DORA fra 1. september: Sjekk IKT-avtalene nå

Fra 1. september 2026 skal finansieringsforetak, eiendomsmeglingsforetak, inkassoforetak og Norsk naturskadepool følge utvalgte deler av DORA-regelverket. Samtidig oppheves den norske IKT-forskriften som hittil har regulert IKT-virksomheten i flere av disse foretakene.

Endringen handler ikke bare om teknisk sikkerhet. Den flytter IKT-risiko tydelig inn i virksomhetsstyringen og stiller krav til hvordan foretaket forbereder seg på driftsavbrudd, følger opp leverandører og håndterer alvorlige hendelser.

Ulike foretak får ulike krav

Finansieringsforetak skal følge DORA-artiklene 5 til 15 om virksomhetsstyring og rammeverk for IKT-risikostyring, så langt bestemmelsene passer. Eiendomsmeglings- og inkassoforetak omfattes i stedet av artikkel 16 om et forenklet rammeverk.

Alle de nye gruppene omfattes av krav til håndtering av IKT-hendelser, klassifisering og rapportering. For eiendomsmeglingsforetak gjelder klassifiserings- og rapporteringskravene bare hendelser knyttet til oppgjørsfunksjonen. Kravene til testing av digital motstandsdyktighet gjelder også så langt de passer.

Gjeldsinformasjonsforetak, kredittopplysningsforetak, låneformidlingsforetak og morselskaper i finanskonsern blir ikke tatt inn i DORA gjennom denne forskriftsendringen. Regjeringen opplyser at disse i stedet skal få veiledning fra Finanstilsynet.

Leverandørregisteret blir en nøkkeloppgave

Foretakene skal ha et register på foretaksnivå over IKT-tjenesteavtaler. Det skal minst inneholde leverandørens navn og identifikatorer, hvilken type tjeneste som leveres, landet leverandøren og aktuelle underleverandører holder til i, avtalens start- og sluttdato og datoen for siste risikovurdering.

Dette gjør en vanlig leverandørliste utilstrekkelig. Bedriften må kunne koble avtalen til tjenesten, underleverandørkjeden og en dokumentert risikovurdering. Finanstilsynet kan be om registeret, men foretak som først omfattes fra 1. september bør kontrollere oppdaterte rapporteringsbeskjeder før de sender inn noe.

DORA-reglene om IKT-tredjepartsrisiko og sentrale avtalekrav gjelder også. I praksis betyr det at skylagring, fagsystemer, betalingsløsninger, sikkerhetsleverandører og driftsavtaler bør gjennomgås samlet. En ekstern leverandør overtar ikke det regulerte foretakets ansvar.

Også IKT-leverandører kan merke endringen

Leverandører som betjener finansiering, eiendomsoppgjør eller inkasso, kan vente flere spørsmål om underleverandører, lagringsland, hendelsesvarsling, testing, datatilgang og avslutning av avtalen. Dette følger som en praktisk konsekvens av foretakenes nye plikt til å styre og dokumentere tredjepartsrisiko.

Det betyr ikke at enhver liten leverandør automatisk blir direkte underlagt DORA. Men mangelfull dokumentasjon kan gjøre det vanskeligere å vinne eller beholde kunder i de berørte bransjene.

Dette bør du gjøre nå

• Avklar om foretakets konsesjon og virksomhet omfattes fra 1. september.
• Utpek én ansvarlig for IKT-risiko og sørg for styre- eller ledelsesforankring.
• Lag et oppdatert register over alle IKT-tjenesteavtaler og relevante underleverandører.
• Dokumenter siste risikovurdering, avhengigheter og planlagt avslutning eller overgang for hver kritisk tjeneste.
• Test rutinen for å oppdage, klassifisere, eskalere og dokumentere hendelser.
• Kontroller at beredskaps- og gjenopprettingsplaner faktisk kan gjennomføres.
• Følg Finanstilsynets veiledning om hendelser, avtaler og eventuell rapportering.

Kort fortalt

DORA utvides 1. september til finansieringsforetak, eiendomsmeglingsforetak og inkassoforetak, med tilpassede krav. Den mest konkrete startjobben er å få kontroll på IKT-risiko, hendelsesrutiner, testing og alle leverandøravtaler. Dette er generell informasjon, ikke individuell juridisk rådgivning.

Kilder

• Finansdepartementet – vedtatt endring i DORA-forskriften, 20. august 2026
• Regjeringen – nye IKT-regler for deler av finanssektoren
• Finanstilsynet – temaside om DORA
• Lovdata – DORA-loven § 2