Finansieringsforetak, eiendomsmeglerforetak og inkassoforetak er nå regulert av DORA

Fra 1. september 2026 gjelder ikke IKT-forskriften lenger for finansieringsforetak, eiendomsmeglerforetak og inkassoforetak. Den erstattes av DORA-forordningen (EU 2022/2554) med de tilpasningene som følger av DORA-forskriften (FOR-2025-06-24-1296).

Nedenfor er det redegjort for de viktigste endringene, det skjerpede styreansvaret som følger med DORA-reguleringen og de nye regulatoriske rammene som nå vil gjelde. Avslutningsvis følger noen punkter om hvordan foretakene bør følge opp forskriftsendringen.

Hva er de viktigste endringene fra IKT-forskriften til DORA?

Styrket krav til virksomhetsstyring og IKT-risikostyring

Foretakenes størrelse og konsekvensene manglende cybersikkerhet kan få for kundene, har vært styrende for hvilke foretak som må oppfylle hele kapittel II om IKT-risikostyring som omfatter krav til Business ImpactAssessment (BIA), leverandørstyring, beredskapstesting, hendelsesrapportering og register over IKT-tjenesteavtaler.

Mellomstore eller større eiendomsmegler-, inkasso- og finansieringsforetak er underlagt artiklene 5–15 i kapittel II. Mindre foretak følger det forenklede rammeverket i artikkel 16. Et mellomstort foretak sysselsetter 50 personer og har en årsomsetning og/eller en samlet årsbalanse som overstiger 10 millioner EURO, jf. DORA forordningens artikkel 3 nr. 63 – 64.

Nye krav til IKT-tjenesteavtaler og håndtering av tredjepartsrisiko

DORA-forordningen kapittel V, del I (artiklene 28–30) om håndtering av IKT-tredjepartsrisiko gjelder tilsvarende så langt den passer.

Foretakene skal imidlertid kun ha register for IKT-tjenesteavtaler på foretaksnivå, og de noe omfattende kravene i kommisjonens gjennomføringsforordning (EU) 2024/2956 gjelder ikke, jf. forskriftens § 9 (2).

Inkassoforetak som er mellomstore eller større får plikt til å melde kritiske eller viktige IKT-tjenesteavtaler. Eiendomsmeglerforetak får plikt til å melde kritiske eller viktige IKT-tjenesteavtaler og krav til å rapportere alvorlige hendelser når avtalen/hendelsen er relatert til oppgjørsfunksjonen.

Oppfølging av EUs anbefalinger om kritiske IKT-leverandører

EUs overvåkningsmyndighetkan peke ut IKT-tjenesteleverandører som kritiske for foretak i finanssektoren i EU, som blir gjenstand for overvåkning. Finanstilsynet skal underrette de relevante finansielle enhetene om de risikoene som er identifisert i anbefalingene, jf. DORA artikkel 42 nr. 3. Eiendomsmegler-, inkasso- og finansieringsforetak, må nå ta hensyn til disse anbefalingene ved styring av IKT-risiko.

Regler for informasjonsdeling om cybertrusler

Siden finansieringsforetak, eiendomsmeglerforetak og inkassoforetak faller inn under DORA reguleringen, så må de nå følge reglene for informasjonsdeling om cybertrusler med myndigheteneog andre som følger av kapittel VI i forordningen.

Skjerpet styreansvar og nye regulatoriske rammer

Styret er ansvarlig – ansvar kan ikke delegeres bort

Etter DORA er digital operasjonell motstandsdyktighet en styresak. Ansvaret kan ikke delegeres bort til IT-avdelingen, til en CISO, til en ekstern leverandør eller til compliance-funksjonen alene. Styret og daglig ledelse er ansvarlig for at foretaket har et rammeverk for IKT-risikostyring som er tilpasset foretakets størrelse og risiko – og for at dette rammeverket faktisk fungerer i praksis, ikke bare på papiret.

Tilpasning til foretakets størrelse og risikoprofil

DORA artikkel 4 fastsetter et proporsjonalitetsprinsipp som styrer hvordan forordningens krav skal anvendes på det enkelte foretak. Prinsippet innebærer at ved vurderingen av om kravene i forordningen er oppfylt, skal det tas hensyn til foretakets størrelse og samlede risikoprofil, samt arten, omfanget og kompleksiteten av virksomhetens aktiviteter og IKT-systemer. Formålet med regelverket må imidlertid ivaretas. Dersom man bruker proporsjonalitetsprinsippet, må vurderinger og bruk dokumenteres.

Fra prinsippbasert IKT-forskrift til harmonisert EØS-regelverk

IKT-forskriften har vært det sentrale rammeverket for finansieringsforetak, eiendomsmeglerforetak og inkassoforetak siden 2003. Forskriften er overordnet og prinsippbasert regulering som kan tilpasses teknologiske endringer.

DORA er annerledes. Forordningen som harmoniserer cybersikkerhetsreguleringen innenfor EØS-området, inneholder konkrete regler om virksomhetsstyring, rammeverk for risikostyring, testing, hendelsesrapportering, tredjepartsrisikostyring og IKT-tjenesteavtaler. Blant annet fordi forordningen gjelder alle medlemslandene i EØS, åpner den ikke i samme grad for at Finanstilsynet kan utøve skjønn.

Hva bør man få på plass?

1. Det er ikke tilstrekkelig å ha et rammeverk for IKT-risiko, man bør også vise at dette brukes aktivt til styring, kontroll, rapportering og oppfølging av IKT-risiko og at styret følger opp rammeverket.
2. Foretakene bør ha på plass systematisk styring av IKT-tredjepartsrisiko som sikrer digital operasjonell motstandsdyktighet.
3. Man bør kunne dokumentere mekanismer for å håndtere, gjenopprette, lære av og kommunisere ved IKT-relaterte hendelser.
4. Erfaringer fra hendelser, tester og øvelser bør brukes til å forbedre beredskapen ogdokumenteres.
5. Foretaket bør ha tydelige rutiner for intern og ekstern kommunikasjon.

Ta gjerne kontakt med oss i Law om du vil vite mer om dette temaet. Artikkelforfatter: Even Tukun