EU-forordningen om digital operasjonell motstandsdyktighet i finanssektoren (DORA) pålegger finansforetak - og indirekte deres IKT-leverandører - et fullstendig register over kontrakter, presise kontraktsklausuler og daterte revisjonsbevis. SYAGA DORA-Express hjelper deg med å oppfylle disse kravene uten improvisasjon, enten du er et finansforetak eller en IKT-leverandør.
DORA er en forordning, ikke et direktiv: den gjelder direkte i alle medlemsstater, uten at man må vente på en nasjonal implementeringslov.
Forordning (EU) 2022/2554 av 14. desember 2022, kunngjort i EU-tidende 27. desember 2022, trådte i kraft 16. januar 2023 og har gjeldt fra 17. januar 2025. Ingen nasjonal implementering kreves: den kan påberopes direkte.
Hvert finansforetak skal føre og årlig oversende myndighetene et fullstendig register over sine IKT-kontrakter: leverandør, tjenestens art, funksjonens kritikalitet, datalagringsland.
Revisjons- og inspeksjonsrettigheter, garantier for datatilgjengelighet og -integritet, testede exit-planer, varsling av hendelser uten opphold. Disse klausulene forplantes fra deres finanskunde til dere dersom dere er deres IKT-leverandør.
Før en bank, et forsikringsselskap eller en investor signerer eller fornyer en kontrakt, sender de et cyberspørreskjema (styring, MFA, EDR, kryptering, opplæring). Å svare uten dokumentert bevis medfører at man taper kontrakten.
18.-19. november 2025 publiserte de europeiske tilsynsmyndighetene (EBA, ESMA, EIOPA) den første offisielle listen over kritiske IKT-leverandører i henhold til artikkel 32 i DORA. Blant navnene bekreftet i de offisielle kunngjøringene: AWS EMEA Sarl, Microsoft Ireland Operations Limited, Google Cloud, Orange SA, Capgemini SE (og 14 andre leverandører ikke bekreftet ved navn i våre kilder).
Konkret konsekvens: dersom deres kritiske tjenester bygger på en av disse leverandørene, må finansforetaket deres nå dokumentere dette i sitt IKT-register - og kan spørre dere om deres egen underleverandørkjede.
Kilde: offisielle kunngjøringer fra EIOPA og ESMA, 18.-19. november 2025 (eiopa.europa.eu, esma.europa.eu).
En strukturert oppfølging i 5 trinn for å dokumentere samsvaret deres - uten å love det verken et verktøy eller et konsulentselskap kan sertifisere på deres vegne.
Er dere et finansforetak direkte underlagt DORA (en av de 21 kategoriene i artikkel 2), eller en IKT-leverandør indirekte omfattet via kontraktsklausulene til deres finanskunder (artikkel 30)? Det eksakte omfanget bestemmer alt det øvrige.
Vi svarer på due diligence-spørreskjemaet fra bank, investor eller forsikringsselskap (styring, MFA, EDR, kryptering, opplæring...), basert på en teknisk revisjon av Microsoft 365-tenanten deres som datert og verifiserbart bevis.
Vi hjelper dere med å strukturere IKT-kontraktregisteret deres (art. 28 §3) og med å kontrollere eller innarbeide de minimale og forsterkede kontraktsklausulene i artikkel 30 i leverandørkontraktene deres.
Vår beredskapspakke tilbyr en sektorprofil for Finans (DORA, PSD2, ACPR), som dekker kravene til tester av operasjonell motstandsdyktighet i kapittel IV i DORA, i tråd med ISO 22301.
Overlevering til ledelsen, IT-sikkerhetssjefen (CISO) eller økonomidirektøren av en samlet dokumentasjon, med de presise punktene som må avgjøres av deres juridiske rådgiver før noen kommunikasjon til myndighetene.
Konkrete, kildebelagte leveranser, uten løfte om en sertifisering ingen kan garantere
10 typiske due diligence-spørsmål fra bank/M&A, dokumentert og kildebelagt (ILPA DDQ, CSA CAIQ, cyberforsikringsspørreskjemaer).
Kildebelagt sammendrag av forordning (EU) 2022/2554.
Struktur for det fullstendige registeret som kreves av myndighetene.
Til bruk eller kontroll i IKT-leverandørkontraktene deres.
Kontinuitets- og gjenopprettingsplan, dedikert sektorprofil.
PDF- og DOCX-formater, som samler alle leveransene.
Utdrag fra de 10 spørsmålene vi dokumenterer for dere, med kilden til hvert spørsmål
| Tema | Spørsmål | Kilde |
|---|---|---|
| Styring | Bygger sikkerhetspolicyen deres på et anerkjent rammeverk (NIST, ISO 27001)? | ILPA DDQ 2.0 |
| Tredjepartsrevisjon | Gjennomfører dere en årlig uavhengig revisjon og penetrasjonstester? | CSA CAIQ v4 |
| Hendelsesplan | Finnes det en formell, dokumentert og vedlikeholdt hendelsesresponsplan? | CSA CAIQ v4 / ILPA DDQ 2.0 |
| MFA | For hvilke tjenester krever dere flerfaktorautentisering? | Travelers - MFA Supplement |
| Privilegerte kontoer | Følger tilgangene prinsippet om minste privilegium, med periodisk gjennomgang? | CSA CAIQ v4 IAM |
| E-post | Hvilken M365-lisens bruker dere? Er Defender / avansert threat hunting aktivt? | vCSO.ai Cyber DD Checklist |
| Kryptering | Er diskene på endepunktene fullt ut kryptert? | Google VSAQ |
| Opplæring | Er det etablert et sikkerhetsopplæringsprogram for alle ansatte? | CSA CAIQ v4 HRS |
Hver leveranse angir eksplisitt hva den dekker - og hva den ikke dekker
IKT-register (art. 28), kontraktsklausuler (art. 30), varslingsfrister (art. 19), referanse til utpekte kritiske IKT-leverandører (art. 32).
DORA er en lex specialis i forhold til NIS2 for finanssektoren: de omfattede enhetene anvender DORA i stedet for de tilsvarende NIS2-tiltakene.
Beredskapsprofilen for Finans er i tråd med ISO 22301, styringsstandarden for virksomhetskontinuitet som brukes som supplement til DORA.
DORA-hendelsesvarslingen (ACPR/AMF, fransk myndighet) er atskilt fra GDPR-varslingen (CNIL, fransk myndighet) ved brudd på personopplysningssikkerheten: begge kan kreves samtidig.
Hver DORA-sak er forskjellig avhengig av status deres - skreddersydd tilbud i alle tilfeller
Dere leverer tjenester til ett eller flere finansforetak
Dere er direkte underlagt DORA (en av de 21 kategoriene, art. 2)
Regelmessig oppdatering av dokumentasjonen (forpliktelser, kontrakter, register)
DORA forklart enkelt, uten juridisk sjargong. Hvert punkt nedenfor viser til den offisielle teksten som bekrefter det.
DORA gjelder for europeiske finansaktører: banker, forsikringsselskaper, investeringsselskaper, markedsplasser, fondsforvaltere, betalingsleverandører... samt deres IT-leverandører. De minste aktørene har lettere regler.
Forordningen dekker 6 hovedtemaer: styring av IT-risiko, overvåking av eksterne leverandører, jevnlige motstandsdyktighetstester, rapportering av alvorlige hendelser, informasjonsdeling om trusler, og tilsyn med de største IT-leverandørene.
Teksten ble vedtatt 14. desember 2022, kunngjort i EU-tidende 27. desember 2022 (OJ L 333). Trådte i kraft 16. januar 2023. Forpliktelsene har reelt vært gjeldende siden 17. januar 2025.
De største IT-leverandørene (sky, hosting...) som anses "kritiske" for finanssektoren, er nå direkte kontrollert på europeisk nivå, med en ledende tilsynsmyndighet som kan pålegge dem tiltak.
Før DORA hadde hvert EU-land sine egne regler for å melde en alvorlig IT-hendelse. Nå gjelder én felles europeisk prosedyre: større hendelser varsles direkte til kompetente myndigheter.
Teksten fastsetter at myndighetene offentliggjør de administrative sanksjonene de ilegger. De nøyaktige bøtebeløpene er ikke stabilisert i kildene vi har konsultert per i dag - bør bekreftes etter hvert som offisielle presiseringer kommer.
Hører dere om DORA uten å vite om det gjelder for dere? Her er, forklart enkelt, forordningens offisielle virkeområde, forstått på 2 minutter, med tekstene som bekrefter det.
Den europeiske forordningen 2022/2554 (artikkel 2) omfatter 21 ulike kategorier finansforetak, hvorav 12 er under tilsyn av ESMA. Dette er ikke bare en sak for de store bankene: siden 17. januar 2025 er så godt som hele den europeiske finanssektoren omfattet, med ulike krav avhengig av virksomhetens størrelse. offisiell kilde (ESMA) ↗
Kredittinstitusjoner (banker), betalingsforetak, e-pengeforetak, tilbydere av kontoinformasjonstjenester.
Investeringsforetak, handelsplattformer, verdipapirsentraler, sentrale motparter, transaksjonsregistre, kredittvurderingsbyråer, forvaltere av alternative investeringsfond, forvaltningsselskaper.
Forsikrings- og gjenforsikringsselskaper, forsikringsformidlere (unntatt mikroforetak), tjenestepensjonsforetak med mer enn 15 medlemmer.
Tilbydere av kryptoaktivatjenester, folkefinansieringsplattformer, verdipapiriseringsregistre: digital finans er også omfattet.
IKT-leverandørene (sky, hosting, kritisk programvare) som driver disse foretakene, er også omfattet. De mest «kritiske» for hele sektoren overvåkes direkte på europeisk nivå.
DORA anvender et proporsjonalitetsprinsipp: jo mindre virksomheten er, desto lettere er forpliktelsene. Enkelte virksomheter er til og med uttrykkelig unntatt.
Et mikroforetak defineres offisielt som en virksomhet med færre enn 10 ansatte og en årlig omsetning eller balanse på høyst 2 millioner euro. Disse svært små finansforetakene slipper de tyngste styringsforpliktelsene i forordningen.
offisiell kilde (EUR-Lex, EU-definisjon) ↗ · kilde EUR-Lex (DORA-forordningen) ↗
Små, «ikke-sammenkoblede» investeringsforetak og små tjenestepensjonsforetak har et forenklet rammeverk for IT-risikostyring, nærmere beskrevet i en delegert forordning fra Europakommisjonen.
Et tjenestepensjonsforetak hvis ordning(er) til sammen har 15 medlemmer eller færre, faller utenfor forordningens virkeområde.
Også unntatt: postgirokontorer omfattet av kredittinstitusjonsdirektivet, enkelte fondsforvaltere eller forsikringsselskaper med sektorspesifikke unntak, samt forsikringsformidlere som selv er mikroforetak eller SMB-er.
Kort sagt: hvis foretaket deres er et europeisk finansforetak, eller hvis dere er en av deres IT-leverandører, er ikke lenger spørsmålet «er jeg omfattet», men «på hvilket kravsnivå». Teksten presiserer at hver virksomhet må tilpasse sine IT-ressurser til sin størrelse, risikoprofil og kompleksiteten i sin virksomhet. kilde EUR-Lex (fortalepunkt 36) ↗
DORA er ikke «én» dato, men flere trinn som har fulgt etter hverandre siden slutten av 2022. Her er, i rekkefølge, det som allerede har skjedd og det som fortsatt pågår - med den offisielle teksten som bekrefter hvert trinn.
Europaparlamentet og Rådet vedtar forordning (EU) 2022/2554. kilde EUR-Lex ↗
Teksten kunngjøres i Den europeiske unions tidende (EUT L 333). kilde EUR-Lex ↗
Forordningen eksisterer juridisk, men den faktiske anvendelsen for foretakene utsettes fortsatt i to år - for å gi tid til å forberede de tekniske standardene og registrene. kilde ESMA ↗
De tre europeiske finanstilsynsmyndighetene (bank, forsikring, marked) arrangerer to offentlige høringer for å ferdigstille de praktiske anvendelsesreglene. kilde ESMA ↗
Første sett med presise regler for IT-risikostyring (hvordan kartlegge, beskytte, oppdage, reagere), vedtatt av Kommisjonen 13. mars 2024. kilde EUR-Lex (2024/1774) ↗
Andre sett med anvendelsesregler (blant annet om IT-underleverandører og tilsyn med leverandører). kilde ESMA ↗
Kommisjonen publiserer den tekniske malen (skjemaene) som hvert omfattet foretak må bruke for å holde oversikten over sine IT-leverandører oppdatert. Trådte i kraft 22. desember 2024. kilde EUR-Lex (2024/2956) ↗
Fra denne datoen må alle omfattede finansforetak (og deres strategiske IT-leverandører) være reelt i samsvar, ikke bare «på papiret». kilde ESMA ↗ · kilde EIOPA ↗
De nasjonale tilsynsmyndighetene skulle rapportere de første informasjonsregistrene mottatt fra omfattede foretak videre til de europeiske myndighetene. kilde ESMA ↗
De europeiske myndighetene bygger, trinn for trinn, opp listen over IT-leverandører (sky, hosting...) som anses så viktige for hele finanssektoren at de vil bli direkte overvåket på europeisk nivå. Prosessen (informasjonsinnsamling, beslutninger, statusrapport) strakte seg fra november 2024 til mai 2025; den eksakte datoen for første offisielle utpeking er ikke stabilisert i kildene vi har konsultert per i dag - bør bekreftes etter hvert som nye publikasjoner kommer. kilde ESMA ↗
De europeiske myndighetene fortsetter å publisere statusrapporter (erfaringer fra alvorlige hendelser, justeringer av reglene for underleverandører). DORA er et levende prosjekt, ikke en fastlåst tekst. kilde ESMA ↗
Tidslinjen er utarbeidet på grunnlag av offisielle kilder (EUR-Lex, ESMA, EIOPA) konsultert 17. juli 2026. Enkelte datoer (endelig utpeking av kritiske leverandører, sanksjonsbeløp) er fortsatt under stabilisering av myndighetene - vi oppdaterer dem så snart de publiseres.
7 mer tekniske spørsmål, forklart enkelt: hvert av dem kildehenvist til den offisielle teksten som bekrefter det.
kilde EUR-Lex (fortalepunkt 43, 56, 61) ↗ · kilde ESMA (delegert forordning (EU) 2025/1190) ↗
kilde EUR-Lex (fortalepunkt 65) ↗ · kilde ESMA (gjennomføringsforordning (EU) 2024/2956) ↗
«DORA innebærer bøter» går ofte igjen i salgsprat. Det den offisielle teksten faktisk sier, svart på hvitt: to atskilte ordninger, med kun ett harmonisert europeisk tall - og ingen felles satsstruktur for alle.
DORA fastsetter ingen beløp eller omsetningsprosent. Teksten overlater uttrykkelig til hver medlemsstat å fastsette sine egne sanksjonsregler (artikkel 50, §3: « Member States shall lay down rules establishing appropriate administrative penalties... »). I Frankrike er det de vanlige myndighetene - ACPR for bank/forsikring, AMF for markedene - som anvender sin egen nasjonale satsstruktur, ikke en enhetlig europeisk DORA-sats.
Det forordningen derimot pålegger: typer tiltak som hvert land minst må fastsette (liste nedenfor) - det er opp til nasjonal rett å fastsette de eksakte beløpene.
Her fastsetter DORA et presist og harmonisert tall for hele Europa: en tvangsmulkt på inntil 1 % av gjennomsnittlig daglig global omsetning, per forsinkelsesdag, i maksimalt 6 måneder (artikkel 35, §7-8). Dette er ikke en umiddelbar sanksjon: den kan først utløses etter minst 30 kalenderdager med manglende samsvar konstatert av myndigheten.
Denne tvangsmulkten gjelder kun de store leverandørene som offisielt er utpekt som «kritiske» av EU - ikke kundeforetakene selv som bruker dem.
Dette er tvangsmulkten som «Lead Overseer» - én av de tre europeiske finanstilsynsmyndighetene (EBA, ESMA eller EIOPA, utpekt per leverandør) - kan ilegge en kritisk IT-leverandør som nekter å bringe seg i samsvar etter et frist på minst 30 dager. Pengene går til EUs generelle budsjett, og hver ilagt tvangsmulkt skal i prinsippet offentliggjøres av Lead Overseer.
Kilde: forordning (EU) 2022/2554, artikkel 35, avsnitt 6-10 - offisiell tekst EUR-Lex ↗
Fem typer tiltak som hver medlemsstat minst må fastsette i sin nasjonale rett - artikkel 50, §4 i DORA.
Pålegge foretaket å umiddelbart stanse den ikke-samsvarende praksisen og ikke gjenta den.
Forby en praksis eller atferd som anses stridende mot forordningen, midlertidig eller permanent.
Ethvert tiltak, inkludert økonomisk, for å bringe foretaket i samsvar - beløpet fastsettes av hvert lands nasjonale rett.
Kreve eksisterende registre fra en teleoperatør, ved rimelig mistanke om overtredelse.
Offentliggjøre en melding som angir foretakets identitet og overtredelsens art («name and shame»).
For å fastsette det nøyaktige sanksjonsnivået krever artikkel 51 §2 i DORA at myndigheten blant annet skal ta hensyn til: overtredelsens alvorlighetsgrad og varighet, ansvarsgraden, foretakets finansielle soliditet, oppnådd fortjeneste eller unngåtte tap, skader påført tredjeparter, samarbeidsnivået og tidligere overtredelser.
Analysen er basert på en fullstendig gjennomgang av artikkel 35 og 50-53 i forordning (EU) 2022/2554, offisiell tekst publisert i EU-tidende (L 333, 27.12.2022), konsultert på EUR-Lex 17. juli 2026. Det finnes ingen tallfestet sanksjon i teksten for finansforetak (henvisning til hver medlemsstats nasjonale rett) - vi finner derfor ikke på et slikt tall. Ingen tvangsmulkt etter artikkel 35 er offentlig registrert per i dag i våre kilder; DORA har kun vært fullt ut anvendelig siden 17. januar 2025.
Kontakt oss for å motta et skreddersydd tilbud basert på status deres (finansforetak eller IKT-leverandør).
Gratis: din score + dine avvik. Den detaljerte rapporten og attesten: 499 EUR eks. mva, kun hvis du selv velger det.
contact@syaga.eu