DORA förklarad: påverkan på programvaruinköp inom finanssektorn
DORA träder i kraft den 17 januari 2025 och förändrar fundamentalt hur finansiella organisationer köper och kontrakterar programvara. Detta är vad du behöver veta om de fem pelarna, de kontraktuella kraven och påverkan på hanteringen av programvarutillverkare.
- 9 september 2025
- 5 min
- DORA – Digital Operational Resilience Act
DORA, Digital Operational Resilience Act, gäller från och med 17 januari 2025 inom hela EU. För finansiella organisationer är digital resiliens därmed inte längre en intern IT-fråga utan en lagstadgad skyldighet med tillsyn.
Vad är DORA?
DORA är en EU-förordning och gäller alltså direkt, utan nationell implementering i medlemsländerna. Förordningen omfattar en bred grupp finansiella enheter, från banker och försäkringsbolag till investeringsföretag, betalningsinstitut och kryptotjänstleverantörer.
De fem pelarna
ICT-riskhantering: ett ramverk för att identifiera, klassificera och hantera ICT-risker.
Incidentrapportering: stora ICT-incidenter måste rapporteras inom angivna tidsramar.
Test av digital resiliens: periodiska tester av kritiska system.
Hantering av ICT-tredjepartsrisker: kontraktuella krav, en register och analys av koncentrationsrisk.
Informationsutbyte: delning av hotinformation inom sektorn.
Vad innebär DORA för programvaruinköp?
Den fjärde pelaren påverkar programvaruinköp direkt:
Minimikraven i kontrakt: ICT-kontrakt måste innehålla bestämmelser om bland annat tjänsteleverans, incidentrapportering, revisionsrättigheter, exit, dataplacering och kontinuitet.
Information register: ett aktuellt och komplett register över alla kontraktsöverenskommelser med ICT-leverantörer.
Koncentrationsrisk: alltför stor beroende av en enda part ska bedömas.
Underleverantörer: även de parter som dina programvarutillverkare förlitar sig på ska finnas med i bilden.
Läs i DORA i praktiken vad tillsynsmyndigheter nu fokuserar på.
Hur SoftVaro hjälper
SoftVaro kartlägger ditt programvarulandskap, även den långa svansen som ofta saknas i registret. Vid varje förnyelse tar vi med de kontraktsvillkor som DORA kräver. Denna artikel är inte juridisk rådgivning; anpassa tillämpningen med din compliance- eller juridiska avdelning.
Vanliga frågor
De vanligaste frågorna om detta ämne.
För vem gäller DORA?
DORA gäller för en bred variation av finansiella enheter i EU, såsom banker, försäkringsbolag, investeringsföretag, betalningsinstitut och kryptotjänstleverantörer. ICT-leverantörer omfattas av DORA-kraven genom sina kontrakt med dessa kunder.
Gäller DORA även för min mjukvaruleverantör?
Indirekt ja. Din organisation måste avtalsmässigt säkerställa DORA-kraven med de programvarutillverkare du använder. Leverantörer som klassificeras som kritiska omfattas dessutom av direkt europeisk tillsyn.
Vilka påföljder finns vid underlåtenhet att följa DORA?
Påföljder för finansiella enheter fastställs av nationella tillsynsmyndigheter. För kritiska IT-leverantörer har den europeiska tillsynsmyndigheten egna tillsynsmedel.
Redo att spara på programvara?
SoftVaro förhandlar fram det bästa erbjudandet åt dig hos över 4 000 leverantörer. Oberoende, transparent, inom 24 timmar.