2026-05-10-dora-digital-operativ-motstandskraft-2026
DORA: Digital operativ motståndskraft — nya krav på svensk finanssektor
Stockholm, 10 maj 2026 — EU-förordningen DORA (Digital Operational Resilience Act) trädde i kraft den 28 januari 2025 och ställer nya, stränga krav på IKT-riskhantering och digital motståndskraft för finanssektorns aktörer. För svenska betalningsföretag innebär detta betydande förändringar i hur risker hanteras och incidenter rapporteras.
Vad är DORA?
DORA (EU) 2022/2554 är en EU-förordning som gäller i stort sett alla företag under Finansinspektionens (FI) tillsyn. Förordningen kompletteras av tekniska standarder från EBA (European Banking Authority), EIOPA (European Insurance and Occupational Pensions Authority) och ESMA (European Securities and Markets Authority).
Förordningens syfte är att stärka den finansiella sektorns förmåga att hantera digitala risker och säkerstera kontinuitet i kritiska finansiella tjänster.
Nyckelkrav enligt DORA
DORA inför fyra centrala krav som påverkar svenska betalningsföretag:
- IKT-riskhantering: Systematisk identifiering, bedömning och hantering av IKT-relaterade risker
- Incidentrapportering: Skyldighet att rapportera allvarliga incidenter till tillsynsmyndigheter inom 72 timmar
- Digital motståndskraftstestning: Regelbundna tester av motståndskraft mot cyberhot och tekniska störningar
- Tredjeparts-IKT-risker: Särskilda krav på riskhantering när man använder externa leverantörer av IKT-tjänster
Påverkan på svenska betalningsföretag
För Sveriges betalningssektor innebär DORA flera specifika utmaningar och möjligheter:
Trustly och e-plånböcker
Trustly, som är en ledande aktör inom direktbetalningar i Europa, måste anpassa sin plattform för att möta DORA:s krav på incidentrapportering och testning. Företag som erbjuder e-plånböcker som Swish, Zimpler och Klarna Cash måste också implementera de nya säkerhetskraven.
Speciellt viktigt blir kravet på att kunna hantera tredjepartsrisker, eftersom många betalningsföretag är beroende av teknologi från externa leverantörer.
BankID-operatörer
BankID-operatörer, inklusive Svensk E-identitet, står inför särskilt höga krav då e-legitimationer anses som kritisk infrastruktur. DORA:s krav på digital motståndskraft och incidenthantering har direkt koppling till säkerheten i Sveriges betalningssystem.
FI:s rapport om förberedelser
Finansinspektionen publicerade nyligen en rapport om hur svenska finansiella företag förbereder sig inför DORA. Rapporten visar att de flesta bolag är på rätt väg, men att det finns utrymme för förbättringar särskilt när det gäller:
- Incidenthanteringsprocesser
- Tredjepartsriskhantering
- Regelbundna tester av motståndskraft
Koppling till PSD3 och PSR
DORA:s införande sker i samband med att EU arbetar med PSD3 (Payment Services Directive 3) och PSR (Payment System Regulation). Dessa regelverk tillsammans skapar en helt ny ram för europeiska betalningar med fokus på:
- Ökad konsumentskydd
- Strängare bedrägeribekämpning
- Standardiserade API:er
- Delat ansvar för bedrägerier
Den ökade regleringslasten ställer höga krav på svenska betalningsföretags tekniska och organisatoriska förmåga att möta kraven.
Tekniska utmaningar
De tekniska utmaningarna inför DORA omfattar:
- Incidentdetektering: System för att snabbt upptäcka och rapportera incidenter
- Riskkartläggning: Verktyg för att systematiskt identifiera IKT-relaterade risker
- Testning: Automatiserade verktyg för att testa motståndskraft mot cyberattacker
- Tredjepartsövervakning: System för att hantera risker från externa leverantörer
Företagsstrategier för efterlevnad
Svenska betalningsföretag måste nu anpassa sina strategier för att möta DORA:s krav. Detta innefattar:
- Revidering av riskramverk: Utveckla nya ramar för IKT-riskhantering
- Incidentplaner: Skapa detaljerade planer för hantering av tekniska incidenter
- Samarbete med leverantörer: Förbättra kravställning och övervakning av externa leverantörer
- Personalutbildning: Utbilda personal i nya processer och krav
Framtidsutsikter
Medan DORA ställer höga krav på branschen, skapar den också möjligheter för företag som kan visa en stark digital motståndskraft. För svenska betalningsföretag kan detta innebära ökad konkurrenskraft både på den nordiska och den europeiska marknaden.
DORA:s krav kommer sannolikt att fortsätta utvecklas i takt med att teknologin och hotlandskapet förändras. De företag som nu investerar i robusta system kommer att ha fördelar i framtiden.
Källa: Finansinspektionen, EUR-Lex, EIOPA, Riksdagen (Ds 2021:5)
Artikel publicerad av PayPro.se - Sveriges oberoende betalningsanalys