DORA: de första kritiska IKT-leverantörerna är utsedda
ESA:erna har utsett 19 kritiska tredjepartsleverantörer av IKT-tjänster enligt DORA, som nu står under direkt EU-tillsyn. Vad det betyder.
Förordningen om digital operativ motståndskraft (DORA, förordning (EU) 2022/2554) gäller sedan den 17 januari 2025 för banker, försäkringsföretag, värdepappersbolag, betalningsinstitut och andra finansiella enheter. Tillsynen över de största teknikleverantörerna är nu i gång.
19 leverantörer under direkt EU-tillsyn
Den 18 november 2025 publicerade de tre europeiska tillsynsmyndigheterna (EBA, Eiopa och Esma) den första listan över kritiska tredjepartsleverantörer av IKT-tjänster (CTPP). De 19 utsedda leverantörerna är stora moln-, datacenter-, tele-, konsult- och finansdataföretag, bland dem Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, SAP SE, Deutsche Telekom, Orange, Equinix, Capgemini, Accenture och IBM.
Myndigheterna utgick från de informationsregister som finansiella enheter för över sina IKT-avtal, följt av en kritikalitetsbedömning tillsammans med de nationella myndigheterna. De utsedda leverantörerna har nu en ledande tillsynsmyndighet som kan begära information, göra inspektioner och utfärda rekommendationer. Listan uppdateras varje år.
Informationsregister: varje år
Finansiella enheter för ett register över alla avtal med tredjepartsleverantörer av IKT-tjänster. Från 2026 rapporterar de nationella myndigheterna registren till ESA:erna senast den 31 mars varje år, med den 31 december föregående år som referensdatum. De nationella myndigheterna sätter egna, tidigare tidsfrister för de enheter de har tillsyn över.
Vad det betyder
- För finansiella enheter: tillsynen över en CTPP tar inte över ert eget ansvar. Ni hanterar fortfarande själva risken med IKT-tredjeparter: avtal med villkoren i artikel 30, exitstrategier och ett fullständigt och korrekt register.
- För IKT-leverantörer som inte står på listan, även mindre SaaS-leverantörer: räkna med DORA-klausuler i avtal, frågor om underleverantörer och platser samt önskemål om stöd vid exit och incidenter. Tydliga svar kortar upphandlingen.
Leverantörens perspektiv: DORA för IKT-tredjeparts- och SaaS-leverantörer.
Källor
- Regulation (EU) 2022/2554 (DORA)
- EBA: The European Supervisory Authorities designate critical ICT third-party providers under DORA (18 November 2025)
- ESMA: List of designated critical ICT third-party service providers
- EBA: Preparations for reporting of DORA registers of information
Endast för information, inte juridisk rådgivning. Senast uppdaterad 19 oktober 2026.
Finns även på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Norsk bokmål