Evrópureglugerðin um stafrænt rekstrarþol fjármálageirans (DORA) leggur á fjármálaeiningar - og óbeint á UT-þjónustuveitendur þeirra - þá skyldu að halda tæmandi skrá yfir samninga, hafa nákvæm samningsákvæði og dagsett endurskoðunargögn. SYAGA DORA-Express hjálpar þér að uppfylla þessar kröfur án spuna, hvort sem þú ert fjármálaeining eða þjónustuveitandi.
DORA er reglugerð, ekki tilskipun: hún gildir milliliðalaust í öllum aðildarríkjum, án þess að bíða þurfi eftir landslöggjöf til löggildingar.
Reglugerð (ESB) 2022/2554 frá 14. desember 2022, birt í Stjórnartíðindum ESB 27. desember 2022, tók gildi 16. janúar 2023 og hefur verið í gildi frá 17. janúar 2025. Engrar landslöggjafar er þörf: hún er beint bindandi.
Sérhver fjármálaeining þarf að halda við og senda árlega til yfirvalda heildarskrá yfir UT-samninga sína: þjónustuveitanda, eðli þjónustunnar, mikilvægi hlutverksins og hýsingarland gagnanna.
Endurskoðunar- og eftirlitsréttur, ábyrgð á aðgengi og heilleika gagna, prófaðar útgönguáætlanir, tilkynning atvika án tafar. Þessi ákvæði berast frá fjármálaviðskiptavini þínum til þín ef þú ert UT-þjónustuveitandi hans.
Áður en samningur er undirritaður eða endurnýjaður sendir banki, tryggingafélag eða fjárfestir netöryggisspurningalista (stjórnarhætti, MFA, EDR, dulkóðun, vitundarvakningu). Að svara honum án skjalfestra gagna kostar samninginn.
Dagana 18.-19. nóvember 2025 birtu evrópsku eftirlitsstofnanirnar (EBA, ESMA, EIOPA) fyrsta opinbera listann yfir mikilvæga UT-þjónustuveitendur samkvæmt 32. grein DORA. Meðal nafna sem staðfest eru í opinberum tilkynningum: AWS EMEA Sarl, Microsoft Ireland Operations Limited, Google Cloud, Orange SA, Capgemini SE (og 14 aðrir þjónustuveitendur sem ekki eru nafngreindir í heimildum okkar).
Áþreifanleg afleiðing: ef mikilvæg þjónusta þín byggir á einum þessara þjónustuveitenda þarf fjármálaviðskiptavinur þinn nú að skjalfesta það í UT-skrá sinni - og getur spurt þig út í eigin undirverktakakeðju.
Heimild: opinberar tilkynningar EIOPA og ESMA frá 18.-19. nóvember 2025 (eiopa.europa.eu, esma.europa.eu).
Skipulögð aðstoð í 5 skrefum til að skjalfesta samræmi þitt - án þess að lofa því sem hvorki verkfæri né ráðgjafarfyrirtæki getur vottað í þínum stað.
Ert þú fjármálaeining sem fellur beint undir (einn af 21 flokki 2. greinar), eða UT-þjónustuveitandi sem málið varðar óbeint í gegnum samningsákvæði fjármálaviðskiptavina þinna (30. grein)? Nákvæmt umfang ræður öllu öðru.
Við svörum due diligence-spurningalista banka, fjárfestis eða tryggingafélags (stjórnarhætti, MFA, EDR, dulkóðun, vitundarvakningu...) og styðjumst við tæknilega úttekt á Microsoft 365-leigueiningu þinni sem dagsett og sannreynanleg gögn.
Við hjálpum þér að skipuleggja UT-samningsskrá þína (28. gr. 3. mgr.) og að sannreyna eða fella lágmarks- og hertu samningsákvæði 30. greinar inn í samninga þjónustuveitenda þinna.
PRA/PCA Suite okkar býður upp á sértækt snið fyrir fjármálageirann (DORA, PSD2, ACPR) sem nær yfir kröfur um prófun á rekstrarþoli samkvæmt IV. kafla DORA, í samræmi við ISO 22301.
Afhending til stjórnenda þinna, upplýsingaöryggisstjóra (RSSI) eða fjármálastjóra á samandreginni möppu, með nákvæmum atriðum sem lögfræðingur þinn þarf að skera úr um áður en nokkuð er sent til yfirvalda.
Áþreifanlegar, heimildaskráðar afurðir, án loforða um vottun sem enginn getur ábyrgst
10 dæmigerðar due diligence-spurningar banka/M&A, skjalfestar og heimildaskráðar (ILPA DDQ, CSA CAIQ, netöryggisspurningalistar tryggingafélaga).
Heimildaskráð samantekt á reglugerð (ESB) 2022/2554.
Uppbygging tæmandi skrárinnar sem yfirvöld krefjast.
Til að fella inn eða sannreyna í samningum UT-þjónustuveitenda þinna.
Rekstrarsamfellu- og endurheimtaráætlun, sértækt geirasnið.
PDF- og DOCX-snið, sem sameinar allar afurðirnar.
Brot úr þeim 10 spurningum sem við skjalfestum fyrir þig, með heimild fyrir hverja spurningu
| Þema | Spurning | Heimild |
|---|---|---|
| Stjórnarhættir | Byggir öryggisstefna þín á viðurkenndum staðli (NIST, ISO 27001)? | ILPA DDQ 2.0 |
| Ytri úttekt | Framkvæmir þú árlega óháða úttekt og innbrotsprófanir? | CSA CAIQ v4 |
| Atvikaáætlun | Er til formleg viðbragðsáætlun við atvikum, skjalfest og viðhaldið? | CSA CAIQ v4 / ILPA DDQ 2.0 |
| MFA | Fyrir hvaða þjónustur krefst þú fjölþátta auðkenningar? | Travelers - MFA Supplement |
| Forréttindaaðgangar | Fylgja aðgangar reglunni um lágmarksréttindi, endurskoðuð reglulega? | CSA CAIQ v4 IAM |
| Tölvupóstur | Hvaða M365-leyfi notar þú? Er Defender / ítarlega ógnaleit virk? | vCSO.ai Cyber DD Checklist |
| Dulkóðun | Eru diskar tækjanna alfarið dulkóðaðir? | Google VSAQ |
| Þjálfun | Er komið á vitundarvakningaráætlun um öryggi fyrir allt starfsfólk? | CSA CAIQ v4 HRS |
Hver afurð tilgreinir skýrt hvað hún nær yfir - og hvað ekki
UT-skrá (28. gr.), samningsákvæði (30. gr.), tilkynningarfrestir (19. gr.), tilvísun til tilnefndra mikilvægra UT-þjónustuveitenda (32. gr.).
DORA er lex specialis gagnvart NIS2 fyrir fjármálageirann: hlutaðeigandi einingar beita DORA í stað samsvarandi NIS2-ráðstafana.
Fjármálasnið PRA/PCA fylgir ISO 22301, stjórnunarstaðli um rekstrarsamfellu sem notaður er samhliða DORA.
Tilkynning atvika samkvæmt DORA (til ACPR/AMF) er aðgreind frá GDPR-tilkynningu (til CNIL) ef um brot á persónuupplýsingum er að ræða: hvort tveggja getur verið krafist samtímis.
Hvert DORA-mál er ólíkt eftir stöðu þinni - sérsniðið tilboð í öllum tilvikum
Þú veitir þjónustu til einnar eða fleiri fjármálaeininga
Þú fellur beint undir DORA (einn af 21 flokki, 2. gr.)
Regluleg uppfærsla möppunnar (skyldur, samningar, skrá)
DORA útskýrð á einfaldan hátt, án lögfræðilegs hrognamáls. Hvert atriði hér fyrir neðan vísar til opinbera textans sem staðfestir það.
DORA gildir um evrópska fjármálaaðila: banka, tryggingafélög, verðbréfafyrirtæki, markaðsvettvanga, sjóðastýringaraðila, greiðsluþjónustuveitendur... sem og UT-þjónustuveitendur þeirra. Mjög smáar einingar njóta einfaldari reglna.
Reglugerðin nær yfir 6 meginsvið: áhættustjórnun upplýsingatækni, eftirlit með ytri þjónustuveitendum, reglulegar þolprófanir, tilkynningu alvarlegra atvika, deilingu upplýsinga um ógnir, og eftirlit með stærstu upplýsingatækniþjónustuveitendunum.
Textinn samþykktur 14. desember 2022, birtur í Stjórnartíðindum ESB 27. desember 2022 (JO L 333). Tók gildi 16. janúar 2023. Skyldurnar hafa raunverulega átt við frá 17. janúar 2025.
Stærstu upplýsingatækniþjónustuveitendurnir (ský, hýsing...) sem taldir eru „mikilvægir" fyrir fjármálageirann eru nú undir beinu eftirliti á evrópskum vettvangi, með aðaleftirlitsaðila sem getur sett þeim ráðstafanir.
Fyrir DORA hafði hvert ESB-land sínar eigin reglur um að tilkynna alvarleg upplýsingatækniatvik. Nú gildir eitt sameiginlegt evrópskt ferli: alvarleg atvik eru tilkynnt beint til bærra yfirvalda.
Textinn kveður á um að yfirvöld birti þau stjórnvaldsviðurlög sem þau ákveða. Nákvæmar sektarupphæðir liggja ekki endanlega fyrir í þeim heimildum sem skoðaðar hafa verið til þessa - þarf að staðfesta eftir því sem opinberar upplýsingar skýrast.
Þú heyrir talað um DORA en veist ekki hvort hún eigi við hjá þér? Hér er, á einfaldan hátt, opinbert gildissvið reglugerðarinnar, útskýrt á 2 mínútum, með textunum sem sanna það.
Evrópureglugerð 2022/2554 (2. gr.) nær til 21 mismunandi flokka fjármálafyrirtækja, en 12 þeirra eru undir eftirliti ESMA. Þetta er ekki bundið við stóra banka: frá 17. janúar 2025 á nánast allur evrópski fjármálageirinn undir, þó með mismunandi kröfustigi eftir stærð fyrirtækisins. opinber heimild (ESMA) ↗
Lánastofnanir (bankar), greiðslustofnanir, rafeyrisfyrirtæki, reikningsupplýsingaþjónustuveitendur.
Verðbréfafyrirtæki, viðskiptavettvangar, verðbréfamiðstöðvar, miðlægir mótaðilar, viðskiptaskrár, matsfyrirtæki, rekstraraðilar vaðfjárfestingasjóða, rekstrarfélög.
Vátryggingafélög og endurtryggingafélög, vátryggingamiðlarar (utan örfyrirtækja), starfstengd lífeyrissjóðir með fleiri en 15 sjóðfélaga.
Þjónustuveitendur dulritunareigna, hópfjármögnunarvettvangar, verðbréfunarskrár: stafræna fjármálageiran fellur einnig undir gildissviðið.
UT-þjónustuveitendur (ský, hýsing, mikilvægur hugbúnaður) sem knýja þessi fyrirtæki falla einnig undir eftirlit. Þeir mikilvægustu fyrir allan geirann eru undir beinu eftirliti á evrópskum vettvangi.
DORA byggir á meðalhófsreglu: því minni sem fyrirtækið er, því léttari eru skyldurnar. Sumar stofnanir eru meira að segja skýrt undanþegnar.
Örfyrirtæki er opinberlega skilgreint sem eining með færri en 10 starfsmenn og árlega veltu eða efnahagsreikning undir 2 milljónum evra. Þessi mjög smáu fjármálafyrirtæki sleppa við þyngstu stjórnarháttaskyldur reglugerðarinnar.
opinber heimild (EUR-Lex, ESB-skilgreining) ↗ · heimild EUR-Lex (DORA-reglugerðin) ↗
Smá „ótengd" verðbréfafyrirtæki og smá starfstengd lífeyrissjóðir njóta einfaldaðs ramma um stjórnun upplýsingatækniáhættu, nánar útfærðs í framseldri reglugerð framkvæmdastjórnar Evrópusambandsins.
Starfstengd lífeyrisstofnun þar sem kerfin sem hún rekur telja samtals 15 sjóðfélaga eða færri fellur ekki undir gildissvið reglugerðarinnar.
Einnig utan gildissviðs eru: póstávísanastofnanir sem falla undir tilskipunina um lánastofnanir, tilteknir sjóðastjórar eða vátryggjendur með geirabundnar undanþágur, sem og vátryggingamiðlarar sem sjálfir eru örfyrirtæki eða lítil og meðalstór fyrirtæki.
Í stuttu máli: ef fyrirtæki þitt er evrópsk fjármálaeining, eða ef þú ert einn af upplýsingatækniþjónustuveitendum slíks fyrirtækis, er spurningin ekki lengur „á þetta við mig" heldur „á hvaða kröfustigi". Textinn kveður á um að hvert fyrirtæki skuli aðlaga upplýsingatæknileg úrræði sín að stærð sinni, áhættusniði og flækjustigi starfseminnar. heimild EUR-Lex (aðfaraorð 36) ↗
DORA er ekki „ein" dagsetning, heldur nokkur skref sem hafa fylgt hvert öðru frá lokum 2022. Hér er, í réttri röð, það sem þegar hefur gerst og það sem enn er í vinnslu - með, fyrir hvert skref, opinbera textanum sem sannar það.
Evrópuþingið og ráðið samþykkja reglugerð (ESB) 2022/2554. heimild EUR-Lex ↗
Textinn er birtur í Stjórnartíðindum Evrópusambandsins (JO L 333). heimild EUR-Lex ↗
Reglugerðin er þá orðin lagalega til, en raunveruleg beiting hennar gagnvart fyrirtækjum er enn frestað um tvö ár - á meðan tæknistaðlar og skrár eru undirbúnar. heimild ESMA ↗
Þrjú evrópsk fjármálaeftirlitsyfirvöld (banka, vátrygginga, markaða) skipuleggja tvær opinberar yfirheyrslur til að fullmóta hagnýtar framkvæmdarreglur. heimild ESMA ↗
Fyrsta röð nákvæmra reglna um stjórnun upplýsingatækniáhættu (hvernig á að kortleggja, verja, greina, bregðast við), samþykkt af framkvæmdastjórninni 13. mars 2024. heimild EUR-Lex (2024/1774) ↗
Önnur röð framkvæmdarreglna (meðal annars um upplýsingatækni-undirverktöku og eftirlit með þjónustuveitendum). heimild ESMA ↗
Framkvæmdastjórnin birtir tæknilega sniðið (eyðublöðin) sem hvert viðkomandi fyrirtæki verður að nota til að halda uppfærðri birgðaskrá yfir UT-þjónustuveitendur sína. Gildistaka 22. desember 2024. heimild EUR-Lex (2024/2956) ↗
Frá og með þessum degi verða allar viðkomandi fjármálaeiningar (og lykil-UT-þjónustuveitendur þeirra) að vera í raunverulegu samræmi, ekki aðeins „á pappír". heimild ESMA ↗ · heimild EIOPA ↗
Innlend eftirlitsyfirvöld áttu að skila fyrstu upplýsingaskránum, sem borist höfðu frá skyldubundnum fyrirtækjum, til evrópsku yfirvaldanna. heimild ESMA ↗
Evrópsku yfirvöldin byggja, skref fyrir skref, upp lista yfir UT-þjónustuveitendur (ský, hýsing...) sem taldir eru svo mikilvægir fyrir allan fjármálageirann að þeir verði undir beinu eftirliti á evrópskum vettvangi. Ferlið (upplýsingasöfnun, ákvarðanir, framvinduskýrsla) stóð frá nóvember 2024 til maí 2025; nákvæm dagsetning fyrstu opinberu tilnefningarinnar er ekki staðfest í þeim heimildum sem skoðaðar hafa verið til þessa - verður staðfest eftir því sem birtingum fjölgar. heimild ESMA ↗
Evrópsku yfirvöldin halda áfram að birta framvinduskýrslur (reynslugögn um meiriháttar atvik, breytingar á undirverktökureglum). DORA er lifandi verkefni, ekki fastmótaður texti. heimild ESMA ↗
Dagatal byggt á opinberum heimildum (EUR-Lex, ESMA, EIOPA) skoðuðum 17. júlí 2026. Sumar dagsetningar (endanleg tilnefning mikilvægra þjónustuveitenda, fjárhæðir viðurlaga) eru enn í fullnaðarvinnslu hjá yfirvöldum - við uppfærum um leið og þær verða birtar.
7 tæknilegri spurningar, útskýrðar á einfaldan hátt: hver þeirra byggð á opinberum texta sem staðfestir hana.
heimild EUR-Lex (aðfaraorð 43, 56, 61) ↗ · heimild ESMA (framseld reglugerð (ESB) 2025/1190) ↗
heimild EUR-Lex (aðfaraorð 65) ↗ · heimild ESMA (framkvæmdarreglugerð (ESB) 2024/2956) ↗
„DORA kveður á um sektir" heyrist oft í söluræðum. Það sem opinberi textinn segir í raun, svart á hvítu: tvö aðskilin kerfi, með einni samræmdri evrópskri tölu - og engum einum sektarramma fyrir alla.
DORA tilgreinir enga fjárhæð né hlutfall af veltu. Textinn vísar beint til hvers aðildarríkis um að setja sínar eigin reglur um stjórnvaldssektir (50. gr., 3. mgr.: „Member States shall lay down rules establishing appropriate administrative penalties..."). Á Íslandi eru það þín venjulegu eftirlitsyfirvöld sem beita eigin innlendum sektarramma, ekki einum samræmdum evrópskum DORA-ramma.
Það sem reglugerðin kveður hins vegar á um: tegundir aðgerða sem hvert land verður að minnsta kosti að setja í lög (listi hér fyrir neðan) - en landsrétturinn ákveður nákvæmar fjárhæðir.
Hér tilgreinir DORA nákvæma og samræmda tölu fyrir alla Evrópu: dagsekt sem getur numið allt að 1% af meðaltali dagsveltu á heimsvísu, fyrir hvern dag sem líður, í allt að 6 mánuði (35. gr., 7.-8. mgr.). Þetta er ekki tafarlaust viðurlag: það má aðeins beita eftir að minnsta kosti 30 almanaksdaga vanefnda sem yfirvaldið hefur staðfest.
Þessi dagsekt á eingöngu við um stóru þjónustuveitendurna sem ESB hefur formlega tilnefnt „mikilvæga" - ekki viðskiptavinafyrirtækin sjálf sem nota þjónustu þeirra.
Þetta er dagsektin sem „Lead Overseer" - eitt af þremur evrópskum fjármálaeftirlitsyfirvöldum (EBA, ESMA eða EIOPA, tilnefnt eftir þjónustuveitanda) - getur beitt UT-þjónustuveitanda sem er tilnefndur „mikilvægur" og neitar að laga sig að reglum eftir að minnsta kosti 30 daga frest. Féð rennur í almennan fjárhag Evrópusambandsins, og í reglu skal hver dagsekt sem beitt er gerð opinber af Lead Overseer.
Heimild: Reglugerð (ESB) 2022/2554, 35. gr., 6.-10. mgr. - opinber texti EUR-Lex ↗
Fimm tegundir aðgerða sem hvert aðildarríki verður að minnsta kosti að kveða á um í landsrétti sínum - 50. gr., 4. mgr. DORA.
Skylda fyrirtækið til að hætta tafarlaust hinni ólögmætu framkvæmd og ekki endurtaka hana.
Banna framkvæmd eða hegðun sem talin er brjóta gegn reglugerðinni, tímabundið eða varanlega.
Sérhver aðgerð, þ.m.t. fjárhagsleg, til að koma fyrirtækinu í samræmi - fjárhæð ákveðin af landsrétti hvers ríkis.
Krefja fjarskiptafyrirtæki um fyrirliggjandi gögn, ef rökstuddur grunur er um brot.
Birta opinbera tilkynningu um auðkenni fyrirtækisins og eðli brotsins („name and shame").
Til að ákvarða nákvæmt umfang viðurlaga skal yfirvaldið, samkvæmt 51. gr., 2. mgr. DORA, meðal annars taka tillit til: alvarleika og lengdar brotsins, ábyrgðarstigs, fjárhagsstöðu fyrirtækisins, ávinnings sem hlaust eða tjóns sem forðast var, tjóns sem þriðju aðilar urðu fyrir, samstarfsvilja og fyrri brota.
Greining byggð á heildarlestri 35. gr. og 50.-53. gr. reglugerðar (ESB) 2022/2554, opinbers texta birts í Stjórnartíðindum ESB (L 333, 27.12.2022), skoðaðs á EUR-Lex 17. júlí 2026. Engin talnaleg sektarfjárhæð er í textanum fyrir fjármálaeiningar (vísað til landsréttar hvers aðildarríkis) - við finnum því ekki upp slíka tölu. Engin dagsekt samkvæmt 35. gr. hefur verið skráð opinberlega til þessa í heimildum okkar; DORA gildir að fullu aðeins frá 17. janúar 2025.
Hafðu samband við okkur til að fá sérsniðið tilboð eftir stöðu þinni (fjármálaeining eða UT-þjónustuveitandi).
Ókeypis: einkunnin þín + frávikin þín. Ítarlega skýrslan og staðfestingin: 499 € án vsk, aðeins ef þú ákveður það.
contact@syaga.eu