Lov 27. mai 2025 nr. 18 om digital operasjonell motstandsdyktighet i finanssektoren (DORA-loven) inkorporerer Digital Operational Resilience Act (DORA), forordning (EU) 2022/2554 (DORA-forordningen), i norsk rett. Loven trådte i kraft 1. juli 2025.

I Norge erstatter DORA-loven den tidligere IKT-forskriften (forskrift 21. mai 2003 nr. 630). DORA-loven utdypes i forskrift 24. juni 2025 nr. 1296 om digital operasjonell motstandsdyktighet i finanssektoren (DORA-forskriften). I tillegg har Finanstilsynet produsert veiledningsmateriell.

Vi kan følge regelverkshierarkiet i EU for å få oversikt over de relevante EU-reglene. For mer informasjon om regelverkshierarkiet se Europalov.no eller Finanstilsynets nettsider.

Nivå 1-regelverk: DORA-forordningen

Forordningen består av fem pilarer:

1. IKT-risikostyring

2. hendelsesrapportering

3. testing av digital operasjonell robusthet

4. håndtering av tredjepartsrisiko (risiko ved leverandører og underleverandører)

5. informasjonsdeling om sikkerhetstrusler

Nivå 2-regelverk: RTS-er, ITS-er og andre delegerte kommisjonsforordninger

DORA-forordningen utdypes av nivå 2-regelverk, såkalte reguleringstekniske standarder (RTS-er), gjennomføringstekniske standarder (ITS-er) og andre delegerte kommisjonsforordninger. DORA-forskriften § 3 er sentral for den norske inkorporeringen av disse.

Sentralt nivå 2-regelverk

1 IKT-risikostyring

• RTS (EU) 2024/1774 om IKT-risikostyring og forenklet rammeverk

2 Hendelsesrapportering

• RTS (EU) 2024/1772 om klassifisering av IKT-hendelser

• RTS (EU) 2025/301 om innhold og tidsfrister for rapportering

• ITS (EU) 2025/302 om maler for rapportering av hendelser

3 Testing av digital operasjonell robusthet

• RTS (EU) 2025/1190 om avansert testing (TLPT)

4 Håndtering av tredjepartsrisiko

• RTS (EU) 2024/1773 om policy for bruk av tredjeparts IKT-tjenester (TPP)

• RTS (EU) 2025/532 om underleverandører

• ITS (EU) 2024/2956 om register over opplysninger (ROL)

5 Tilsyn med sektorkritiske tredjepartsleverandører (CTPP-er)

• Delegert kommisjonsforordning (EU) 2024/1502 om kriterier for utpeking av kritiske leverandører

• RTS (EU) 2025/420 om felles undersøkelsesteam (JET)

• RTS (EU) 2025/295 om harmonisering av tilsynsaktiviteter

• Delegert kommisjonsforordning (EU) 2024/1505 om tilsynsgebyrer

Nivå 3-regelverk

De europeiske finanstilsynsmyndighetene (ESA-ene) – banktilsynsmyndigheten (EBA), tilsynsmyndigheten for forsikring og tjenestepensjon (EIOPA) og verdipapir- og markedstilsynsmyndigheten (ESMA) – kan lage retningslinjer, anbefalinger og spørsmål og svar (Q&A-er). Dette er soft law som ikke er ment å skape rettsvirkninger, men som skal bidra til lik tolkning i EU/EØS av regelverket. Det vil si at de regulerte foretakene og nasjonale tilsynsmyndighetene, som Finanstilsynet i Norge, skal gjøre sitt ytterste for å følge disse retningslinjene og anbefalingene, jf. forordning (EU) nr. 1093/2010 artikkel 16 nr. 3, forordning (EU) nr. 1094/2010 artikkel 16 nr. 3, forordning (EU) nr. 1095/2010 artikkel 16 nr. 3 og lov 17. juni 2016 nr. 30 om EØS-finanstilsyn §§ 1 til 3. Nasjonale tilsynsmyndigheter, som Finanstilsynet i Norge, må i utgangpunktet forklare eventuelle nasjonale avvik fra retningslinjene eller anbefalingene til ESA-ene («comply-or-explain»), jf. forordning (EU) nr. 1095/2010 artikkel 16 nr. 3, jf. nr. 1 og 4.

Krav til kontrakter med IKT-leverandører og meldeplikt

For mange eksterne advokater vil DORA-forordningen artikkel 30, som fastsetter minstekrav til bestemmelser i avtaler med IKT-leverandører, være særlig relevant. Disse kravene inkluderer blant annet at avtalen skal inneholde beskrivelser av tjenestene som leveres, oversikt over eventuelle underleverandører samt lokasjonene der tjenester leveres fra og data lagres. Videre skal avtalene inneholde krav til sikkerhet, krav til bistand når uønskede hendelser oppstår, samt plikt for IKT-leverandøren til å samarbeide med kompetente myndigheter og krisehåndteringsmyndigheter, så som Finanstilsynet. For tjenester som understøtter kritiske eller viktige funksjoner, skjerpes kravene ytterligere, blant annet med krav til mer detaljerte tjenestenivåavtaler (SLA-er), rapporterings- og varslingsplikter, krav til beredskap og testing samt krav til tydelige exit- og overgangsordninger for å redusere risiko for driftsavbrudd.

Kravene utypes i RTS-er, se oversikt over.

Meldeplikt for IKT-tjenesteavtaler som støtter kritiske eller viktige funksjoner, følger av DORA-forordningen artikkel 28 nr. 3. Meldeplikten innebærer at foretaket informerer Finanstilsynet om planlagte IKT-avtaler som understøtter viktige eller kritiske funksjoner (eller når en funksjon avtalen understøtter blir kritisk eller viktig) innen rimelig tid (in a timely manner). Dette har Finanstilsynet i sin veileder tolket til minst 30 dager. Se Finanstilsynets «Veiledning om melding av IKT-tjenesteavtaler».

Digitalsikkerhetsloven: Det første og andre direktivet for nettverks- og informasjonssikkerhet (NIS1 og NIS2)

Deler av lov 20. desember 2023 nr. 108 om digital sikkerhet (digitalsikkerhetsloven) kan få anvendelse for systemviktige banker, jf. digitalsikkerhetsloven §§ 2 og 5 samt forskrift 20. juni 2025 nr. 1131 om digital sikkerhet (digitalsikkerhetsforskriften) § 1 nr. 27.

DORA-forordningen er lex specialis i relasjon til direktiv (EU) 2022/2555 (NIS2-direktivet), som er et horisontalt cybersikkerhetsdirektiv som dekker flere sektorer inkludert bank- og finansinfrastruktur, jf. DORA-forordningen artikkel 1 nr. 3. Pr. september 2026 er NIS2-direktivet ikke gjennomført i norsk rett.