Vad är DORA?

DORA står för "Digital Operational Resilience Act" – en EU-förordning (en EU-lag som gäller direkt i alla medlemsländer utan att först översättas till svensk lag) för finanssektorn. Ordet "resilience" betyder motståndskraft, alltså förmågan att stå kvar på benen när något går sönder. Tänk dig ett stresstest, fast för it-systemen istället för för ekonomin.

Bakgrunden är enkel: banker, försäkringsbolag och betaltjänster är i praktiken it-företag numera. Om deras system ligger nere kan du inte betala, ta ut pengar eller köra din verksamhet. DORA säger att finansföretag måste kunna motstå, hantera och återhämta sig från it-störningar och cyberattacker – inte bara hoppas att det aldrig händer.

DORA ställer krav på riskhantering, testning, incidentrapportering och koll på tredjepartsleverantörer (till exempel molntjänster och it-konsulter). Just den sista biten är intressant: även om du inte är en bank kan du omfattas om du levererar kritiska it-tjänster till finanssektorn.

Varför är DORA viktigt för ditt företag?

Är du i finansbranschen är DORA inte valfritt – det är lag. Men även om du är en teknikleverantör som säljer till banker eller fintech kan dina kunder kräva att du uppfyller DORA:s krav, eftersom du blir en del av deras riskkedja.

Fördelen med att jobba resilient är att din verksamhet blir mer pålitlig. Kunder litar på företag som inte plötsligt slutar fungera, och det är en konkurrensfördel att kunna säga "vi står kvar även när det stormar".

DORA i praktiken

Tänk dig en svensk fintech som erbjuder en betalapp. Med DORA måste de regelbundet testa hur systemet klarar en attack, ha en tydlig plan för vad som händer om deras molnleverantör ligger nere, och snabbt rapportera allvarliga it-incidenter till Finansinspektionen.

Är du istället it-byrån som byggt appen, kan du få frågan: Hur säkerställer ni att er del inte blir den svaga länken? Att ha ordnade rutiner, säkerhetskopior och en incidentplan gör dig till en leverantör som finansföretag vågar satsa på.