Sammanfattning: De första samlade incidentdata som rapporterats enligt DORA ger en intressant bild av vad som faktiskt orsakar allvarliga IKT-störningar i finanssektorn. System- och processfel samt externa händelser står för merparten av incidenterna, medan cyberrelaterade incidenter utgör en betydligt mindre andel. För svenska företag ser Finansinspektionen dessutom en tydlig koppling till tredjepartsleverantörer. Det säger något viktigt om hur operativ motståndskraft behöver byggas i praktiken.
Finansinspektionen publicerade i juli 2026 en sammanfattning av den första gemensamma europeiska rapporten över allvarliga IKT-relaterade incidenter enligt DORA.
Rapporten bygger på incidenter som inträffade under 2025 och rapporterades av finansiella företag inom EU.
Totalt rapporterades 3 383 allvarliga IKT-relaterade incidenter. Ungefär en tredjedel hade gränsöverskridande påverkan. Samtidigt var endast omkring 10 procent av de rapporterade incidenterna cyberrelaterade.
Det betyder naturligtvis inte att cyberhot blivit mindre viktiga.
Men det visar att organisationens digitala motståndskraft behöver omfatta betydligt mer än skydd mot externa angripare.
System- och processfel står bakom många incidenter
Finansinspektionen konstaterar att fel i system och processer tillsammans med externa händelser står för den absoluta merparten av de rapporterade IKT-incidenterna.
Samma mönster syns i Sverige. FI anger att interna system- och processfel är de vanligaste orsakerna även bland svenska företag. Cyberrelaterade incidenter förekommer, men utgör en mindre andel av fallen.
Det är en viktig påminnelse.
En verksamhetskritisk störning behöver inte börja med ransomware eller ett avancerat intrång. Den kan börja med:
- en felaktig systemförändring
- ett konfigurationsfel
- en process som inte fungerade som tänkt
- en integration som slutar fungera
- kapacitetsproblem
- ett misslyckat underhåll
- ett beroende till en extern tjänst som försvinner
Konsekvensen för verksamheten kan ändå bli densamma: en kritisk tjänst går inte längre att leverera.
Det innebär att arbetet med informationssäkerhet och operativ motståndskraft behöver omfatta både avsiktliga angrepp och vanliga operativa fel.
Change management är också en säkerhetsfråga
När interna system- och processfel återkommer bland orsakerna till allvarliga incidenter blir förändringshantering en viktig del av säkerhetsarbetet.
Organisationen behöver inte bara fråga ”Är förändringen tekniskt möjlig?” utan också ”Vad händer med verksamheten om förändringen går fel?”.
För större eller verksamhetskritiska förändringar bör det finnas tydliga svar på exempelvis:
- vilka tjänster som kan påverkas
- vilka beroenden som finns
- vilka tester som ska genomföras
- vilka kontroller som krävs före produktionssättning
- vilken rollback-plan som finns
- vem som fattar beslut om att avbryta
- hur verksamheten informeras
- hur avvikelser fångas upp efter förändringen
En väl fungerande change-process är därför inte bara en fråga om stabil IT-drift. Den är en del av organisationens riskhantering.
Tredjepartsberoenden syns tydligt i den svenska incidentbilden
En annan intressant observation från Finansinspektionen är att en betydande andel av de svenska incidenterna har koppling till en tredjepartsleverantör.
Det är knappast förvånande.
Finansiella företag – liksom många andra organisationer – är idag beroende av molntjänster, SaaS-plattformar, driftleverantörer, nätoperatörer, betalningsinfrastruktur, säkerhetstjänster och andra externa aktörer.
Problemet är att organisationen kan lägga ut en tjänst. Risken och verksamhetsberoendet går däremot inte att lägga ut på samma sätt.
Därför behöver tredjepartshantering omfatta mer än säkerhetsgranskningen före avtalstecknande.
För kritiska leverantörer behöver organisationen över tid förstå:
- vilken tjänst verksamheten faktiskt är beroende av
- vilken påverkan ett längre avbrott skulle få
- vilka underleverantörer som finns
- vilka incidenter och större förändringar som inträffar
- hur leverantörens kontinuitets- och återställningsförmåga ser ut
- vilka eskaleringsvägar som gäller
- vilka avtalsmässiga rättigheter organisationen har
- hur tjänsten kan ersättas eller avvecklas
DORA ställer uttryckliga krav på hantering av IKT-tredjepartsrisk, och FI lyfter att både interna brister och externa beroenden behöver hanteras mer systematiskt för att stärka finanssektorns operativa motståndskraft.
En leverantörsincident är fortfarande er incident
En praktisk konsekvens är att leverantörer behöver vara en naturlig del av organisationens incidenthantering.
Om en kritisk SaaS-tjänst försvinner i tolv timmar spelar det mindre roll för verksamheten om grundorsaken finns i den egna serverhallen eller hos en extern leverantör. Tjänsten fungerar fortfarande inte.
Incidenttriagen behöver därför tidigt ställa frågor som:
- Är en leverantör berörd?
- Är vi beroende av leverantören för att förstå eller lösa incidenten?
- Behöver kontinuitetsplanen aktiveras innan leverantören har löst sitt problem?
- Finns egna regulatoriska rapporteringskrav även om felet ligger hos tredje part?
- När behöver ledning, kunder eller andra intressenter informeras?
Det är ett av skälen till att incidenthantering, tredjepartsrisk och kontinuitetsplanering behöver vara sammankopplade.
Gränsöverskridande incidenter visar hur beroendena hänger ihop
De europeiska tillsynsmyndigheternas rapport visar också att ungefär en tredjedel av de 3 383 allvarliga incidenterna hade gränsöverskridande påverkan. Myndigheterna pekar på gemensam infrastruktur och delade tjänster som en förklaring till den ökade sammanlänkningen.
Det illustrerar en annan viktig del av modern IKT-risk.
En incident behöver inte vara särskilt stor hos en enskild leverantör för att få stor samlad effekt om många organisationer är beroende av samma tjänst. Det gäller inte minst:
- molnplattformar
- identitetstjänster
- telekommunikation
- betalningsinfrastruktur
- centrala SaaS-tjänster
- drift- och säkerhetsleverantörer
Riskanalysen behöver därför inte bara bedöma leverantören som sådan. Den behöver även titta på koncentrationsrisk och gemensamma beroenden:
- Hur många kritiska processer är beroende av samma leverantör?
- Finns alternativa lösningar?
- Hur snabbt kan organisationen byta arbetssätt?
- Vad händer om både organisationen och dess leverantör behöver återställa samtidigt?
Cyberhot är fortfarande viktiga – men motståndskraft är bredare
Att endast omkring 10 procent av de rapporterade allvarliga incidenterna klassificerades som cyberrelaterade ska inte tolkas som att cyberrisken är liten.
De europeiska tillsynsmyndigheterna betonar tvärtom fortsatt behov av stark cybersäkerhet och pekar även på utvecklingen av allt mer kapabla AI-baserade verktyg som en faktor att bevaka.
Men incidentdatan visar varför begreppet digital operativ motståndskraft är bredare än cybersäkerhet. Organisationen behöver kunna:
- förebygga störningar
- upptäcka dem
- begränsa konsekvenserna
- fortsätta kritisk verksamhet
- återställa tjänster
Oavsett om grundorsaken är en angripare, ett mänskligt misstag, en teknisk komponent eller en leverantör.
Fem frågor organisationer bör ställa efter rapporten
FI:s sammanställning ger anledning att kontrollera några praktiska saker.
1. Vet vi vilka fel som faktiskt orsakar våra incidenter?
Inte bara säkerhetsincidenterna. Även driftstörningar, förändringsfel, kapacitetsproblem, processbrister och leverantörsincidenter bör ge information tillbaka till riskarbetet.
2. Följer vi upp kritiska leverantörer efter att avtalet är signerat?
En due diligence vid onboarding räcker inte för en leverantör som verksamheten är beroende av varje dag. Riskbilden behöver följas genom hela livscykeln.
3. Är våra kontinuitetsplaner byggda för leverantörsbortfall?
Många kontinuitetsplaner utgår fortfarande från problem i den egna infrastrukturen. Men vad gör verksamheten om den kritiska moln- eller SaaS-tjänsten är borta i två dygn?
4. Vet vi att vi kan återställa – eller vet vi bara att vi har backup?
En backup som aldrig har återställningstestats ger begränsad säkerhet. Återställning behöver testas utifrån verksamhetens faktiska behov och beroenden.
5. Lär vi oss systematiskt av incidenterna?
När incidenten är löst börjar ett annat viktigt arbete:
- Vad var grundorsaken?
- Vilka kontroller fungerade – och vilka fungerade inte?
- Vilka riskbedömningar behöver uppdateras?
- Finns samma svaghet på fler ställen?
- Vad behöver ledningen känna till?
Incidenthanteringen blir betydligt mer värdefull när erfarenheten återförs till organisationens risk-, leverantörs-, kontinuitets- och förändringsarbete.
DORA handlar om förmågan när något faktiskt går fel
DORA ställer krav på bland annat IKT-riskhantering, testning av digital operativ motståndskraft, hantering av tredjepartsrisk och rapportering av allvarliga IKT-relaterade incidenter.
Den första samlade incidentrapporten ger nu data på varför helheten behövs. System kan fallera. Processer kan brista. Leverantörer kan få problem. Cyberangrepp kan inträffa. Och samma verksamhetskritiska tjänst kan vara beroende av alla fyra.
För oss är därför en av de viktigaste slutsatserna från rapporten: operativ motståndskraft handlar inte bara om att minska sannolikheten för en incident. Det handlar minst lika mycket om organisationens förmåga att förstå vad som händer, begränsa konsekvenserna, fortsätta verksamheten och återhämta sig när incidenten redan har inträffat.
Så kan Kristensson i Skåne stödja arbetet
Kristensson i Skåne hjälper organisationer inom reglerade verksamheter med både styrning och praktiskt genomförande inom informationssäkerhet, risk, kontinuitet och regulatorisk efterlevnad.
Stödet kan exempelvis omfatta:
- nuläges- och gap-analyser mot DORA
- IKT- och informationssäkerhetsrisker
- tredjepartsrisk och leverantörsgranskningar
- kontinuitets- och återställningsplanering
- incidentprocesser och incidenttriage
- test och övning
- granskning av säkerhetsåtgärder och kontroller
- ledningsrapportering och beslutsunderlag
- uppföljning efter incidenter
- löpande GRC- eller CISO-stöd
Vår utgångspunkt är att arbetet ska fungera i vardagen – och när vardagen plötsligt inte fungerar. Det är först då operativ motståndskraft blir en faktisk förmåga och inte bara ett regulatoriskt krav.
Vill ni veta hur er operativa motståndskraft står sig mot DORA:s krav? Läs mer om vårt arbete med informationssäkerhet och styrning eller kontakta oss så tar vi ett första samtal om nuläge och nästa steg.
Källa och vidare läsning: Finansinspektionens sammanfattning Rapport om allvarliga IKT-relaterade incidenter enligt Dora-förordningen (publicerad 3 juli 2026), samt de europeiska tillsynsmyndigheternas första gemensamma årsrapport över allvarliga IKT-relaterade incidenter enligt DORA.
Detta är en övergripande beskrivning och inte juridisk rådgivning. Varje organisation behöver bedöma sina krav, risker och beroenden utifrån den egna verksamheten.