Dora-förordningen: vad den faktiskt kräver av er

Skillnaden är inte akademisk. Dora är en förordning och gäller därför direkt i Sverige utan att riksdagen behöver genomföra den, vilket är motsatsen till hur NIS2 fungerar. NIS2 blev cybersäkerhetslagen (2025:1506); Dora blev ingenting, eftersom den redan var tillämplig.

Konsekvensen för er är att ni läser förordningstexten direkt. Det finns ingen svensk paragraf att stödja sig på i stället, och det finns heller ingen nationell utformning som mjukar upp kraven.

Det som ändå tillkommer nationellt är tillämpningen. FI utövar tillsynen, Riksbanken ansvarar för TIBER-SE-processen, och de tekniska standarderna kommer från EBA, Esma och Eiopa som genomförandeförordningar med egna beteckningar.

Finansinspektionen sammanfattar förordningen i fyra krav på företagen: att hantera risker inom informations- och kommunikationsteknologi, att rapportera IKT-relaterade incidenter, att testa den digitala operativa motståndskraften, och att hantera IKT-relaterade tredjepartsrisker.

Uppdelningen är användbar därför att de fyra kräver olika saker av organisationen. Riskhanteringen är ett ramverk och en styrningsfråga. Incidentrapporteringen är en process med klockor. Testningen är en återkommande insats med extern part. Tredjepartsrisken är ett avtals- och inköpsarbete som i praktiken landar hos någon annan än säkerhetsfunktionen.

Det femte området i förordningen, informationsdelning om cyberhot, är frivilligt och nämns därför inte i FI:s uppräkning av krav. Det är värt att känna till men det driver inget arbete.

EU-förordningen för digital operativ motståndskraft (Dora-förordningen) började gälla i januari 2025.

Det är den detalj som oftast är fel i andrahandskällor. Finansinspektionen är tillsynsmyndighet och tar emot informationsregistret. Men hotbildsstyrd penetrationstestning enligt artikel 26 sker inom TIBER-SE, och TIBER-SE ansvarar Riksbanken för.

Riksbanken beskriver förhållandet så att Dora TLPT följer TIBER-SE:s testprocess: TLPT beskriver vad som ska göras, medan TIBER-SE beskriver hur det ska göras. I Sverige används alltså TIBER-SE för Dora TLPT.

Praktiskt betyder det att ni har två kontaktvägar. Frågor om tillsyn, register och rapportering går till FI. Frågor om hur ett hotbildsstyrt test ska genomföras går till Riksbanken. En organisation som byggt hela sin Dora-kontaktlista mot FI kommer att upptäcka det vid fel tillfälle.

Organisationer som arbetat med informationssäkerhet i finanssektorn har mycket på plats redan, och det är värt att skilja på vad Dora formaliserar och vad den faktiskt tillför.

Det som mest formaliseras är riskhanteringen. Kraven är detaljerade men känns igen av den som arbetat mot tidigare tillsynskrav eller mot ISO/IEC 27001.

Det som är genuint nytt för de flesta är två saker. Informationsregistret över avtal med IKT-tredjepartsleverantörer är en ny rapporteringsskyldighet med ett bestämt format och en bestämd dag. Och den obligatoriska avancerade testningen enligt artikel 26 är ett krav med intervall, vilket är ovanligt: varken NIS2 eller cybersäkerhetslagen anger något testintervall alls.