DORA ställer krav på den finansiella sektorns digitala motståndskraft. Är era IT-leverantörer redo?
Banker, försäkringsbolag och värdepappersföretag måste hantera ICT-risker, rapportera incidenter och övervaka sina tredjepartsleverantörer. Om ni levererar IT-tjänster till finanssektorn kommer era kunder att ställa samma krav på er.
Fem pelare för digital motståndskraft
DORA bygger på fem pelare. Varje pelare har specifika krav, med AmpliFlow-verktyg som stödjer arbetet.
ICT-riskhantering
Finansiella aktörer behöver ett dokumenterat ramverk för att identifiera, bedöma och hantera ICT-risker. Ramverket ska granskas årligen och godkännas av ledningen.
ICT-incidentrapportering
Allvarliga ICT-incidenter ska klassificeras och rapporteras i tre steg: initial anmälan inom 4 timmar efter klassificering (max 24 timmar efter upptäckt), mellanliggande rapport inom 72 timmar och slutrapport inom en månad. Det kräver processer för att fånga, kategorisera och eskalera.
Motståndskraftstestning
Årlig grundtestning av ICT-system för alla. Betydande aktörer ska dessutom genomföra hotledd penetrationstestning (TLPT) vart tredje år.
Tredjepartsriskhantering
Fullständigt register över alla ICT-tredjepartsleverantörer. Riskbedömning, koncentrationsriskanalys och dokumenterade exitstrategier.
Informationsdelning
Frivilliga arrangemang för att dela hotinformation mellan finansiella aktörer. Stärker den kollektiva motståndskraften i sektorn.
Finansiella institutioner måste hantera sina ICT-leverantörer. Det påverkar er.
DORA kräver att banker och försäkringsbolag för register över alla ICT-tredjepartsleverantörer, bedömer koncentrationsrisker och har dokumenterade exitstrategier. Om ni säljer mjukvara eller IT-tjänster till finanssektorn, kommer era kunder att kräva att ni kan visa säkerhetskontroller, incidenthanteringsprocesser och dokumenterad riskhantering.
Reglerat av DORA
Bank / Försäkringsbolag
Kravställer på
ICT-leverantör
Måste kunna visa
Dokumenterad styrning
Leverantörsregister
Era kunder ska föra register över alla ICT-tredjepartsleverantörer med riskbedömningar, avtalsinformation och beroenden.
Koncentrationsrisk
Finansiella aktörer måste bedöma om de är för beroende av en enskild ICT-leverantör. Ni behöver kunna visa att ni minskar den risken.
Exitstrategier
Era kunder ska ha dokumenterade exitstrategier för alla kritiska ICT-leverantörer. Det påverkar hur ni strukturerar era tjänster.
Säkerhetskontroller
Ni behöver kunna visa hur ni hanterar incidenter, bedömer risker och skyddar data: strukturerat och dokumenterat.
DORA och NIS2: inte samma sak
DORA och NIS2 överlappar delvis, men de har olika omfattning, detaljeringsgrad och rättslig status. NIS2 är sedan 15 januari 2026 svensk lag genom cybersäkerhetslagen (SFS 2025:1506). DORA har företräde för finansiella aktörer: cybersäkerhetslagen undantar uttryckligen verksamheter som regleras av DORA (1 kap. 10 §).
| Aspekt | DORA | NIS2 |
|---|---|---|
| Typ | Förordning (direkt tillämplig) | Direktiv, i Sverige genomfört som cybersäkerhetslagen (SFS 2025:1506) |
| Omfattning | Finanssektorn: banker, försäkring, värdepapper, krypto | Breda sektorer: energi, transport, hälsa, digital infrastruktur |
| Fokus | Digital operativ motståndskraft och ICT-risker | Övergripande cybersäkerhet och nätverkssäkerhet |
| Tredjeparter | Detaljerade krav: ICT-leverantörsregister, koncentrationsrisk, exitstrategier | Grundläggande krav på leveranskedjans säkerhet |
| Testning | Obligatorisk TLPT vart tredje år för betydande aktörer | Inga specifika testningskrav |
| Relation | Lex specialis: har företräde för finansiella aktörer | Generell lagstiftning: cybersäkerhetslagen undantar DORA-reglerade aktörer (1 kap. 10 §) |
Så stödjer AmpliFlow varje pelare
AmpliFlow hanterar organisatorisk styrning, inte tekniska säkerhetslösningar. Här är konkreta verktyg mappade mot DORA:s pelare.
Riskbedömning med riskmatriser
Bedöm ICT-risker med sannolikhet och konsekvens. Koppla risker till tillgångar och åtgärder. Om ni redan arbetar med ISO 27001 har ni en grund att bygga DORA-efterlevnad på.
Sidor (wiki) för ICT-policyer
Samla ramverksdokumentation, policyer och rutiner i AmpliFlows wiki-funktion. Ledningen kan granska och kommentera direkt i systemet.
Incidenthantering via avvikelser
Registrera ICT-incidenter med klassificering och prioritering. Arbetsflöde för rotorsaksanalys, åtgärd och verifiering. Full spårbarhet för rapportering till tillsynsmyndighet.
Revisionsplanering och uppföljning
Planera och schemalägg testningsaktiviteter och granskningar av ICT-processer. Dokumentera fynd, avvikelser och förbättringsåtgärder.
Leverantörsregister
Register över ICT-tredjepartsleverantörer med kontaktuppgifter. Dokumentera beroenden och exitstrategier i Sidor (wiki). Riskbedömningar hanteras separat i riskmodulen.
Processhantering och kontinuitet
Kartlägg verksamhetskritiska processer och deras beroenden till ICT-system och tredjepartsleverantörer. Dokumentera kontinuitetsplaner i Sidor (wiki), använd checklistor för övningar.
Frågor om DORA och AmpliFlow
Vad är DORA?
Vilka verksamheter omfattas?
Gäller alla krav för alla?
Hur skiljer sig DORA från NIS2 och cybersäkerhetslagen?
Vad innebär DORA för ICT-leverantörer?
Hur stödjer AmpliFlow arbetet med DORA?
Hur hjälper ISO 27001 med DORA?
Vill ni se hur det fungerar?
Boka en demo så visar vi hur AmpliFlow kan stödja ert arbete med DORA, oavsett om ni är en finansiell aktör eller en ICT-leverantör till finanssektorn.