut kan inte få — eller behålla — sin licens med en resiliensplan som bara finns på papper.

Kryptoföretag har också IT-beroenden som en bank inte har: förvaring av privata nycklar, leverantörer av blockkedjenoder, tredjepartsinfrastruktur för plånböcker, komponenter i smarta kontrakt och marknader som handlas dygnet runt utan underhållsfönster. Enligt DORA är var och en av dessa en IT-tillgång eller leverantörsrelation som måste förtecknas, klassificeras, regleras genom avtal och testas. Det är också så olicensierade leverantörer av drift, nyckelhantering eller blockkedjeinfrastruktur börjar följa DORA: genom sina kunders avtal.

DORA-sanktioner, böter och påföljder vid bristande efterlevnad

Det finns ingen enda EU-omfattande tabell över DORA-sanktioner. I stället säger artikel 50 att varje medlemsstat ska fastställa påföljder som är ”effektiva, proportionella och avskräckande” och ger tillsynsmyndigheterna befogenhet att begära handlingar, genomföra inspektioner, besluta om rättelser och offentliggöra varningar. Varje medlemsstats nationella behöriga myndighet tillämpar dem enligt sektorns egen tillståndslagstiftning, så en bank, ett betalningsföretag och en kryptobörs möter var och en sin sektors sanktionsskala.

Du kan ha sett en ”DORA-bot” på en procent av den genomsnittliga dagliga globala omsättningen. Siffran är verklig, men riktar sig till någon annan: det är den dagliga sanktion som de europeiska tillsynsmyndigheterna kan ta ut av en kritisk ICT-tredjepartsleverantör som ignorerar ett tillsynsbeslut, i upp till sex månader. Det är inte en bot för banker eller kryptoföretag. De ”2 % av årsomsättningen” som ibland nämns tillsammans med den finns inte heller i DORA: de kommer från NIS2, där det är det lägsta tak som länder måste fastställa för väsentliga verksamheter. För ett finansiellt företag är de realistiska konsekvenserna:

• tillsynsåtgärder — förelägganden att rätta till brister, begränsningar av verksamheten och, i allvarliga fall, indragning eller förlust av licensen;
• administrativa böter enligt sektorns nationella lag;
• personligt ansvar för styrelseledamöter, eftersom DORA gör styrelsen ansvarig för IT-ramverket;
• straffrättsligt ansvar i länder som har valt att införa det, vilket artikel 52 tillåter;
• skada på anseende och affärsverksamhet — förlorade kunder, bankpartners och investerare.

Vem utövar tillsyn över DORA? Tillsynsmyndigheter på nationell nivå och EU-nivå

Den dagliga DORA-tillsynen ligger hos den tillsynsmyndighet som redan licensierar företaget — centralbanken eller finansinspektionen i dess hemmedlemsstat. Den behöriga myndigheten tar emot incidentrapporter och informationsregister, avgör vem som ska genomföra TLPT och kontrollerar ramverket för IT-risk inom den ordinarie tillsynen. De flesta publicerar DORA-vägledning, mallar och tidsfrister på sina webbplatser.

På EU-nivå delar tre organ på arbetet: Europeiska värdepappers- och marknadsmyndigheten, Europeiska bankmyndigheten och EIOPA, försäkrings- och tjänstepensionsmyndigheten. De utarbetar de tekniska standarder som fyller ut detaljerna och utser gemensamt de kritiska ICT-tredjepartsleverantörerna, som därefter övervakas av en av de tre som deras Lead Overseer.

Checklista för DORA-efterlevnad: så följer du reglerna

Oavsett om ett företag ansöker om licens eller redan står under tillsyn visar samma uppsättning dokument DORA-efterlevnad vid en revision. Här är en praktisk utgångspunkt för en DORA-implementeringsplan eller gapanalys:

• Bekräfta ditt tillämpningsområde: vilken kategori enligt artikel 2 du tillhör och om det förenklade ramverket eller undantaget för mikroföretag gäller.
• Kartlägg varje IT-tillgång, system och dataflöde som stödjer en kritisk eller viktig funktion.
• Anta en policy för ICT-riskhantering som godkänts av styrelsen, med utsedda ansvariga och årlig översyn.
• Inför incidentklassificering, en incidentlogg och rapporteringsmallar som följer de lagstadgade tidsfristerna.
• Upprätta en årlig testkalender och kontrollera om tillsynsmyndigheten har placerat dig på TLPT-listan.
• Sammanställ informationsregistret över alla IT-leverantörer och uppdatera deras avtal med de obligatoriska klausulerna.
• Kontrollera koncentrationsrisken och upprätta exitplaner för leverantörer som stödjer kritiska funktioner.
• Testa säkerhetskopior, återställning och IT-kontinuitetsplanen minst en gång per år.
• Utbilda styrelsen och spara bevis på att utbildningen har genomförts.

Eesti Firma rådgör fintech- och kryptoföretag om de juridiska aspekterna av DORA: vilka skyldigheter som gäller, hur IT-ramverket anpassas till MiCA:s tillståndskrav, granskning av leverantörsavtal och framtagning av de dokument som en tillsynsmyndighet förväntar sig att se. Kontakta oss för att diskutera hur förordningen gäller för din verksamhet.

Begär en konsultation

Vanliga frågor om DORA