DORA: Den digitala operativa resiliensen för svensk finans

När den finansiella sektoren genomgår en digital transformation utan motstycke, står den inför nya utmaningar när det gäller cybersäkerhet och operativ resiliens. EU:s Digital Operational Resilience Act (DORA) införs som svar på dessa utmaningar och kommer att ha en betydande inverkan på hur svenska banker och finansiella institut hanterar risker i den digitala tidsåldern.

PwC, en av världens ledande konsultfirmor inom revision och rådgivning, har publicerat en omfattande analys av DORA och dess konsekvenser för den finansiella sektorn. Rapporten "DORA - The Digital Operational Resilience Act" ger värdefull insikt i hur detta regelverk kommer att forma den finansiella landskapet och vad aktörer behöver göra för att förbereda sig.

Vad är DORA?

DORA (Digital Operational Resilience Act) är ett EU-förordning som infördes för att stärka den finansiella sektorns förmåga att motstå, hantera och återhämta sig från digitala och cybersäkerhetsrelaterade störningar. Förordningen riktar sig till alla finansiella aktörer inom EU, inklusive banker, försäkringsbolag, investeringsfonder och andra finansiella tjänstleverantörer.

DORA trädde i kraft i januari 2023 och kommer att vara fullt implementerad från januari 2025. För svenska aktörer innebär detta att det finns knappt två år på sig att anpassa sina system, processer och organisationer till de nya kraven.

Fyra kärnpelare i DORA

DORA bygger på fyra huvudsakliga pelare som tillsammans ska skapa en robust och resiliens finansiell sektor:

1. Digitala testningar - Krav på att genomföra regelbundna tester av IT-system och processer för att identifiera och åtgärda sårbarheter. Detta inkluderar penetrationstester, sårbarhetsbedömningar och resiliensövningar.

2. Incidenthantering - Striktare krav på hur finansiella aktörer ska hantera och rapportera digitala störningar. Detta inkluderar tidsramar för rapportering, krav på grundlig undersökning och förmåga att återstörta verksamheten snabbt.

3. Informationssamordning - Skapandet av en EU-gemensam ram för informationssamordning mellan finansiella tillsynsmyndigheter. Detta ska säkerställa att information om digitala risker och störningar flödar effektivt mellan medlemsländerna.

4. Gränsöverskridande samarbete - Krav på att finansiella aktörer samarbetar med andra aktörer för att hantera gränsöverskridande risker. Detta inkluderar samarbete med kritisk infrastruktur och andra finansiella aktörer.

Påverkan på svenska finansiella aktörer

För den svenska finansiella sektorn innebär DORA betydande utmaningar men också möjligheter. Med sin starka digitala närvaro och tekniska kunnande har svenska banker en god grund att stå på, men det krävs investeringar och förändringar för att möta de nya kraven.

Tekniska utmaningar - Många svenska banker behöver uppgradera sina system för att möta DORA:s krav på digital testning och incidenthantering. Detta kräver investeringar i ny teknik, men också i kompetens för att hantera dessa tester effektivt.

Organisatoriska förändringar - DORA kräver nya processer och arbetssätt för att hantera digital risk. Detta innebär att många banker behöver omstrukturera sina organisationer och etablera nya roller och ansvarsområden.

Samverkansutmaningar - Kravet på gränsöverskridande samarbete ställer nya krav på hur svenska banker samarbetar med andra aktörer. Detta kan vara utmanande, särskilt när det gäller samarbete med internationella partners.

Rekommendationer från PwC

Baserat på sin analys av DORA ger PwC flera rekommendationer för svenska finansiella aktörer:

1. Börja förberedelser tidigt - Tidsramen mellan nu och full implementering är kort. Svenska banker bör inleda sin förberedelseprocess omedelbart för att hinna med de krav som ställs.

2. Fokusera på helhetssyn - DORA bör inte hanteras isolerad från andra regelverk. Finansiella aktörer bör skapa en holistisk syn på riskhantering som integrerar DORA med andra regelverk som PSD3, PSR och IPR.

3. Investera i teknik och kompetens - De nya kraven kräver både tekniska lösningar och rätt kompetens. Svenska banker bör investera i både automatisering av testprocesser och utbildning av personal.

4. Bygg ett robust ekosystem - Gränsöverskridande samarbete kräver att bygga relationer och system som kan hantera effektiv kommunikation och samarbete med andra aktörer.

Möjligheter för svensk finansiell sektor

Trots de utmaningar som DORA medför, finns det betydande möjligheter för den svenska finansiella sektorn. Genom att investera i digital resiliens kan svenska banker inte bara möta regulatoriska krav utan också skapa konkurrensfördelar.

Ökad förtroende - Kundenas och investerarförtroende stärks när kunder ser att en bank har robusta system för att hantera digital risk och säkerställa kontinuitet i tjänsterna.

Effektivare riskhantering - En genomgripande översyn av riskhanteringssystem kan leda till mer effektiva processer och bättre resursanvändning.

Innovationsmöjligheter - Investeringar i digital resiliens kan öppna dörrar till nya innovationer som kan förbättra kundupplevelsen och effektiviteten i verksamheten.

Slutsats

DORA representerar ett betydande steg för den finansiella sektorns digitala resiliens. För svenska banker och finansiella institut innebär detta både utmaningar och möjligheter. Med rätt strategi och förberedelser kan svenska aktörer inte bara möta de nya kraven utan också positionera sig som ledande inom digital resiliens.

De kommande åren kommer att avgöra vilka aktörer som lyckas i den nya regulatoriska miljön. De som investerar i rätt teknik, bygger effektiva processer och förstår de nya möjligheterna kommer att få en konkurrensfördel.

Källa: PwC, "DORA - The Digital Operational Resilience Act", 2026