Finansinspektionens DORA-tillsynsfokus 2026

Den 5 februari 2026 presenterade Finansinspektionen (FI) sina tillsynsprioriteringar för året. Ett av tre huvudspår är risker som kan hota den finansiella stabiliteten och där lyfter FI uttryckligen fram att bolagen måste ha "en driftsäker IT-struktur som kan klara störningar som exempelvis cyberattacker" (FI:s tillsynsprioriteringar 2026, PDF). I praktiken innebär det att IKT-risker och efterlevnad av DORA-förordningen hamnar högt på FI:s agenda under 2026.

För bolag som redan är väl bekanta med DORA i stort är den viktiga frågan just nu: vad betyder det att området är "prioriterat" och vad bör man göra annorlunda redan i höst?

Vad FI har sagt och publicerat

FI har varit tydlig med att myndigheten arbetar riskbaserat och riktar resurserna dit riskerna bedöms som störst (FI, 2026-02-05). Utöver själva prioriteringsbeskedet i februari har FI under året publicerat flera konkreta signaler om att IKT-tillsynen skärps:

• I januari förtydligade FI vilka uppgifter som ska ingå i 2026 års rapportering av informationsregistret över IKT-tredjepartsleverantörer, se FI:s samlingssida för IKT-risker (Dora).
• I mars meddelade FI att man, tillsammans med EBA, hade identifierat brister i flera bolags rapportering av informationsregistret och påminde om att bolagen själva ansvarar för att inlämningen är godkänd hos EBA senast den 31 mars (samma källa).
• FI tar emot rapporter om allvarliga IKT-incidenter, och enligt lagen (2024:1278) med kompletterande bestämmelser till DORA-förordningen är det FI som beslutar vilka bolag som ska genomföra hotbildsstyrd penetrationstestning (TLPT) och hur ofta, medan Riksbanken samordnar själva testerna enligt TIBER-SE (Riksbanken, 2025-07-11).
• De europeiska tillsynsmyndigheterna EBA, Eiopa och Esma publicerade i juni 2026 sin första gemensamma rapport om allvarliga IKT-incidenter enligt DORA: 3 383 incidenter under 2025 i hela EU, där kredit- och betalningssektorn stod för mer än tre fjärdedelar och nästan en tredjedel hade sitt ursprung hos en IKT-tredjepartsleverantör (läs mer i vår artikel DORA i praktiken).

Sammantaget visar det här att FI inte bara nämner DORA som ett prioriterat område i ord, utan redan agerar på det: uppföljning av inlämnade uppgifter, påminnelser om deadlines och beslut om vilka bolag som ska testas.

Vilka bolag berörs

DORA:s tillämpningsområde är brett, och det är samma krets som berörs av FI:s skärpta tillsyn: banker, kreditinstitut, betalnings- och e-penninginstitut, värdepappersbolag, fondbolag, försäkrings- och återförsäkringsbolag samt vissa leverantörer av kryptotillgångstjänster (FI, Om Dora). Även bolagens kritiska IKT-tredjepartsleverantörer omfattas indirekt, eftersom de finansiella bolagen är skyldiga att ställa krav vidare i sina leverantörsavtal.

Vad "prioriterat tillsynsområde" innebär i praktiken

Att FI pekar ut ett område som prioriterat får konkreta konsekvenser:

• Mer aktiv uppföljning av inrapporterade data. FI analyserar informationsregister och incidentrapporter för att identifiera risker och avvikelser, snarare än att bara ta emot dem (FI, IKT-risker (Dora)).
• Riktade påminnelser och dialog. Som i fallet med bristerna i informationsregistret hör FI av sig direkt till bolag vars rapportering innehåller avvikelser eller är bristfälliga.
• Beslut om vilka bolag som ska testas och hur ofta. FI avgör vilka entiteter som omfattas av hotbildsstyrd penetrationstestning, medan Riksbanken samordnar själva testerna enligt TIBER-SE (Riksbanken, om Riksbankens arbete med cyberrisker).
• Ökad risk för förelägganden. FI kan besluta om förelägganden och sanktionsavgifter mot bolag som inte lever upp till kraven i DORA-förordningen eller FI:s egna föreskrifter, FFFS 2024:20 (FI, IKT-risker (Dora)).

Med andra ord handlar det inte om nya lagkrav, utan om att befintliga DORA-krav nu följs upp mer systematiskt och med större konsekvens vid brister.

Kopplingen till DORA:s krav på IKT-riskhantering

FI:s tillsynsfokus speglar rakt av de områden i DORA som handlar om operativ motståndskraft: hur bolag identifierar och hanterar IKT-risker, hur de upptäcker och rapporterar allvarliga incidenter, hur de testar sin motståndskraft och hur de hanterar risker kopplade till tredjepartsleverantörer (FI, Om Dora). Det är alltså inte ett nytt regelverk som tillkommer, utan en signal om att FI kommer att granska efterlevnaden av de krav som redan gäller sedan januari 2025 mer noggrant.

Vad bör finansiella bolag och deras leverantörer göra nu

• Kontrollera att informationsregistret är komplett och korrekt inför nästa rapporteringstillfälle, inte bara i tid utan även innehållsmässigt.
• Se över rutinerna för incidentrapportering så att ansvar, tidsramar och mallar är kända av rätt personer i organisationen, inte bara dokumenterade.
• Ta reda på om er verksamhet omfattas av hotbildsstyrd testning (TIBER-SE) och i så fall vilken frekvens som gäller.
• Gå igenom avtal med kritiska IKT-leverantörer och säkerställ att de innehåller de krav på säkerhet, tillgänglighet och incidentrapportering som DORA förutsätter, särskilt med tanke på att nästan en tredjedel av EU:s rapporterade incidenter under 2025 hade sitt ursprung hos en tredjepartsleverantör.
• Förankra ansvaret hos styrelse och ledning, eftersom FI:s tillsyn i högre grad utgår från att IKT-risk är en styrningsfråga och inte enbart en IT-fråga.

Bolag som redan har byggt upp sin DORA-efterlevnad har ett bra utgångsläge, nu handlar det om att kunna visa att arbetet faktiskt fungerar i praktiken, inte bara på pappret.

Vill du repetera grunderna i regelverket? Läs vår artikel De fem pelarna i DORA för en genomgång av vad förordningen omfattar.