2026-07-05-dora-forsta-aret-fi-varnar-efterlevnad

DORAs första år: 3 383 IKT-incidenter i EU — FI varnar för utebliven efterlevnad

EU:s gemensamma tillsynsmyndigheter (EBA, EIOPA och ESMA) har nu publicerat sin första årsrapport över allvarliga IKT-incidenter i finanssektorn. Resultatet: 3 383 rapporterade incidenter, varav cirka en tredjedel hade gränsöverskridande effekt. Samtidigt varnar Finansinspektionen för att svenska finansiella företag riskerar att inte uppfylla DORAs krav.

Vad DORA-rapporten visar

Digital Operational Resilience Act (DORA), som har tillämpats fullt ut i Sverige sedan 2025, kräver att finansiella företag rapporterar allvarliga IKT-incidenter till sina tillsynsmyndigheter. Den första översikten täcker perioden under 2025 och ger en oväntad bild av sektorns digitala sårbarheter.

Av de 3 383 rapporterade incidenterna — motsvarande 0,18 per DORA-täckningsenhet — var cirka 1 128 gränsöverskridande. Det understryker hur finansiella tjänster är sammanlänkade genom gemensam infrastruktur och tjänsteleverantörer. Endast 10 procent (ungefär 338 incidenter) relaterade till cybersäkerhet, medan systemfel och externa händelser var de främsta drivkrafterna.

Trots det stora antalet incidenter var den direkta påverkan på kunder och transaktioner generellt begränsad. Men rapporten betonar att snabbutvecklade AI-verktyg skapar nya sårbarheter som kräver förstärkt cybersäkerhet.

FI:s varning: efterlevnaden brister

I sin stabilitetsrapport 2026:1, publicerad den 3 juli, drar Finansinspektionen en tydlig slutsats: det svenska finansiella systemet är stabilt, men DORA-efterlevnaden är inte tillräcklig.

"Vi ser att finansiella företag jobbar med sin digitala operativa motståndskraft, men utvecklingen går snabbt och företagen behöver vara på tårna för att hantera nya komplexa risker som växer fram", säger generaldirektör Johan Almenberg (Finansinspektionen, juli 2026).

FI har under det senaste året kartlagt hur företag följer DORA-förordningen. Resultatet pekar på risk för att vissa företag inte når regelkraven, särskilt gällande hantering av tredjepartsleverantörer, molntjänster och kapaciteten att förebygga och återhämta sig från IT-störningar.

Geopolitisk risk och betalningsberedskap

Stabilitetsrapporten breddar perspektivet. Den geopolitiska osäkerheten under våren 2026 orsakade stora prisrörelser och hög volatilitet på globala marknader. Konflikten i Mellanöstern har enligt FI ökat sannolikheten för en kraftigare ekonomisk inbromsning med stigande inflation och högre räntor som följd.

Vidare föreslår FI ny lagstiftning som ger myndigheten rätt att ställa krav på finansiella företag för att säkerställa att samhällsviktiga finansiella tjänster fungerar även i krig och höjd beredskap. Riksbanken har redan motsvarande föreskriftsrätt för betalningsberedskap.

Det betyder för svenska betalningsföretag

För banker, fintech-bolag och betaltjänstleverantörer i Sverige innebär rapporterna tre konkreta krav:

• Förebyggande arbete — systemfel, inte cyberattacker, dominerar incidentbilden. Investeringen bör fokusera på driftsäkerhet, redundans och övervakning av tredjepartstjänster.
• Gränsöverskridande beredskap — en tredjedel av alla incidenter sprider sig över landsgränser. Företag med EU-verksamhet behöver koordinerade incidenthanteringsplaner.
• Tillsynsfokus från FI — myndigheten signalerar skarpt att DORA-efterlevnaden kommer granskas noggrant. Företag som inte når kraven kan förvänta sig tillsynsåtgärder.

DORAs andra rapporteringsår ligger framför oss. Om trenden från det första året håller i sig kommer gränsöverskridande IKT-risker att vara en av de största operativa utmaningarna för EU:s finanssektor under 2026.

Källor: EBA pressmeddelande juli 2026; Finansinspektionen, Stabilitetsrapport 2026:1 (publicerad 3 juli 2026).