Hvorfor DORA når deg
DORA gjelder for rundt tjue typer finansielle enheter: kredittinstitusjoner, betalings- og e-pengeforetak, verdipapirforetak, tilbydere av kryptoeiendelstjenester, forsikrings- og gjenforsikringsselskaper, pensjonsfond og flere. Du er en tredjepartsleverandør av IKT-tjenester: ethvert foretak som leverer digitale tjenester og datatjenester til dem, fra SaaS og hosting til administrert IT.
Artikkel 28 nr. 1 bokstav a er nøkkelsetningen for deg: en finansiell enhet som setter ut IKT, «skal til enhver tid forbli fullt ansvarlig» for etterlevelsen. Den kan ikke overlate ansvaret til deg, så den sikrer seg rettighetene den trenger gjennom kontrakten. Før den signerer, må den vurdere om tjenesten din støtter en kritisk eller viktig funksjon, gjennomføre aktsomhetsvurdering og sjekke konsentrasjonsrisiko (artikkel 28 nr. 4). Den kan bare inngå avtale med leverandører som «etterlever egnede standarder for informasjonssikkerhet» (artikkel 28 nr. 5).
«Kritisk eller viktig» avgjøres av kunden. Det samme CRM-systemet kan være ikke-kritisk for ett forsikringsselskap og kritisk for en betalingsinstitusjon som kjører kundeetableringen på det. Spør tidlig hvordan de klassifiserer tjenesten din, fordi det avgjør om artikkel 30 nr. 3 gjelder.
Informasjonsregisteret
Artikkel 28 nr. 3 pålegger hver finansiell enhet å føre et register over alle IKT-kontraktene sine, og de kompetente myndighetene samler inn disse registrene hvert år. Formatet er fastsatt i Kommisjonens gjennomføringsforordning (EU) 2024/2956 (maler for informasjonsregisteret). For deg betyr det:
- Du vil bli identifisert med en Legal Entity Identifier (LEI) eller en European Unique Identifier (EUID), og der det er tilgjengelig begge (artikkel 3 nr. 5 i ITS). Har du ikke en LEI, er det billig å skaffe en, og det unngår friksjon.
- Der tjenesten din støtter en kritisk eller viktig funksjon, må kunden også registrere underleverandørene som «reelt understøtter» den, med deres LEI eller EUID (artikkel 3 nr. 6). Regn med en forespørsel om de relevante underdatabehandlerne dine og hvor de opererer fra.
- De vil spørre om tjenestetype, dataplassering, gjeldende lov, utskiftbarhet og exitdetaljer for hver kontrakt.
ESA-ene brukte disse registrene til å identifisere hvilke leverandører som er kritiske for sektoren som helhet (se avsnittet om CTPP nedenfor).
Artikkel 30: klausulene som vil dukke opp i kontrakten din
Artikkel 30 nr. 1 krever at hele kontrakten, inkludert SLA-er, står i ett skriftlig dokument i et varig og tilgjengelig format. Minimumsinnholdet er delt i to nivåer.
| Artikkel | Påkrevd element | Hva det betyr for en SaaS-leverandør |
|---|---|---|
| 30 nr. 2: alle IKT-kontrakter | ||
| 30 nr. 2 bokstav a | Klar beskrivelse av alle funksjoner og tjenester; om underleveranse av kritiske deler er tillatt, og på hvilke vilkår | En tjenestebeskrivelse som stemmer med virkeligheten, inkludert underdatabehandlere |
| 30 nr. 2 bokstav b | Steder (regioner eller land) for tjenesteleveranse og databehandling og -lagring; forhåndsvarsel om endringer | Oppgi hostingregionene dine; forplikt deg til å varsle før du flytter dem |
| 30 nr. 2 bokstav c | Tilgjengelighet, autentisitet, integritet og konfidensialitet for data, inkludert personopplysninger | Sikkerhetsvedlegg; henger sammen med databehandleravtalen etter GDPR |
| 30 nr. 2 bokstav d | Tilgang til, gjenoppretting og tilbakelevering av data i et lett tilgjengelig format ved insolvens, krisehåndtering, avvikling eller oppsigelse | Dokumenterte eksportformater; deponering eller lignende for insolvensscenarier |
| 30 nr. 2 bokstav e | Beskrivelser av tjenestenivå, inkludert oppdateringer | SLA i kontrakten, ikke bare på en nettside |
| 30 nr. 2 bokstav f | Bistand ved IKT-hendelser knyttet til tjenesten, uten ekstra kostnad eller til en forhåndsavtalt kostnad | Pris hendelsesstøtte på forhånd |
| 30 nr. 2 bokstav g | Fullt samarbeid med kundens kompetente myndigheter og krisehåndteringsmyndigheter | Godta at tilsynsmyndigheter kan kontakte deg |
| 30 nr. 2 bokstav h | Oppsigelsesrett og minimale oppsigelsesfrister | Pluss oppsigelsesgrunnene i artikkel 28 nr. 7, som vesentlig mislighold eller dokumenterte sikkerhetssvakheter |
| 30 nr. 2 bokstav i | Deltakelse i kundens opplæring i IKT-sikkerhetsbevissthet og motstandsdyktighet | Delta i opplæringen deres der det er avtalt |
| 30 nr. 3: i tillegg, for kritiske eller viktige funksjoner | ||
| 30 nr. 3 bokstav a | Fullstendige SLA-er med presise kvantitative og kvalitative ytelsesmål | Målbar oppetid, RTO/RPO og responstider, med rapportering |
| 30 nr. 3 bokstav b | Varslingsfrister og rapporteringsplikter, inkludert enhver utvikling som kan påvirke tjenesteleveransen vesentlig | Proaktivt varsel om problemer med økonomi, eierskap eller kapasitet |
| 30 nr. 3 bokstav c | Beredskapsplaner som er gjennomført og testet; egnede tiltak, verktøy og retningslinjer for IKT-sikkerhet | Testet BCP/DR med dokumentasjon |
| 30 nr. 3 bokstav d | Deltakelse og fullt samarbeid i kundens TLPT | Se avsnittet om TLPT |
| 30 nr. 3 bokstav e | Ubegrensede rettigheter til tilgang, inspeksjon og revisjon for kunden, den kunden utpeker og den kompetente myndigheten; alternativ sikkerhet hvis andre kunder berøres; samarbeid ved inspeksjoner på stedet | Klausulen SaaS-leverandører forhandler hardest om; se nedenfor |
| 30 nr. 3 bokstav f | Exitstrategi med en obligatorisk tilstrekkelig overgangsperiode | Du fortsetter å betjene dem mens de migrerer |
Artikkel 30 nr. 4 ber begge parter vurdere standard kontraktsklausuler utviklet av offentlige myndigheter. Finansielle enheter må også ha en skriftlig retningslinje for disse kontraktene, nærmere beskrevet i Kommisjonens delegerte forordning (EU) 2024/1773. Derfor ligner bankenes tilleggsavtaler så mye på hverandre.
Underleveranser: delegert forordning 2025/532
De tekniske reguleringsstandardene for underleveranse av IKT-tjenester som støtter kritiske eller viktige funksjoner, ble vedtatt 24. mars 2025 og publisert 2. juli 2025. Før kunden godtar at du kan bruke underleverandører, må den være sikker på at du kan velge ut og overvåke underleverandører, identifisere alle i kjeden og sende de samme tilgangs- og revisjonsrettighetene videre (artikkel 3). Kontrakten må blant annet angi (artikkel 4):
- at du fortsatt er ansvarlig for tjenester som leveres av underleverandørene dine, og overvåker dem;
- rapporteringspliktene dine om underleverandører, og hvor dataene de behandler befinner seg;
- at underleverandøravtalene dine omfatter beredskapsplaner, sikkerhetsstandarder og de samme revisjons- og tilgangsrettighetene for den finansielle enheten og myndighetene dens;
- kontinuitet i tjenesten gjennom hele kjeden hvis en underleverandør svikter.
Ved vesentlige endringer i underleveransene dine (artikkel 5) må du informere kunden «i god tid», gi en rimelig varslingsfrist og bare gjennomføre endringen når kunden har godkjent den eller ikke har protestert innen utgangen av fristen. Kunden kan si opp hvis du går videre til tross for en protest, før fristen er ute, eller bruker underleverandør til noe kontrakten ikke tillater (artikkel 6). Bytter du underdatabehandlere uformelt i dag, er dette prosessen du bør endre først.
Revisjon, tilgang og felles revisjoner
Artikkel 30 nr. 3 bokstav e snakker om «ubegrensede rettigheter til tilgang, inspeksjon og revisjon». For en SaaS med flere kunder på samme plattform er ubegrenset fysisk tilgang til delt infrastruktur sjelden gjennomførbart, og loven anerkjenner det med «retten til å avtale alternative sikkerhetsnivåer hvis andre kunders rettigheter berøres». Delegert forordning 2024/1773 (artikkel 8) lister opp metodene en finansiell enhet kan bruke: egne revisjoner eller revisjoner fra tredjepart, felles revisjoner organisert sammen med andre kunder, sertifiseringer fra tredjepart og revisjonsrapporter som du gjør tilgjengelige. Men den kan ikke over tid bare støtte seg på sertifiseringer eller rapporter, og den beholder den kontraktsfestede retten til å gjennomføre individuelle og felles revisjoner.
Praktisk tilnærming: tilby ISO 27001-sertifisering og/eller en SOC 2 Type II-rapport som første linje, en strukturert dokumentasjonspakke og en tydelig prosedyre for revisjoner på stedet eller eksternt (varsel, omfang, konfidensialitet, hyppighet, kostnad). Felles revisjoner blant de finansielle kundene dine holder byrden håndterbar. En finansiell enhet som er et svært lite foretak, kan avtale at revisjonsrettighetene delegeres til en uavhengig tredjepart som du utpeker (artikkel 30 nr. 3 siste ledd).
Hendelsesstøtte og bankens rapporteringsklokke
Kunden din må rapportere alvorlige IKT-relaterte hendelser til tilsynsmyndigheten sin. Etter delegert forordning (EU) 2025/301 skal det første varselet sendes innen 4 timer etter at en hendelse er klassifisert som alvorlig, og senest 24 timer etter at kunden ble kjent med den. Mellomrapporten følger innen 72 timer og sluttrapporten innen én måned. Hvis det er ditt avbrudd eller brudd som er hendelsen, kan de bare overholde den klokken hvis du sier fra raskt. Regn med klausuler som krever varsling innen noen få timer, navngitte kontaktpersoner tilgjengelig døgnet rundt og samarbeid om analyse av grunnårsak. Artikkel 30 nr. 2 bokstav f krever bistand ved hendelser uten ekstra kostnad eller til en forhåndsavtalt pris.
Trusselbasert penetrasjonstesting (TLPT)
Betydelige finansielle enheter må gjennomføre trusselbaserte penetrasjonstester på produksjonssystemer i drift minst hvert tredje år (artikkel 26 og 27, nærmere beskrevet i delegert forordning (EU) 2025/1190, basert på TIBER-EU). Der tjenesten din støtter en kritisk eller viktig funksjon innenfor omfanget, må du «delta og samarbeide fullt ut» (artikkel 30 nr. 3 bokstav d). Der deltakelsen din kan skade kvaliteten eller sikkerheten i tjenester til kunder utenfor DORA, eller konfidensialiteten til dataene deres, kan du og kunden skriftlig avtale at du selv engasjerer en ekstern tester for en felles TLPT som dekker flere finansielle enheter, ledet av en av dem (artikkel 26 nr. 4). Avtal på forhånd regler for gjennomføringen, trygge tidsvinduer, personvern og hvem som bærer hvilke kostnader. De fleste leverandører i SMB-segmentet vil aldri være med i en TLPT, men klausulen vil likevel stå i kontrakten.
Exitstrategier
Finansielle enheter må ha testede exitplaner for hver tjeneste som støtter kritiske eller viktige funksjoner (artikkel 28 nr. 8). De må kunne gå ut uten forstyrrelser for virksomheten, for etterlevelsen av regelverket eller for kundene sine. Kontrakten din vil derfor inneholde en overgangsperiode der du fortsetter tjenesten mens de migrerer (artikkel 30 nr. 3 bokstav f), pluss tilbakelevering av data i et tilgjengelig format (30 nr. 2 bokstav d). Ha klar en dokumentert eksport (format, fullstendighet, tidspunkt), en plan for avvikling av kundeforholdet og en pris for overgangen. «Vi sletter alt 30 dager etter oppsigelse» holder ikke.
CTPP-tilsyn, og hvorfor du sannsynligvis ikke er en
DORA innfører også direkte EU-tilsyn med kritiske tredjepartsleverandører av IKT-tjenester (CTPP-er). ESA-ene utpeker dem ut fra systemisk betydning, hvor mange systemviktige institusjoner som er avhengige av dem, avhengighet for kritiske funksjoner og utskiftbarhet (artikkel 31 nr. 2). For kriteriet om systemisk betydning starter delegert forordning (EU) 2024/1502 med en kvantitativ test: leverandøren støtter kritiske eller viktige funksjoner hos minst 10 % av en kategori finansielle enheter, både i antall og i samlede eiendeler.
Den 18. november 2025 publiserte ESA-ene den første listen over 19 CTPP-er, blant dem Amazon Web Services, Microsoft, Google Cloud, Oracle, SAP, IBM, Accenture, Capgemini, Bloomberg, Equinix og Deutsche Telekom. Noen leverandører er unntatt ved lov, blant annet de som betjener finansielle enheter i bare én medlemsstat (artikkel 31 nr. 8). Leverandører kan også søke om å bli utpekt frivillig (artikkel 31 nr. 11).
For en typisk leverandør i SMB-segmentet betyr det: du er ikke en CTPP og er ikke under direkte tilsyn fra en Lead Overseer. Pliktene dine kommer fra kontraktene dine. Men hvis du hoster hos en utpekt CTPP, vil den avhengigheten dukke opp i kundenes registre som en del av underleverandørkjeden din.
Sjekkliste for kontraktsklausuler
- Tjenestebeskrivelse og liste over underdatabehandlere som stemmer med virkeligheten (30 nr. 2 bokstav a)
- Regioner for hosting og behandling navngitt, med forhåndsvarsel om endringer (30 nr. 2 bokstav b)
- Sikkerhetsvedlegg som dekker tilgjengelighet, integritet, autentisitet og konfidensialitet (30 nr. 2 bokstav c)
- Tilbakelevering av data og eksportformat, også ved insolvens (30 nr. 2 bokstav d)
- SLA i kontrakten, med kvantitative mål hvis tjenesten er kritisk (30 nr. 2 bokstav e, 30 nr. 3 bokstav a)
- Et varslingsvindu for hendelser som du faktisk kan overholde, og prising av hendelsesbistand (30 nr. 2 bokstav f)
- Samarbeid med tilsynsmyndigheter og krisehåndteringsmyndigheter (30 nr. 2 bokstav g)
- Oppsigelsesgrunner og oppsigelsesfrister i tråd med artikkel 28 nr. 7 (30 nr. 2 bokstav h)
- Vilkår for deltakelse i opplæring (30 nr. 2 bokstav i)
- Plikt til å varsle om vesentlig utvikling (30 nr. 3 bokstav b)
- Testet BCP/DR og dokumentasjon på forespørsel (30 nr. 3 bokstav c)
- Samarbeid om TLPT, inkludert felles testing og kostnadsfordeling (30 nr. 3 bokstav d)
- Revisjonsklausul: metoder, felles revisjoner, varsel, hyppighet, konfidensialitet, alternativ sikkerhet (30 nr. 3 bokstav e)
- Overgangsperiode og overgangsstøtte ved exit (30 nr. 3 bokstav f)
- Vilkår for underleveranser, varslingsfrist ved vesentlige endringer og rett til å protestere (RTS 2025/532)
- LEI eller EUID oppgitt for deg og for underleverandører som understøtter kritiske tjenester (ITS 2024/2956)
Hva bankkunden din vil spørre deg om
- Din LEI eller EUID, juridisk enhet, konsernstruktur og eierskap.
- Hvilke funksjoner tjenesten din støtter, og ditt syn på hvor kritisk den er.
- Hvor data behandles og lagres, per region, inkludert sikkerhetskopier og supporttilgang.
- Hele underleverandørkjeden for tjenesten, med steder og LEI-er, pluss prosessen din for å endre den.
- Sertifiseringer og rapporter: ISO 27001-sertifikat og anvendelseserklæring, SOC 2 Type II, sammendrag av penetrasjonstester.
- Planen din for hendelseshåndtering, varslingstider og en navngitt kontakt døgnet rundt.
- BCP/DR: RTO og RPO, dato og resultater for siste test.
- Tidsfrister for håndtering av sårbarheter og oppdateringer.
- Tilgangskontroll og MFA for de ansatte, bakgrunnssjekker og styring av privilegert tilgang.
- Exit: eksportformater, overgangsstøtte, lagring etter oppsigelse.
- Økonomisk soliditet og forsikring, særlig for kritiske tjenester.
- Vilje til å godta revisjon og inspeksjon, også fra tilsynsmyndigheten deres.
Ha dokumentasjonen de finansielle kundene dine ber om, på ett sted
Dazr Compliance gir SaaS-leverandører rammeverkene DORA og ISO 27001 side om side, et leverandørregister for underdatabehandlerne dine og hvor de holder til, et hendelsesregister med tidsstempler du kan dele, dokumentasjon på BCP-tester med varsler om utløp og skrivebeskyttet revisortilgang for felles revisjoner.
Vanlige spørsmål
Gjelder DORA direkte for SaaS-selskapet mitt?
Ikke med mindre du selv er en finansiell enhet eller er utpekt som kritisk tredjepartsleverandør av IKT-tjenester. DORAs plikter for vanlige IKT-leverandører når deg gjennom kontraktene som finansielle enheter må inngå etter artikkel 28 og 30.
Kan jeg nekte ubegrensede revisjonsrettigheter?
For tjenester som støtter kritiske eller viktige funksjoner, er kunden rettslig forpliktet til å ha dem. Du kan forhandle om hvordan de utøves: felles revisjoner, sertifiseringer og rapporter som første linje, varslingsfrister og konfidensialitet. Artikkel 30 nr. 3 bokstav e ii tillater alternative sikkerhetsnivåer der andre kunders rettigheter berøres.
Trenger jeg en LEI?
Finansielle enheter må identifisere IKT-leverandører som er juridiske personer med LEI eller EUID i informasjonsregisteret sitt (gjennomføringsforordning (EU) 2024/2956). En LEI er ofte den enkleste måten å gjøre det lett for dem på.
Hvor raskt må jeg rapportere en hendelse til en bankkunde?
DORA fastsetter ikke noe tall for deg, men kunden din må varsle tilsynsmyndigheten innen 4 timer etter å ha klassifisert en hendelse som alvorlig og innen 24 timer etter å ha blitt kjent med den. Kontrakter krever derfor vanligvis varsling innen noen få timer.
Relatert
Kilder (per 1. oktober 2026)
- Forordning (EU) 2022/2554 (DORA), artikkel 26 til 31.
- Kommisjonens gjennomføringsforordning (EU) 2024/2956: maler for informasjonsregisteret.
- Kommisjonens delegerte forordning (EU) 2025/532: underleveranse av IKT-tjenester som støtter kritiske eller viktige funksjoner.
- Kommisjonens delegerte forordning (EU) 2024/1773: retningslinje for kontraktsordninger.
- Kommisjonens delegerte forordning (EU) 2025/301: tidsfrister for rapportering av alvorlige hendelser.
- Kommisjonens delegerte forordning (EU) 2025/1190: trusselbasert penetrasjonstesting.
- Kommisjonens delegerte forordning (EU) 2024/1502: kriterier for utpeking av CTPP-er.
- ESA-ene: utpeking av kritiske tredjepartsleverandører av IKT-tjenester, 18. november 2025.
Denne veiledningen forklarer DORA per 1. oktober 2026 for IKT-leverandører og er ikke juridisk rådgivning. Kontraktsvilkårene avhenger av kundens klassifisering og tilsynsmyndighet.