Nye IKT-regler for deler av finanssektoren

DORA-loven og DORA-forskriften gjennomfører EUs forordning (EU) 2022/2554 om digital operasjonell motstandsdyktighet i finanssektoren, og begge trådte i kraft 1. juli 2025. Revisorer, regnskapsførere, eiendomsmeglere og inkassoforetak var i utgangspunktet ikke omfattet av DORA, men Finansdepartementet fikk hjemmel til i forskrift å bestemme at reglene helt eller delvis skal gjelde også for disse.

Denne hjemmelen er nå brukt, og forslaget bygger på en høring fra Finanstilsynet som gikk ut til 5. januar 2026, og de fastsatte reglene følger i hovedsak Finanstilsynets forslag, men med noen forenklinger for eiendomsmeglingsforetak og inkassoforetak. Hjemlene for å underlegge Norsk naturskadepool DORA-regelverket, og for å gi Norges Bank adgang til å kreve inn TLPT-bidrag, ble gitt ved endringer i DORA-loven tidligere i år.

Endringen betyr at det ikke lenger vil eksistere to parallelle IKT-regelverk for finanssektoren, noe som skal bidra til harmonisering av regelverket, forenkling av tilsynsarbeidet og mer enhetlig praksis i sektoren. Selv om de materielle overordnede kravene langt på vei er de samme, er DORA-regelverket mer detaljert og stiller strengere krav til foretakenes IKT-rammeverk og dokumentasjon. 

Hvilke regler vil gjelde for de berørte foretakene? (nytt kapittel 2 i DORA-forskriften)

• Utvidet virkeområde: DORA-regelverket gjelder nå også for finansieringsforetak, eiendomsmeglingsforetak, inkassoforetak og Norsk naturskadepool – men bare i den utstrekning og med de tilpasningene som er beskrevet nedenfor.
• Proporsjonalitet: Kravene skal tilpasses foretakets størrelse, risikoprofil og hvor omfattende og komplisert virksomheten er. Alle krav må oppfylles, men foretaket har fleksibilitet i hvordan kravene oppfylles.
• Risikostyring:
  • Finansieringsforetak får tilnærmet det fulle DORA-rammeverket for virksomhetsstyring og risikostyring – DORA-forordningen artikkel 5 til 15 så langt det passer.
  • Eiendomsmeglingsforetak, inkassoforetak og Norsk naturskadepool kan i stedet følge det forenklete rammeverket i artikkel 16.
• Hendelsesrapportering og rapportering: Foretakene må håndtere, klassifisere og rapportere IKT-hendelser etter DORA. For eiendomsmeglingsforetak gjelder dette bare hendelser knyttet til oppgjørsfunksjonen.
• Testing av digital motstandsdyktighet: Foretakene omfattes av DORAs testkrav.
• IKT-leverandøravtaler:
  • Foretakene må føre et register over sine IKT-tjenesteavtaler, men bare på foretaksnivå – ikke konsernnivå – og med et forenklet innhold: leverandørens navn og identifikasjon, type avtale, leverandørens hjemland, eventuelle underleverandører, avtaleperiode og dato for siste risikovurdering.
  • Meldeplikten til Finanstilsynet for slike avtaler er også tilpasset: eiendomsmeglingsforetak trenger bare å melde avtaler knyttet til oppgjørsfunksjonen, og inkassoforetak trenger bare å melde fra dersom de er mellomstore eller større.
• Kritiske IKT-leverandører og informasjonsdeling: Foretakene omfattes også av reglene om oppfølging av tilsynsanbefalinger for kritiske IKT-leverandører, og om informasjonsdeling.
• Overtredelsesgebyr: Finanstilsynet kan ilegge gebyr ved brudd, men bare for brudd på de bestemmelsene som allerede er nevnt i DORA-loven.

Les mer om de nye DORA-kravene i vårt tidligere nyhetsbrev

Nytt kapittel om trusselbasert penetrasjonstesting (TLPT):

Forskriften klargjør også ansvarsdelingen mellom Finanstilsynet og Norges Bank ved TLPT: Finanstilsynet beslutter hvilke foretak som skal gjennomføre TLPT og testfrekvens (etter uttalelse fra Norges Bank), Norges Bank godkjenner hvilke funksjoner som skal testes og har rollen som TLPT-cyberteam (TCT). Norges Bank utsteder attest for gjennomført test, mens Finanstilsynet følger opp testfunn og tiltaksplan. Norges Banks utgifter til disse oppgavene skal fordeles på foretakene som pålegges TLPT-testing, etter nærmere regler Norges Bank selv fastsetter i forskrift.

Andre endringer: 

• I finansforetaksforskriften § 3-2 bokstav a oppdateres henvisningen til nå å vise til DORA-forordningen kapittel III for rutiner om overvåking, håndtering og rapportering av sikkerhetshendelser.
• I forskrift om systemer for betalingstjenester oppdateres §§ 2 og 3 til å vise til DORA-forordningen (bl.a. artikkel 23 om underretning ved hendelser som kan påvirke betalingstjenestebrukeres økonomiske interesser).
• IKT-forskriften (2003) oppheves i sin helhet.

Hvem holdes utenfor? 

Departementet har besluttet at gjeldsinformasjonsforetak, kredittopplysningsforetak, låneformidlingsforetak og morselskap i finanskonsern ikke skal underlegges DORA-regelverket. 

Disse foretakene er allerede unntatt fra selve DORA-forordningen etter artikkel 2 nr. 3: registrerte forvaltere av alternative investeringsfond etter AIFM-direktivet artikkel 3 nr. 2, visse mindre forsikrings- og gjenforsikringsforetak unntatt etter Solvens II-direktivet artikkel 4, tjenestepensjonsforetak med pensjonsordninger som til sammen har 15 medlemmer eller færre, foretak unntatt etter MiFID II artikkel 2 og 3, forsikringsformidlere, gjenforsikringsformidlere og tilknyttede forsikringsformidlere som er mikroforetak eller små eller mellomstore foretak, samt postgirokontorer som nevnt i kapitalkravsdirektivet artikkel 2 nr. 5 punkt.

Alle foretakene som er unntatt vil i stedet få veiledning fra Finanstilsynet om grunnleggende IKT-krav. Finanstilsynet har i høringsnotatet uttalt at en slik veiledning kan fungere som presisering av hvordan foretakene forventes å oppfylle eksisterende krav til forsvarlig virksomhetsstyring (etter blant annet internkontrollforskriften) når det gjelder IKT spesifikt. Finanstilsynet har uttalt at en slik veiledning vil kunne bidra til å styrke foretakenes digitale operasjonelle motstandsdyktighet og redusere risikoen for omdømmetap og sanksjoner ved manglende IKT-styring – noe som tyder på at veiledningen i praksis vil innebære en skjerpelse for de berørte foretakene.

Hva bør berørte foretak gjøre nå?

• Kartlegge om virksomheten faller inn under de nye reglene fra 1. september, og identifisere gap mot dagens IKT-forskrift.
• Finansieringsforetak bør forberede seg på tilnærmet det fulle DORA-rammeverket for virksomhetsstyring og risikostyring (artikkel 5–15).
• Eiendomsmeglingsforetak, inkassoforetak og Norsk naturskadepool bør innrette seg etter det forenklede rammeverket i artikkel 16, men merke seg at hendelsesrapportering for eiendomsmeglere er avgrenset til oppgjørsfunksjonen, og at meldeplikten for IKT-avtaler for inkassoforetak kun gjelder mellomstore og større foretak.
• Etablere (eller tilpasse) et register over IKT-tjenesteavtaler på foretaksnivå med de seks minimumsopplysningene som er angitt i § 9.
• Oppdatere rutiner for IKT-risikostyring, hendelseshåndtering og styring av IKT-leverandøravtaler i tråd med DORA, samt følge med på utfyllende nivå 2-regelverk under DORA.