Omfattas vi av Dora-förordningen?

FI:s formulering är en bra utgångspunkt: de flesta företag under FI:s tillsyn omfattas. Om ni har ett tillstånd från FI är sannolikheten hög att Dora gäller, och den bedömningen tar en minut.

Den brister i två riktningar. Uppåt: förordningen omfattar också vissa aktörer som inte är de klassiska finansbolagen, och den utpekar dessutom kritiska IKT-tredjepartsleverantörer för en egen tillsynsordning på EU-nivå. Nedåt: det finns undantag och lättnader, men de är snävare än de flesta antar.

Det praktiskt viktiga är att bedömningen görs per juridisk person och per tillstånd. En koncern där moderbolaget inte är tillståndspliktigt men ett dotterbolag är det har ett dotterbolag som omfattas, och koncernens gemensamma IT hamnar då inom det bolagets ansvar oavsett var den drivs.

Förordningen är genomgående proportionell: kraven ska tillämpas med hänsyn till entitetens storlek, riskprofil och verksamhetens art och komplexitet. Det är en verklig lättnad och den missförstås konsekvent.

Proportionaliteten påverkar hur ett krav uppfylls, inte om det gäller. Ett litet företag behöver inte samma dokumentationsapparat som en storbank, men det behöver ett IKT-ramverk, en incidentprocess, ett testprogram och ett register över avtalen.

Konsekvensen är att proportionalitet flyttar bevisbördan snarare än tar bort den. Om ni valt en enklare lösning ska valet gå att motivera mot storlek och riskprofil, och den motiveringen bör vara daterad och nedskriven medan ni fattar beslutet.

de flesta företag som i dag står under FI:s tillsyn

Den första är företag som uppfattar sig som teknikbolag. Ett bolag som byggt en betaltjänst, ett kreditförmedlingsflöde eller en försäkringsdistributionsplattform och skaffat det tillstånd som krävdes ser sig ofta som ett SaaS-bolag med en licens. Dora ser en finansiell entitet.

Den andra är leverantörer. Om ni levererar IKT-tjänster till finansiella entiteter omfattas ni inte direkt, men era kunder är skyldiga att hantera er som tredjepartsrisk, föra in avtalet i sitt informationsregister och ställa avtalskrav på er. Kraven når er genom avtalet i stället för genom tillsynen, och de kommer med kortare varsel.

För båda grupperna är den praktiska konsekvensen densamma: frågorna börjar komma från kunder och motparter innan någon myndighet hör av sig, och den som inte gjort bedömningen svarar då improviserat.

Ingen myndighet meddelar er att ni omfattas. Bedömningen är er egen, vilket betyder att den behöver finnas nedskriven för att kunna visas.

Fyra uppgifter räcker: vilka tillstånd ni har, vilken punkt i förordningens uppräkning ni matchade mot, vem som gjorde bedömningen, och när. Spara utdraget ur förordningstexten som ni faktiskt läste, eftersom en hänvisning till en webbsida inte visar vad som stod där den dagen.

Gör om bedömningen vid förvärv, nya tillstånd och omstruktureringar. De tre är de vanligaste anledningarna till att en tidigare korrekt bedömning blir fel, och ingen av dem genererar ett brev från någon.