DORA blev era finansiella kunders problem, nu är det ert

DORA-förordningen har gällt i Sverige sedan januari 2025, och Finansinspektionen har gjort efterlevnaden till en prioriterad tillsynsfråga under 2026. Källa: Finansinspektionens information om DORA. För banker, betalinstitut och andra finansiella bolag är det ingen nyhet längre. Det som är nytt är hur snabbt kraven nu sprider sig till deras leverantörer.

DORA reglerar mer än de finansiella bolagen själva. Den ställer krav på hur de hanterar sina leverantörer av kritiska IKT-tjänster, det vill säga molntjänster, mjukvara, driftleverantörer och andra tekniska partners. Ett finansiellt bolag som inte kan visa att det har kontroll över sina leverantörers säkerhet och kontinuitet riskerar sanktioner baserade på omsättning, oavsett om felet egentligen låg hos leverantören.

Storleken på det egna bolaget spelar mindre roll än storleken på kundens verksamhet. Ett litet SaaS-bolag som levererar till en stor bank möter samma detaljerade krav som en betydligt större leverantör, eftersom kravnivån styrs av vad banken själv behöver kunna visa för sin tillsynsmyndighet, inte av hur många anställda leverantören har.

Resultatet är att finansiella bolag nu för in DORA-krav direkt i sina inköpsavtal. Krav på incidentrapportering inom bestämda tidsramar. Krav på rätt till granskning och revision. Krav på tydliga exit-planer om samarbetet avslutas. Ett SaaS-bolag som säljer till banker eller betalinstitut möter dessa krav allt oftare redan i upphandlingsfasen, inte som en efterhandskonstruktion.

En del av kraven kan uppfyllas genom att peka på redan existerande certifieringar eller ramverk, medan andra kräver att avtalstexten skrivs om från grunden för att spegla just DORA:s begrepp och struktur. Att veta vilket som gäller för vilken del kräver att någon faktiskt jämfört den befintliga dokumentationen mot förordningens artiklar, i stället för att anta att en generell hänvisning till god säkerhetspraxis räcker för att tillfredsställa en finansiell kunds egen tillsynsplikt.

Många tech-bolag upptäcker det här sent, mitt i en pågående affär. Ett standardavtal som fungerat i flera år möter plötsligt motstånd från kundens juridiska avdelning, som pekar på specifika DORA-artiklar bolaget aldrig hört talas om. Förhandlingen som borde tagit två veckor drar ut på tiden i två månader, medan kunden väntar på att leverantören ska kunna svara på frågorna.

Tänk dig ett molnbaserat analysverktyg som säljs till flera mindre banker. Bolaget har alltid haft ett enkelt, standardiserat licensavtal. När en av bankerna inleder sin egen DORA-kartläggning ber den om ett tilläggsavtal med detaljerade krav på incidentrapportering och revisionsrätt. Bolaget har varken mallen eller processen klar, och affären hamnar i limbo medan juristerna på båda sidor försöker hitta en lösning under tidspress som ingen av parterna egentligen vill ha.

Kravet gäller även bolag som aldrig säljer direkt till en bank. Även bolag som idag saknar finansiella kunder gör klokt i att hålla frågan i bakhuvudet. Finansbranschen är sällan den sista branschen att ta efter ett regelverk av det här slaget, och krav som först formuleras för banker tenderar att med tiden efterfrågas av kunder inom andra reglerade branscher också, bland annat energi och telekom. Det gäller hela kedjan av underleverantörer till en kritisk IKT-tjänst. Ett bolag som levererar infrastruktur till ett annat bolag, som i sin tur levererar till en bank, kan ärva samma krav utan att någon i den första länken av kedjan förstått att de omfattas.

DORA skiljer sig från flera tidigare regelverk genom att den uttryckligen pekar ut ansvar för hela leverantörskedjan, inklusive underleverantörers underleverantörer. Ett molnbolag som i sin tur hyr infrastruktur av en global leverantör kan behöva visa hur den delen av kedjan hanteras, även om det egna bolaget aldrig har direktkontakt med den slutliga finansiella kunden. Det gör kartläggningen mer omfattande än vad många tech-bolag först räknar med när frågan först dyker upp.

Det som avgör om affären går igenom smidigt eller kärvar är sällan den tekniska säkerheten i sig. De flesta tech-bolag har redan en rimlig säkerhetsnivå. Det som saknas är avtalstexten som beskriver den på det sätt som en finansiell kunds egen tillsyn kräver. Hur akut frågan är avgörs av hur många av bolagets kunder som är banker eller betalinstitut, eller i sin tur säljer vidare till en sådan kund, oavsett om just den kunden ännu ställt kravet högt och tydligt.

Gör den här övningen den här veckan. Gå igenom era tre senaste avtal med finansiella kunder eller kunder som i sin tur säljer till finansbranschen. Notera om avtalen innehåller krav på incidentrapportering, revisionsrätt eller exit-plan. Saknas de kraven helt idag är det ett tecken på att nästa förhandling kommer ta längre tid än den förra.