DORA-incidentrapportering i praktiken – ESA:s operativa instruktioner och FI:s nya Fidac-version

Publicerad 14 oktober 2026

Sammanfattning: DORA:s krav på incidentrapportering är inte nya. Det nya är att tillämpningen börjar mogna. Den 16 september 2026 publicerade EBA, EIOPA och ESMA operativa instruktioner för rapportering av allvarliga IKT-relaterade incidenter, byggda på erfarenheter från det första årets rapporter, och den 1 oktober uppmärksammade Finansinspektionen dem och meddelade samtidigt att incidentrapporteringen i Fidac får en ny version den 19 oktober. Instruktionerna ändrar inte skyldigheten eller tidsfristerna. De visar däremot var rapporteringen brister i praktiken: inkonsekventa belopp, incident-ID som ändras mellan rapporterna, slutrapporter som aldrig kommer. Den organisation som vill klara rapporteringen under tidspress behöver ha bestämt vem som klassificerar, vem som äger rapporten och var uppgifterna finns, innan incidenten inträffar.

Rapporteringen går från regelverk till förvaltning

DORA har tillämpats sedan den 17 januari 2025, och finansiella företag har nu rapporterat allvarliga IKT-relaterade incidenter i drygt ett och ett halvt år. Den första gemensamma europeiska årsrapporten byggde på 3 383 allvarliga incidenter under 2025, vilket vi skrev om i insikten om DORA:s första incidentdata. Det finns alltså verklig erfarenhet att bygga vidare på, och det är precis vad de europeiska tillsynsmyndigheterna nu gör.

Den 16 september 2026 publicerade EBA, EIOPA och ESMA dokumentet DORA Incident Reporting – Operational Instructions. Syftet är att få en mer enhetlig rapportering inom EU och höja kvaliteten på de uppgifter som lämnas. Finansinspektionen uppmärksammade instruktionerna den 1 oktober och konstaterar att de innehåller förtydliganden om bland annat språk, rapportering av monetära värden och andra praktiska aspekter kopplade till olika fält i incidentrapporterna.

Två saker är viktiga att ha klart för sig. Instruktionerna är publicerade på best efforts-basis av ESA-myndigheternas personal. De är varken en juridisk tolkning eller en officiell ståndpunkt från myndigheterna, och de ändrar inte DORA:s rapporteringsskyldighet, kriterier eller tidsfrister. Dokumentet är dessutom formellt skrivet för att stödja de nationella tillsynsmyndigheterna i deras dialog med företagen. Men innehållet landar hos den som rapporterar, och det är avstämt med de nationella myndigheterna. Instruktionerna ska uppdateras löpande i takt med att erfarenheten växer.

Vad instruktionerna faktiskt säger

Dokumentet är kort, fjorton punkter på fem sidor, och varje punkt utgår från ett problem myndigheterna sett i verkliga rapporter. Det gör det till en ovanligt konkret lista över var rapporteringen brister. De viktigaste punkterna i praktiken:

Område	Vad myndigheterna sett	Vad som förväntas
Incidentens identitet	Fälten för unik identifiering ändras mellan första anmälan, delrapport och slutrapport, vilket kan ge dubbelräkning	Samma identifierare genom hela livscykeln, oförändrad från första anmälan till slutrapport
Klassificeringskriterier	Olika praxis för om ”kritiska tjänster påverkade” anges som kriterium	Kriteriet ska alltid vara uppfyllt för en allvarlig incident och ska därför alltid anges, tillsammans med minst ett annat kriterium
Geografisk spridning	Hemlandet tas med i listan över berörda länder	Fältet avser påverkan i andra medlemsstater; det egna landet ska inte ingå
Monetära belopp	Inkonsekventa enheter	Alla monetära fält rapporteras i tusental och i samma valuta som angivits för incidenten
Fritextfält	”Ej tillämpligt”, ”inget” och liknande fylls i	Lämna fältet tomt om det inte är obligatoriskt och inte tillämpligt; följ föreslagen struktur där sådan finns
Leverantörsursprung	Svårt att tolka uppgifter om tredjepartsleverantör	Standardiserat format: fullständigt juridiskt namn; identifieringskod; kodtyp (LEI eller EUID); övrig information, separerade med semikolon
Slutrapporter	Slutrapporter saknas för anmälda incidenter	Slutrapport senast en månad efter senaste delrapport; minst en delrapport per månad förväntas tills slutrapporten lämnats
Rättelser	Rättelser lämnas i fel form	En rättelse lämnas som en ny version av den senast inlämnade rapporten, med all information från den senaste uppdateringen
Språk	Mallar översatta till lokala språk när myndigheter vidarerapporterar	Rubriker och valbara värden följer den engelska versionen av ITS 2025/302; fritext får lämnas på nationellt språk

Övriga punkter rör bland annat att uppgiften om huruvida varaktighet och driftstopp är faktiska eller uppskattade ska fyllas i både i delrapport och slutrapport, att fälten för resolutionsmyndigheter bara fylls i när incidenten faktiskt bedömts påverka kritiska funktioner eller resolutionsbarhet, och att uppgifter om ekonomisk påverkan alltid förväntas i slutrapporten när det kriteriet använts för klassificeringen.

Läser man listan som en helhet handlar nästan varje punkt om samma sak: rapporterna hänger inte ihop över tid, eller så saknas en bestämd ägare för en uppgift. Det är processfrågor, inte regelfrågor.

Tidsfristerna är inte det svåra

De flesta som arbetar med DORA kan tidsfristerna, som Finansinspektionen sammanfattar dem:

Rapport	Tidsfrist
Första anmälan	Så tidigt som möjligt, inom fyra timmar från klassificeringen som allvarlig och senast 24 timmar efter att företaget blivit medvetet om incidenten
Delrapport	Senast 72 timmar efter den första anmälan, och en uppdaterad delrapport så snart normal verksamhet återupptagits
Slutrapport	Senast en månad efter delrapporten eller den senaste uppdaterade delrapporten

Men en fungerande process behöver kunna svara på frågor som ingen tidsfrist besvarar:

• Vem klassificerar incidenten som allvarlig, och vem dokumenterar tidpunkten som startar fyratimmarsklockan?
• Vem äger rapporten genom hela livscykeln, så att identifierare, kriterier och belopp hänger ihop från första anmälan till slutrapport?
• Var hämtas uppgifterna om berörda tjänster, system, kunder och länder, och vem ansvarar för att de stämmer?
• Vem får bedöma och ange ekonomisk påverkan, och i vilken valuta och enhet?
• Hur hämtas leverantörens juridiska namn och LEI när incidenten har sitt ursprung hos en tredje part?
• Vem kvalitetssäkrar rapporten innan den skickas, och vem bevakar att delrapporter och slutrapport faktiskt lämnas?

Hur bedömningen av rapporteringsplikt hänger ihop med den övriga incidenthanteringen, och varför den behöver göras medan incidenten pågår, har vi skrivit om i insikten om incidenttriage. Den här artikeln handlar om steget efter triagen: själva rapporteringen.

Datakvalitet är en del av incidentförmågan

Finansinspektionen skriver uttryckligen att instruktionerna ska förbättra kvaliteten på de uppgifter som rapporteras. Det är lätt att läsa som en fråga om noggrannhet vid tangentbordet. I praktiken är det en fråga om förberedelse. För att kunna rapportera korrekt inom fyra timmar behöver organisationen redan innan incidenten veta var informationen finns och vem som ansvarar för den:

• vilka tjänster som är kritiska och vilka kunder och motparter som använder dem,
• i vilka länder tjänsterna levereras,
• vilka IKT-system som stöder respektive tjänst,
• vilka tredjepartsleverantörer som är inblandade, med juridiskt namn och LEI eller EUID,
• hur ekonomisk påverkan beräknas och vem som godkänner siffran,
• tidpunkter för upptäckt, klassificering, återställning och återupptagen normal verksamhet,
• grundorsaken, när den senare har kunnat fastställas.

Mycket av den informationen bör redan finnas dokumenterad i, eller kunna hämtas från, organisationens IKT-riskhantering: informationsregistret över IKT-tredjepartsleverantörer, dokumentationen av kritiska eller viktiga funktioner och systemen bakom dem och konsekvensanalysen i kontinuitetsarbetet. Rapporteringsprocessen behöver peka på dem, inte bygga upp samma information på nytt under en pågående incident.

Testa rapporteringen innan incidenten

Det är först när en verklig incident inträffar som organisationen upptäcker om rapporteringsprocessen fungerar. Då är fyratimmarsfönstret fel tillfälle att reda ut vem som har behörighet i Fidac, vem som kan bedöma ekonomisk påverkan eller var uppgifterna om en kritisk leverantör finns.

En enkel skrivbordsövning räcker långt. Ett scenario:

• 09.10 En kritisk tjänst slutar fungera.
• 10.00 Leverantören bekräftar en omfattande incident på sin sida.
• 12.30 Påverkan visar sig större än först bedömt, och fler kunder är berörda.
• 14.00 Incidenten bedöms uppfylla kriterierna för en allvarlig IKT-relaterad incident.

Och sedan frågorna:

• Vem fattar klassificeringsbeslutet, och vem dokumenterar klockslaget?
• Vem öppnar rapporteringen, och fungerar behörigheten?
• Vilken information finns redan framme, och vad saknas?
• Hur anges leverantören i rätt format?
• Hur hanteras de nya uppgifterna om påverkan i delrapporten, utan att incidentens identifierare ändras?
• Vem bevakar att slutrapporten lämnas inom en månad, när incidenten för länge sedan är löst och uppmärksamheten gått vidare?

Tystnaden där svar saknas är övningens resultat. Vårt erbjudande incidentberedskap och tabletop-övning är byggt just för den typen av genomgång.

Ny version av Fidac den 19 oktober

För svenska rapportörer förändras även det praktiska gränssnittet. Finansinspektionen meddelade den 1 oktober att incidentrapporteringen enligt DORA får en ny version i rapporteringssystemet Fidac från måndagen den 19 oktober 2026:

• formuläret byter utseende, från horisontellt till vertikalt,
• fälten om vilka finansiella företag som är berörda (1.4–1.6) flyttar till en separat tabell, som används när den berörda entiteten är en annan än den som rapporterar och vid aggregerad rapportering,
• en påminnelsefunktion införs som mejlar när delrapport eller slutrapport saknas efter tidsfristen,
• det blir möjligt att filtrera på referenskoden i fält 3.1 för del- och slutrapporter,
• ett uppdaterat JSON-schema gäller från samma datum, och en uppdaterad lathund publiceras.

Inget av detta ändrar DORA-kraven. Men organisationer med interna instruktioner, skärmbilder i playbooken, JSON-integrationer mot Fidac eller mallar för rapporterna bör kontrollera att de fortfarande stämmer efter den 19 oktober. Påminnelsefunktionen är dessutom ett tydligt tecken på vad FI ser: delrapporter och slutrapporter som uteblir.

Fem saker att kontrollera nu

1. Klassificeringen. Är det tydligt vem som avgör om en IKT-incident är allvarlig, mot vilka kriterier, och hur tidpunkten dokumenteras?
2. Rapporteringsteamet. Vet incidentledning, risk och compliance, verksamhet och leverantörsansvariga vem som gör vad, och finns det en ersättare för varje roll?
3. Informationskällorna. Kan uppgifter om tjänster, system, länder, leverantörer och ekonomisk påverkan tas fram snabbt och spårbart, i rätt enhet och format?
4. Rapporteringen över tid. Hänger första anmälan, delrapporter, rättelser och slutrapport ihop som en och samma incident, och bevakar någon att slutrapporten lämnas?
5. Övning och förvaltning. Har processen testats, och finns en rutin för att uppdatera den när ESA:s instruktioner, FI:s lathund eller Fidac ändras?

Så kan Kristensson i Skåne stödja

Kristensson i Skåne hjälper finansiella verksamheter att omsätta DORA:s incidentkrav i en praktisk och testbar process, som en del av vårt arbete med DORA och finansiella regelverk. Stödet kan exempelvis omfatta:

• klassificerings- och rapporteringsprocess för IKT-incidenter,
• roller, ansvar och eskaleringsvägar, inklusive ersättare,
• DORA-anpassad incidenttriage,
• rapporteringsplaybook med fältanvisningar,
• kartläggning av informationskällor och ansvariga,
• leverantörseskalering och uppgifter om tredjepartsleverantörer,
• skrivbordsövning av incidentrapporteringen,
• granskning mot ESA:s och FI:s aktuella instruktioner,
• uppföljning och förbättring efter incident eller övning.

Vår utgångspunkt är att rapporteringen ska fungera klockan 14.00 en tisdag när tjänsten är nere, inte bara se komplett ut i en processbeskrivning.

Vanliga frågor

Vill ni veta om er rapporteringsprocess håller när klockan går? Läs mer om vårt erbjudande incidentberedskap och tabletop-övning eller kontakta oss för ett förutsättningslöst samtal.

Källor: EBA, EIOPA och ESMA, DORA Incident Reporting – Operational Instructions, 16 september 2026; Finansinspektionen, Operativa instruktioner för rapportering av allvarliga IKT-relaterade incidenter enligt Dora-förordningen, 1 oktober 2026; Finansinspektionen, Ändringar i Dora incidentrapportering i Fidac, 1 oktober 2026; Finansinspektionen, IKT-risker (Dora), tidsfrister enligt delegerad förordning (EU) 2025/301; förordning (EU) 2022/2554 (DORA), artikel 19. Verifierat 2026-10-01.

Den här texten är allmän information och inte juridisk rådgivning. Vilka krav som gäller er beror på typ av finansiell entitet, verksamhetens omfattning och tillsynsmyndighetens anvisningar.