Fra 1. september 2026 gjelder ikke IKT-forskriften lenger for finansieringsforetak, eiendomsmeglerforetak og inkassoforetak. Den erstattes av 

 (EU 2022/2554) med de tilpasningene som følger av DORA-forskriften (FOR-2025-06-24-1296).

Nedenfor er det redegjort for de viktigste endringene, det skjerpede styreansvaret som følger med DORA-reguleringen og de nye regulatoriske rammene som nå vil gjelde. Avslutningsvis følger noen punkter om hvordan foretakene bør følge opp forskriftsendringen.

Hva er de viktigste endringene fra IKT-forskriften til DORA?

Styrket krav til virksomhetsstyring og IKT-risikostyring

Foretakenes størrelse og konsekvensene manglende cybersikkerhet kan få for kundene, har vært styrende for hvilke foretak som må oppfylle hele kapittel II om IKT-risikostyring som omfatter krav til Business ImpactAssessment (BIA), leverandørstyring, beredskapstesting, hendelsesrapportering og register over IKT-tjenesteavtaler.

Mellomstore eller større eiendomsmegler-, inkasso- og finansieringsforetak er underlagt artiklene 5–15 i kapittel II. Mindre foretak følger det forenklede rammeverket i artikkel 16. Et mellomstort foretak sysselsetter 50 personer og har en årsomsetning og/eller en samlet årsbalanse som overstiger 10 millioner EURO, jf. DORA forordningens artikkel 3 nr. 63 – 64.

Nye krav til IKT-tjenesteavtaler og håndtering av tredjepartsrisiko

DORA-forordningen kapittel V, del I (artiklene 28–30) om håndtering av IKT-tredjepartsrisiko gjelder tilsvarende så langt den passer.

Foretakene skal imidlertid kun ha register for IKT-tjenesteavtaler på foretaksnivå, og de noe omfattende kravene i kommisjonens gjennomføringsforordning 

 gjelder ikke, jf. forskriftens § 9 (2).

Inkassoforetak som er mellomstore eller større får plikt til å melde kritiske eller viktige IKT-tjenesteavtaler. Eiendomsmeglerforetak får plikt til å melde kritiske eller viktige IKT-tjenesteavtaler og krav til å rapportere alvorlige hendelser når avtalen/hendelsen er relatert til oppgjørsfunksjonen.

Oppfølging av EUs anbefalinger om kritiske IKT-leverandører

EUs overvåkningsmyndighetkan peke ut IKT-tjenesteleverandører som kritiske for foretak i finanssektoren i EU, som blir gjenstand for overvåkning. Finanstilsynet skal underrette de relevante finansielle enhetene om de risikoene som er identifisert i anbefalingene, jf. DORA artikkel 42 nr. 3. Eiendomsmegler-, inkasso- og finansieringsforetak, må nå ta hensyn til disse anbefalingene ved styring av IKT-risiko.

Regler for informasjonsdeling om cybertrusler

Siden finansieringsforetak, eiendomsmeglerforetak og inkassoforetak faller inn under DORA reguleringen, så må de nå følge reglene for informasjonsdeling om cybertrusler med myndigheteneog andre som følger av kapittel VI i forordningen.

Skjerpet styreansvar og nye regulatoriske rammer

Styret er ansvarlig – ansvar kan ikke delegeres bort

Etter DORA er digital operasjonell motstandsdyktighet en styresak. Ansvaret kan ikke delegeres bort til IT-avdelingen, til en CISO, til en ekstern leverandør eller til compliance-funksjonen alene. Styret og daglig ledelse er ansvarlig for at foretaket har et rammeverk for IKT-risikostyring som er tilpasset foretakets størrelse og risiko – og for at dette rammeverket faktisk fungerer i praksis, ikke bare på papiret.

Tilpasning til foretakets størrelse og risikoprofil

DORA artikkel 4 fastsetter et proporsjonalitetsprinsipp som styrer hvordan forordningens krav skal anvendes på det enkelte foretak. Prinsippet innebærer at ved vurderingen av om kravene i forordningen er oppfylt, skal det tas hensyn til foretakets størrelse og samlede risikoprofil, samt arten, omfanget og kompleksiteten av virksomhetens aktiviteter og IKT-systemer. Formålet med regelverket må imidlertid ivaretas. Dersom man bruker proporsjonalitetsprinsippet, må vurderinger og bruk dokumenteres.

Fra prinsippbasert IKT-forskrift til harmonisert EØS-regelverk

IKT-forskriften har vært det sentrale rammeverket for finansieringsforetak, eiendomsmeglerforetak og inkassoforetak siden 2003. Forskriften er overordnet og prinsippbasert regulering som kan tilpasses teknologiske endringer.

DORA er annerledes. Forordningen som harmoniserer cybersikkerhetsreguleringen innenfor EØS-området, inneholder konkrete regler om virksomhetsstyring, rammeverk for risikostyring, testing, hendelsesrapportering, tredjepartsrisikostyring og IKT-tjenesteavtaler. Blant annet fordi forordningen gjelder alle medlemslandene i EØS, åpner den ikke i samme grad for at Finanstilsynet kan utøve skjønn.

Det er ikke tilstrekkelig å ha et rammeverk for IKT-risiko, man bør også vise at dette brukes aktivt til styring, kontroll, rapportering og oppfølging av IKT-risiko og at styret følger opp rammeverket.

Foretakene bør ha på plass systematisk styring av IKT-tredjepartsrisiko som sikrer digital operasjonell motstandsdyktighet.

Man bør kunne dokumentere mekanismer for å håndtere, gjenopprette, lære av og kommunisere ved IKT-relaterte hendelser.

Erfaringer fra hendelser, tester og øvelser bør brukes til å forbedre beredskapen ogdokumenteres.

Foretaket bør ha tydelige rutiner for intern og ekstern kommunikasjon.

Ta gjerne kontakt med oss i Law om du vil vite mer om dette temaet. Artikkelforfatter: 

Finansieringsforetak, eiendomsmeglerforetak og inkassoforetak er nå regulert av DORA

Siden finansforetak håndterer penger og sensitiv informasjon, er de attraktive mål for cyberangrep. Trusselen påvirker ikke bare enkelte finansselskaper, men kan true hele det finansielle systemet.

Med DORA-loven som trådte i kraft i fjor, ble det innført harmoniserte og strengere krav til IKT-sikkerhet i finanssektoren og for sentrale IKT-leverandører.

På bakgrunn av Finanstilsynets åtte tilsynsrapporter siden innføringen, har vi sett nærmere på hvilke forventninger tilsynet stiller til regulerte foretak.

1. Hvilke områder har Finanstilsynet lagt størst vekt på i sine tilsynsrapporter?

Så langt har Finanstilsynet gjennomført IKT-tilsyn hos seks banker, en fondsforvalter og ett forsikringsselskap. 

Det er særlig fem forhold som Finanstilsynet har tatt opp i rapportene, hhv. bruk av konsekvensanalyse, behovet for et solid leverandørstyringssystem, andrelinjens uavhengighet, beredskapstesting og proporsjonalitet.

2. Konsekvensanalysen må følges opp i praksis og legges fram for styret

Etter DORA skal finansforetak gjennomføre en Business Impact Assessment (BIA) som vurderer konsekvensene av alvorlige driftsforstyrrelser, jf. artikkel 11 nr. 5. Foretaket skal videre sikre at IKT-systemer, IKT-ressurser og IKT-tjenester tilpasses funnene i BIA, slik at man har tilstrekkelig redundans til å opprettholde foretakets kritiske eller viktige funksjoner.

I flere av rapportene har Finanstilsynet påpekt at kravene til oppetid som fremgår av BIA må være operasjonalisert og skal styre prioriteringer i foretakets kontrollhandlinger i alle forsvarslinjer. Finanstilsynet påpekte også at BIA er såpass sentral i styringen av virksomheten at resultatet av analysen bør legges fram for styret rutinemessig og dokumenteres.

Etter DORA skal foretak ha på plass en strategi for håndtering av IKT-tredjepartsrisiko, og retningslinjer for bruk av IKT-tjenester som understøtter kritiske og viktige funksjoner, jf. DORA artikkel 28 nr. 2. DORA stiller videre krav om at kvalitets- og ytelsesnivå (oppetid, klassifisering av hendelser, gjenopprettingstid etc.) nedfelles i IKT-tjenesteavtalene, jf. artikkel 30.

I rapportene slår Finanstilsynet fast at foretakene har ansvar for risikostyring og internkontroll også der deler av virksomheten leveres av IKT-tredjepartsleverandører, og det må dokumenteres reell styring og kontroll av leverandørforholdet. Foretakets rutiner må beskrive hvordan foretaket selv følger opp det leverandøren rapporterer. Det er ikke nok å passivt motta rapportering fra leverandørene. 

Vår erfaring er at det er krevende for mange leverandører å etablere solide styringsstrukturer som hjelper foretakene med å oppfylle sine krav til risikostyring og internkontroll. Leverandører som lykkes med dette, vil kunne få et konkurransefortrinn.

4. Tilstrekkelig uavhengighet for andrelinjen

Enkelte tilsynsrapporter viser at Finanstilsynet og regulerte foretak har hatt ulike oppfatninger av hvilke krav som stilles til andrelinjens uavhengighet. Uenigheten har særlig dreid seg om foretakene er forpliktet til å ha en egen, uavhengig andrelinje slik som blant annet hvitvaskings- og personvernregelverket forutsetter, se for eksempel punkt 3.1.1 i rapportene til Santander Consumer Bank AS og Sparebank 1 SMN.

Mens hvitvaskings- og personvernregelverket beskriver hvordan styrings- og kontrollfunksjonene bør organiseres for å sikre tilstrekkelig uavhengighet, stiller DORA krav om et passende uavhengighetsnivå og adskillelse mellom kontroll-, risikostyrings- og internrevisjonsfunksjoner for å unngå interessekonflikter. Det kan derfor argumenteres for at DORA krever funksjonell uavhengighet, men ikke setter krav om en bestemt organisatorisk modell for å oppnå denne uavhengigheten.

Finanstilsynet har uttalt at de ennå ikke vil publisere tilsynsmoduler som presiserer deres forventninger til hva som er et passende uavhengighetsnivå. Man bør derfor ta høyde for at det medfører en viss risiko å ikke ha en uavhengig andrelinje.

5. Beredskapstestingen må være tilpasset relevante scenarioer

I flere av tilsynsrapportene er det pekt på mangler ved beredskapstestingen, blant annet fordi den ikke har vært koblet mot relevante informasjonssikkerhets- og verstefallscenarioer, og fordi gjenoppretting og drift ikke har blitt testet i praksis. Flere foretak har også blitt kritisert for manglende dokumentasjon på funn fra testene og systematisk oppfølging av disse.

De regulerte foretakene må derfor bli mer involvert i testingen ved å definere relevante scenarioer og dokumentere at testene er knyttet opp mot deres kritiske prosesser. 

Finansforetakene må dermed i større grad sikre seg mer «skreddersydde» tester, siden standardiserte tester i mange tilfeller ikke vil være nok. Dette kan gi leverandører som tilbyr relevante skreddersydde BIA-relaterte tester en konkurransefordel.

DORA-forordningen artikkel 4 fastsetter et proporsjonalitetsprinsipp som styrer hvordan forordningens krav skal anvendes på det enkelte foretak. Prinsippet innebærer at IKT-risikostyringen skal gjennomføres i tråd med et forholdsmessighetsprinsipp, hvor det tas hensyn til foretakets størrelse og samlede risikoprofil, samt arten, omfanget og kompleksiteten av virksomhetens aktiviteter og IKT-systemer.

I tilsynsrapporten til Sparebank 1 Østlandet framgår det at proporsjonalitetsprinsippet i DORA slår ut annerledes for store foretak i allianse enn for mindre, selvstendige foretak. Banker som er med i en allianse vil ofte bruke samme IKT-plattform, benytte de samme leverandørene og ha felles utviklings- og driftsselskaper.

Mye taler for at alliansemedlemmer med felles innkjøpsordninger, som skaper samme konsentrasjonsrisiko og avhengigheter som større selskapers IKT-systemer gjør, bør behandles på samme måte som disse større selskapene.

Selv om Finanstilsynet har hjemmel til å ilegge overtredelsesgebyr etter DORA og finansforetaksloven § 13-5, har tilsynet likevel valgt å ikke benytte sanksjoner overfor noen av de kontrollerte foretakene.

Den tyske tilsynsmyndigheten BaFin skal ha uttalt at den betraktet det første året med DORA som et omstillingsår, men at den etter hvert vil intensivere kontrollen med foretakenes etterlevelse av DORA-kravene.

 Det kan tenkes at norske myndigheter har en tilsvarende tilnærming til regelverket.

Bergen, 7. august 2026
Even Tukun
Advokat MNA og Siviløkonom


____________________________________________________________________________

 er advokat og partner i Law.no Advokatfirma AS og siviløkonom. Han har vært leder for juridisk og compliance i Argentum, advokat i PwC, seniorrådgiver i Konkurransetilsynet, rådgiver i Nasjonal kommunikasjonsmyndighet og materiellbefal i Luftforsvaret.

Even er spesialist på finans-, konkurranse-, energi-, ekom- og postregulering. Han bistår klienter med blant annet strategisk og operasjonell rådgivning om compliance, regulatorisk risiko, håndtering av tilsynssaker, finansavtaler, etterlevelse av sektorspesifikk markedsregulering og prosjekter knyttet til bruk av data og kunstig intelligens.

Hvordan etterleve Finanstilsynets DORA-forventninger?

Per holder til i Oslo og har mer enn 20 års erfaring fra både privat og offentlig sektor. Han arbeider innen fast eiendoms rettsforhold og generell forretningsjus, og bistår både selskaper og privatpersoner.

Trenger du hjelp med grunnerverv, ekspropriasjon, tomtefeste og plan- og bygningsrett, eller andre tingsrettslige problemstillinger, er Per rett mann for jobben.

Per har en imponerende CV, og har i tillegg til det allerede nevnte omfattende erfaring fra tvistesaker, skjønnsprosess og jordskifte. Han bistår også i forhandlinger og er en erfaren foredragsholder.

Velkommen til Law, 

Velkommen til Per Aksel Hosar!