Styrelsens och ledares ansvar under DORA är kärnan i EU:s nya ramverk för digital motståndskraft. Här får du översikten på både strategisk och operativ nivå, med allt du behöver för att uppfylla kraven.
Digital motståndskraft är inte längre bara ett IT-ansvar. Sedan den 17 januari 2025 är EU:s Digital Operational Resilience Act (DORA) fullt tillämplig, och ansvaret ligger nu hos styrelsen och företagsledningen. Detta innebär att DORA handlar om mer än reglering, det handlar om ledarskap.
DORA förändrar spelreglerna för styrning. Digital motståndskraft flyttas från att vara ett tekniskt ansvar till att bli ett styrelse- och ledningsansvar. Det kräver kunskap, engagemang och samarbete. Rätt hanterat öppnar det också för starkare företag och långvarigt förtroende.
För företag i finanssektorn och närliggande branscher betyder detta att digital risk och motståndskraft måste behandlas med samma allvar som finansiell risk. Frågan är inte längre ”är IT-avdelningen redo?”, utan ”är vi som ledare redo?”
Kärnan i DORA ger styrelsen två tydliga skyldigheter:
Styrning är inte valfritt – det är en lagstadgad plikt. Styrelsen måste säkerställa rätt strukturer, processer och resurser för att uppfylla regulatoriska förväntningar.
IKT-risk är inte en “fråga vid sidan av”, utan måste integreras i den övergripande riskhanteringen. Styrelsen förväntas ta ett helhetsgrepp: bygga in IKT-risk i riskbilden, kräva tydliga rapporteringslinjer och få regelbundna uppdateringar om cyberrisker, resiliens-tester, incidenthantering och leverantörsuppföljning.
Viktigast av allt: styrelsen måste visa digital kompetens, och bristande kunskap är inte längre en ursäkt. Styrelsemedlemmar måste ha insikt och färdigheter för att förstå IKT-risker och ställa de rätta frågorna.
Medan styrelsen definierar ramverket är det ledningen som får det att fungera. Under DORA är ledarna ansvariga för att integrera IKT-riskhantering i den dagliga verksamheten.
VD bär det övergripande ansvaret, men nyckelroller fördelas:
VD måste dessutom säkerställa tillräckliga resurser, etablera rutiner för incidenthantering och noggrant utvärdera leverantörer. DORA kräver också en oberoende kontrollfunktion för IKT-risk som är åtskild från den dagliga driften för att undvika intressekonflikter.
Kulturen är nyckeln. Ledningen måste främja en organisationskultur där resiliens är allas ansvar, stödd av utbildning, medvetenhet och samarbete över gränserna.
En av de mest konkreta skyldigheterna i DORA är incidentrapportering. Allvarliga IKT-incidenter måste snabbt rapporteras till myndigheterna, i vissa fall inom några timmar.
Styrelsen och ledningen måste säkerställa att:
Detta handlar inte bara om att undvika sanktioner. Öppen och snabb rapportering handlar också om att skydda förtroendet hos kunder, partners och tillsynsmyndigheter.
DORA kräver regelbunden testning av digital motståndskraft, från grundläggande sårbarhetsbedömningar till avancerade hotbaserade penetrationstester (TLPT) utförda av oberoende experter.
För ledningen innebär detta att säkerställa att:
Testning är platsen där strategi möter verklighet. Det är så ledare kan vara säkra på att motståndskraft inte bara är en policy, utan en faktisk kapacitet i verksamheten.
En stor del av IKT-risken ligger hos tredjepartsleverantörer, såsom molntjänster, fintech-partners och andra kritiska aktörer. DORA är tydlig: ansvaret stannar hos styrelsen och ledningen, även vid outsourcing.
Detta kräver:
För ledare handlar detta om att inse att resiliens också är en fråga om leverantörskedjan. Solid styrning av leverantörer är nu både ett regulatoriskt krav och en affärsmässig nödvändighet.
DORA öppnar för nära europeisk samordning mellan tillsynsmyndigheter. Företag måste vara förberedda på ökad kontroll och fler krav på dokumentation.
Styrelsen och ledningen måste säkerställa att:
I praktiken innebär detta att vara förberedd på nära dialog med tillsynsmyndigheter, och att betrakta dem som centrala intressenter i digital resiliens.
Compliance kan inte reduceras till en checklista. Effektiv styrning innebär en kontinuerlig cykel av planering, genomförande, testning och utvärdering.
Ledare bör fokusera på:
När detta hänger ihop blir resiliens en integrerad del av verksamheten, och mer än bara ett compliance-krav.
Att inte följa DORA kan få allvarliga konsekvenser. Reglerna öppnar för betydande böter, och vid grov vårdslöshet kan styrelsemedlemmar eller ledare hållas personligt ansvariga.
Men den största förlusten är ofta anseendet. En cyberincident som avslöjar svag styrning kan underminera både kunders och investerares förtroende, och därmed konkurrenskraften. För finansinstitut, där förtroende är kärnkapitalet, är detta den största risken.
De goda nyheterna är att de som tar DORA på allvar inte bara undviker risk – de bygger styrka. Genom att integrera resiliens i styrning och drift kan företag:
Kort sagt handlar DORA inte bara om compliance. Det handlar om ledarskap, förtroende och att ge ditt företag en konkurrensfördel.