Publicerad
Sammanfattning: För finansiella entiteter som omfattas av DORA är DORA huvudregelverket för IKT-risk och incidentrapportering, även när företaget också omfattas av cybersäkerhetslagen: lagen viker för sektorsregler med minst motsvarande krav. Andra verksamheter följer cybersäkerhetslagen (NIS2) om de finns i en av lagens sektorer och når storleksgränsen. IKT-leverantörer till finanssektorn möter DORA genom kundernas avtal och kan samtidigt omfattas av cybersäkerhetslagen själva.
Den korta regeln
DORA, förordning (EU) 2022/2554, gäller sedan den 17 januari 2025 direkt för de finansiella entiteter förordningen räknar upp: banker, försäkringsbolag, värdepappersbolag, betaltjänstleverantörer och flera andra kategorier. Cybersäkerhetslagen (2025:1506), som genomför NIS2, gäller sedan den 15 januari 2026 för väsentliga och viktiga verksamhetsutövare i lagens sektorer, där bank och finansmarknadsinfrastruktur ingår.
Överlappet löses i lagen själv. Om en annan författning har krav på säkerhetsåtgärder eller incidentrapportering med minst motsvarande verkan, gäller de i stället för lagens krav i 2 kap. 3–10 §§ (1 kap. 10 § cybersäkerhetslagen). För finansiella entiteter som omfattas av DORA är DORA en sådan författning. Andra skyldigheter enligt lagen, till exempel anmälan, kan fortfarande gälla.
Vilket gäller er? Tre frågor
- Är ni ett finansiellt företag som DORA räknar upp? Då är DORA ert regelverk för IKT-risk, incidenter, testning och tredjepartsrisk. Kontrollera sedan om ni också är verksamhetsutövare enligt cybersäkerhetslagen och vilka av lagens skyldigheter som då återstår.
- Levererar ni IKT-tjänster till finansiella företag? Då möter ni DORA genom kundernas avtal. DORA ställer avtalskrav på alla IKT-tjänster, och för tjänster som stödjer kritiska eller viktiga funktioner gäller mer omfattande krav, bland annat på uppföljning, åtkomst och revision samt exit. En leverantör som utses som kritisk står dessutom under direkt tillsyn av de europeiska tillsynsmyndigheterna. Ni kan samtidigt omfattas av cybersäkerhetslagen själva, till exempel inom digital infrastruktur eller förvaltning av IKT-tjänster.
- Ingetdera? Då är frågan om ni finns i en av cybersäkerhetslagens sektorer och når storleksgränsen. Som huvudregel omfattas privata verksamhetsutövare i de berörda sektorerna om de har minst 50 anställda eller om både årsomsättningen och balansomslutningen överstiger 10 miljoner euro. Det finns flera undantag och särskilda regler, bland annat för vissa verksamheter som omfattas oavsett storlek. Börja med vår självskattning.
Var regelverken skiljer sig
| Område | DORA | Cybersäkerhetslagen (NIS2) |
|---|---|---|
| Rättsakt | EU-förordning som gäller direkt. | Svensk lag som genomför EU:s NIS2-direktiv. |
| Gäller sedan | 17 januari 2025. | 15 januari 2026. Kompletterande föreskrifter har trätt i kraft successivt under 2026, bland annat om incidentrapportering samt från 1 oktober om säkerhetsåtgärder, ledningens utbildning, säkerhetsrevision och säkerhetsskanning. |
| Vem | Finansiella entiteter som DORA räknar upp. IKT-leverantörer som utsetts som kritiska omfattas dessutom av DORA:s särskilda europeiska tillsyn. | Väsentliga och viktiga verksamhetsutövare i lagens sektorer. |
| Tillsyn i Sverige | Finansinspektionen. | Tillsynsmyndigheten för respektive sektor. |
| Incidentrapportering | Första anmälan inom fyra timmar från klassificeringen som allvarlig och senast 24 timmar efter kännedom, delrapport inom 72 timmar efter första anmälan, slutrapport inom en månad efter senaste delrapporten. Till Finansinspektionen. | Upplysning inom 24 timmar, incidentanmälan normalt inom 72 timmar, slutrapport inom en månad. Via Cyberportalen till NCSC. |
| Testning | Riskbaserat testprogram, tester minst årligen av system för kritiska eller viktiga funktioner, avancerade penetrationstester (TLPT) minst vart tredje år för vissa företag. | Rutiner för att utvärdera om åtgärderna fungerar. |
| Tredjepart | Informationsregister över IKT-avtal, avtalskrav, exitplaner för kritiska eller viktiga funktioner och koncentrationsrisk. | Säkerhet i leveranskedjan. |
| Ledningen | Ledningsorganet bär ansvaret och ska hålla sin kunskap om IKT-risk aktuell genom regelbunden utbildning (artikel 5.4). | Ledningen ska godkänna och följa upp åtgärderna och genomgå utbildning (2 kap. 4 §). |
Om ni omfattas av båda
Ett finansiellt företag som också är verksamhetsutövare enligt cybersäkerhetslagen behöver inte bygga två system. DORA styr IKT-riskhanteringen och incidentrapporteringen. Kontrollera vilka av lagens övriga skyldigheter som ändå gäller och dokumentera bedömningen, så att ni kan visa hur ni kommit fram till den.
Bygg ett ramverk för IKT-risk som går att visa mot båda. Ett ledningssystem enligt ISO 27001 är en bra grund för styrning och riskarbete. DORA lägger till krav som standarden inte ställer, framför allt testprogrammet, informationsregistret och rapporteringen till Finansinspektionen.
IKT-leverantörer: det som brukar överraska
DORA riktar sig till finansiella företag, men kraven landar hos leverantörerna genom avtalen. Räkna med frågor om var data finns, hur incidenter rapporteras till kunden, rätt till revision, deltagande i kundens tester och hur ett avslut går till.
Den som levererar till både finansiella kunder och andra kan behöva svara på DORA:s avtalskrav och samtidigt följa cybersäkerhetslagen i den egna verksamheten. Hur tredjepartskraven hänger ihop beskriver vi i Tredjepartshantering enligt EBA, NIS2 och DORA.
En gap-analys mot DORA eller cybersäkerhetslagen visar vilket regelverk som gäller, var ni står och vad som återstår.
Vanliga frågor
Gäller både DORA och cybersäkerhetslagen för en bank?
DORA gäller för bankens IKT-riskhantering och incidentrapportering. Cybersäkerhetslagen viker i de delarna eftersom DORA har minst motsvarande krav, men andra skyldigheter enligt lagen, till exempel anmälan, kan fortfarande gälla.
Omfattas vi av DORA om vi levererar IT-tjänster till ett försäkringsbolag?
Inte direkt, om ni inte har utsetts som kritisk IKT-leverantör. Ni påverkas genom avtalen: DORA ställer avtalskrav på alla IKT-tjänster, och mer omfattande krav, bland annat på revision och exit, när tjänsten stödjer en kritisk eller viktig funktion.
Vilka rapporteringstider gäller enligt DORA?
Första anmälan inom fyra timmar efter att incidenten klassificerats som allvarlig och senast 24 timmar efter att ni fått kännedom om den, delrapport inom 72 timmar efter första anmälan och slutrapport inom en månad efter den senaste delrapporten.
Räcker ISO 27001 för DORA?
Det är en bra grund för styrning och riskarbete, men DORA ställer egna krav som standarden inte täcker, bland annat testprogram, informationsregister över IKT-avtal och rapportering till Finansinspektionen.
Vill ni veta vilket regelverk som gäller er och vad det betyder i praktiken? Läs mer om vårt arbete med DORA och digital operativ motståndskraft eller kontakta oss.
Källor: Cybersäkerhetslag (2025:1506) · förordning (EU) 2022/2554 (DORA) · Finansinspektionen: IKT-risker (Dora) · direktiv (EU) 2022/2555 (NIS2). Verifierat 2026-10-02.
Den här texten är allmän information och inte juridisk rådgivning. Vilket regelverk som gäller er beror på er verksamhet och bör bedömas i det enskilda fallet.