DORA: de første kritiske IKT-leverandørene er utpekt
ESA-ene har utpekt 19 kritiske tredjepartsleverandører av IKT-tjenester etter DORA, som nå er under direkte EU-tilsyn. Hva det betyr.
Forordningen om digital operasjonell motstandsdyktighet (DORA, forordning (EU) 2022/2554) har siden 17. januar 2025 gjeldt for banker, forsikringsselskaper, verdipapirforetak, betalingsforetak og andre finansielle foretak i EU. Tilsynet med de største teknologileverandørene er nå i drift.
19 leverandører under direkte EU-tilsyn
Den 18. november 2025 publiserte de tre europeiske tilsynsmyndighetene (EBA, EIOPA og ESMA) den første listen over kritiske tredjepartsleverandører av IKT-tjenester (CTPP-er). De 19 utpekte leverandørene er store sky-, datasenter-, tele-, rådgivnings- og finansdataselskaper, blant dem Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, SAP SE, Deutsche Telekom, Orange, Equinix, Capgemini, Accenture og IBM.
Myndighetene bygde utpekingen på informasjonsregistrene som finansielle foretak fører over IKT-avtalene sine, fulgt av en vurdering av kritikalitet sammen med nasjonale myndigheter. De utpekte leverandørene har nå et ledende tilsyn som kan kreve opplysninger, gjennomføre inspeksjoner og gi anbefalinger. Listen oppdateres hvert år.
Informasjonsregistre: hvert år
Finansielle foretak fører et register over alle avtaler med tredjepartsleverandører av IKT-tjenester. Fra 2026 rapporterer de nasjonale myndighetene registrene til ESA-ene innen 31. mars hvert år, med 31. desember året før som referansedato. Nasjonale myndigheter setter egne, tidligere frister for foretakene de fører tilsyn med.
Hva det betyr
- For finansielle foretak: tilsynet med en CTPP tar ikke over deres eget ansvar. Dere styrer fortsatt selv risikoen ved IKT-tredjeparter: avtaler med bestemmelsene i artikkel 30, exitstrategier og et fullstendig og korrekt register.
- For IKT-leverandører som ikke står på listen, også mindre SaaS-leverandører: regn med DORA-klausuler i avtaler, spørsmål om underleverandører og lokasjoner og ønsker om støtte ved exit og hendelser. Klare svar gjør innkjøpet kortere.
Leverandørens side: DORA for IKT-tredjeparts- og SaaS-leverandører.
Kilder
- Regulation (EU) 2022/2554 (DORA)
- EBA: The European Supervisory Authorities designate critical ICT third-party providers under DORA (18 November 2025)
- ESMA: List of designated critical ICT third-party service providers
- EBA: Preparations for reporting of DORA registers of information
Kun til informasjon, ikke juridisk rådgivning. Sist oppdatert 19. oktober 2026.
Finnes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska