Vad DORA-förordningen kräver av er leverantörs leverantörer

Informationsregistret enligt DORA-förordningen säger vilka era leverantörer är, och den frågan är besvarad. Frågan som kommer direkt efter är svårare: vad gäller för dem som er leverantör i sin tur anlitar?

DORA-förordningen, alltså förordning (EU) 2022/2554, tillämpas sedan den 17 januari 2025. Men det led som avgör hur långt ert ansvar sträcker sig fick sina egna regler först sommaren 2025, och de har tillämpats i drygt ett år.

Avtalskravet i DORA-förordningen, och regeln som kom sedan

Utgångspunkten står i förordningens egen artikel 30.2 a. Avtalet om IKT-tjänster ska innehålla åtminstone en tydlig och fullständig beskrivning av alla funktioner och IKT-tjänster som leverantören ska tillhandahålla, med angivande av om underentreprenad av en IKT-tjänst som stödjer en kritisk eller viktig funktion, eller väsentliga delar av den, är tillåten och, om så är fallet, vilka villkor som gäller för den. Formuleringen är hämtad ur ESA-myndigheternas slutrapport om just den frågan.

Det är en avtalsbestämmelse, inte en handlingsregel. Vad den finansiella entiteten faktiskt ska bedöma och kräva preciseras i kommissionens delegerade förordning (EU) 2025/532, antagen den 24 mars 2025, publicerad i EUT den 2 juli och tillämplig sedan den 22 juli 2025.

Regleringen räknar upp vad entiteten ska väga in innan avtalet ingås, avpassat efter storlek, riskprofil och komplexitet. Bland posterna finns underleverantörskedjans längd och komplexitet, vilken sorts data som delas, var tjänsten levereras och var den behandlas och lagras, leverantörens auktorisations- och tillsynsstatus, om en myndighet i tredjeland utövar tillsyn över den, koncentration till en eller ett fåtal underleverantörer, och vad ett avbrott skulle betyda för kontinuiteten.

Bedömningen ska dessutom göras om återkommande, mot förändrade hot, mot koncentrationsrisk och mot geopolitisk utveckling. Det sista ordet är ovanligt i en teknisk standard och det står där med avsikt.

Ni får invända, och ni får säga upp

Två bestämmelser flyttar det här från dokumentation till befogenhet.

Vid en väsentlig förändring i underleverantörsledet ska leverantören underrätta den finansiella entiteten i så god tid att entiteten hinner bedöma vad förändringen betyder för risken och för leverantörens förmåga att fullgöra sina åtaganden. Avtalet ska enligt artikel 5.2 innehålla "a reasonable notice period by which the financial entity is to approve or object to the changes". Förändringen får genomföras först efter att entiteten godkänt den eller låtit fristen löpa ut utan att invända.

Och överstiger förändringen entitetens risktolerans ska entiteten inte bara invända utan begära att den ändras, innan fristen går ut.

Uppsägningsrätten följer i nästa artikel. Den finansiella entiteten får säga upp avtalet när leverantören genomför en förändring som entiteten invänt mot, när den genomför förändringen innan fristen löpt ut, och när den lägger ut tjänster som inte uttryckligen tillåtits.

Det tredje fallet är det som får störst praktisk betydelse. En leverantör som byter infrastruktur under er utan att fråga har gett er en uppsägningsgrund, oavsett om bytet i sak var bra eller dåligt.

Meningen som gör kedjan till er sak

Här ligger den bestämmelse hela artikeln vilar på, och den är formulerad så att den inte går att missförstå. Artikel 3.3 i samma delegerade förordning, ordagrant:

"Reliance on the results of the risk assessment carried out by their ICT third-party service providers on their subcontractors in complying with the obligations set out in this article shall not limit the final responsibility of financial entities to comply with their legal and regulatory obligations under Regulation (EU) 2022/2554."

Att förlita sig på leverantörens egen riskbedömning av sina underleverantörer begränsar alltså inte den finansiella entitetens slutliga ansvar.

Ett svar från leverantören är en upplysning och inte en ansvarsövergång.

Det är den meningen som avgör vad ett leverantörsformulär är värt. Ett ifyllt frågeformulär från leverantören, hur utförligt det än är, är underlag för er bedömning. Det ersätter den inte, och det flyttar den inte. Regleringen kräver också att underleverantören ger samma rätt till tillträde, inspektion och revision som leverantören själv har gett, vilket är svårt att uppfylla i efterhand och lätt att skriva in i förväg.

Nitton namn i lagret under

Den 18 november 2025 pekade de tre europeiska tillsynsmyndigheterna för första gången ut IKT-leverantörer som kritiska enligt artikel 31.9. Listan upptar nitton namn, och den som läser den känner igen dem: molnplattformarna, de stora systemintegratörerna, marknadsdatan och telekomoperatörerna.

Utpekandet sker enligt ESA-myndigheternas beskrivning gemensamt och årligen, mot kriterier i en delegerad förordning från kommissionen. I myndigheternas tillsynsguide, publicerad i juli 2025, anges att sex av kriterierna är kvantitativa och fem kvalitativa.

Samma guide innehåller den mening som gör utpekandet till er fråga och inte bara leverantörens. Som sista utväg kan behöriga myndigheter kräva att en finansiell entitet avbryter eller till och med avslutar användningen av en tjänst från en utpekad leverantör. Guiden är inte bindande och säger det själv, men den beskriver vad tillsynen anser sig kunna göra.

En finansiell entitet som inte vet vilka av dess tjänster som vilar på ett av de nitton namnen kan inte heller veta vad ett sådant besked skulle innebära.

Vad tillsynen faktiskt har sett

Den 3 juni 2026 publicerade tillsynsmyndigheterna sin första rapport om allvarliga IKT-relaterade incidenter under DORA. Rapporten anger 3 383 rapporterade allvarliga incidenter och 0,18 incidenter per entitet som omfattas, med omkring en tredjedel som hade gränsöverskridande påverkan och tio procent som var cybersäkerhetsrelaterade.

Myndigheterna kallar rapporten sin första årliga översikt, men vilken period talen avser skrivs inte ut i presentationen av den. Talen ska därför läsas som en storleksordning.

Slutsatsen är däremot skriven i klartext, och den pekar åt samma håll som regleringen: systemfel och externa händelser var de främsta drivkrafterna, vilket enligt myndigheterna understryker behovet av robust hantering av tredjepartsrisker, effektiv uppsikt över utlagda tjänster och nära samordning med leverantörerna vid hantering och avhjälpande av incidenter.

Två oberoende saker säger alltså samma sak med olika metod. Regleringen säger vad som ska stå i avtalet. Mätningen säger vad som faktiskt går sönder.

Draget mot den egna slutsatsen

Här ligger invändningen som väger, och den är rimlig.

Reglerna om underentreprenad har tillämpats sedan juli 2025. Ett år är gott om tid för en organisation med ordning på sina avtal, och den som redan har en fungerande process för tredjepartsrisk har sannolikt tagit in bestämmelserna vid den ordinarie avtalsöversynen. För dem är det här ingen nyhet utan en redan avklarad punkt.

Invändningen håller så långt att kraven inte är nya. Det som talar emot den är var problemet visar sig först.

Ett register som inte godkänns i kvalitetskontrollen beskriver inte kedjan under det heller.

Finansinspektionen publicerade i mars 2026 en underrättelse om brister i företagens rapportering av informationsregister, efter återkoppling från Europeiska bankmyndigheten. Merparten av bristerna bar enligt myndigheten två bestämda felkoder, och företagen fick frister för att få rapporteringen godkänd och därefter korrigerad.

Informationsregistret är inventeringen av avtalen. Underentreprenadsreglerna gäller ledet under den inventeringen. Går det första steget inte igenom en kvalitetskontroll är det svårt att hävda att det andra är avklarat, och det är den ordningen som gör invändningen svagare än den låter.

Frågan som avgör var ni står

Två organisationer kan omfattas av samma bestämmelser och ändå ha helt olika arbete framför sig. Skillnaden går att avgöra genom att öppna ett enda avtal och läsa efter tre saker.

Står det om leverantören alls får lägga ut tjänsten eller väsentliga delar av den, och på vilka villkor? Saknas den bestämmelsen är avtalet skrivet före det här regelverket, och det spelar ingen roll hur bra beskrivningen av själva tjänsten är.

Finns det en angiven frist inom vilken ni ska godkänna eller invända? En allmän skyldighet för leverantören att informera är inte samma sak. Utan frist finns ingen tidpunkt då något får eller inte får genomföras, och därmed heller ingen uppsägningsgrund att luta sig mot.

Går rätten till tillträde, inspektion och revision hela vägen ned? Den gäller sällan automatiskt för underleverantören, och den är betydligt svårare att förhandla in efter att kedjan har byggts.

Finns alla tre är arbetet gjort och det som återstår är att hålla bedömningen levande mot förändrade hot och koncentration. Saknas någon av dem är det avtalsarbete som ligger framför er, och det är då slutmeningen i artikel 3.3 blir dyr: ansvaret ligger kvar hos er under tiden.

Vad DORA-förordningen och AI-förordningen kräver var för sig av samma system beskrivs på sidan om bank, finans och försäkring.