Koskeeko DORA meidän SaaS-yritystämme, jos meillä ei ole rahoitusalan toimilupaa?

Ei suoraan, ellei yrityksellä itsellään ole finanssialan toimilupaa tai ESAn myöntämää kriittisen ICT-palveluntarjoajan asemaa. Jos myyt ohjelmistoa tai IT-palveluita pankille, vakuutusyhtiölle tai muulle finanssialan asiakkaalle, DORA ulottuu sinuun silti epäsuorasti: sopimukseen tulee DORA-lausekkeita (auditointioikeudet, poistumissuunnitelma, alihankinnasta ilmoittaminen), ja asiakas listaa sinut omaan ICT-sopimusrekisteriinsä.

Mitä eroa on DORAn suoralla ja epäsuoralla vaikutuksella?

Suora soveltaminen tarkoittaa, että toimijan on itse rakennettava koko ICT-riskienhallinnan kehikko, raportoitava häiriöt ja testattava järjestelmiään. Tämä koskee vain finanssialan valvottuja toimijoita ja nimettyjä kriittisiä ICT-palveluntarjoajia. Epäsuora vaikutus tarkoittaa, että muu toimittaja täyttää asiakkaan sopimus- ja due diligence -vaatimuksia, ilman että Finanssivalvonta tai ESAt valvovat sitä suoraan.

Voiko pieni fintech-startup saada helpotuksia DORA-vaatimuksiin?

Kyllä, osittain. DORA sallii kevennetyn ICT-riskienhallinnan kehikon mikroyrityksille ja tietyille pienille, ei-monimutkaisille finanssialan toimijoille, ja mikroyritykset on vapautettu vuosittaisesta ICT-häiriöiden kustannusraportoinnista. Häiriöraportointi, perustason riskienhallinta ja ICT-sopimusrekisteri koskevat silti jossain muodossa: kevennetty ei tarkoita vapautettua.

Onko oma ICT-toimittajamme kriittinen palveluntarjoaja, ja mitä se tarkoittaa meille?

Vain 19 palveluntarjoajaa on marraskuusta 2025 alkaen nimetty kriittiseksi ICT-palveluntarjoajaksi (muun muassa AWS, Microsoft, Google Cloud, IBM, SAP, Oracle ja Accenture). Jos toimittajasi ei ole listalla, ESAt eivät valvo sitä suoraan, mutta oma due diligence -velvoitteesi ja sopimusvaatimuksesi kyseistä toimittajaa kohtaan säilyvät ennallaan ja ovat edelleen sinun vastuullasi.

Mikä on ICT-sopimusrekisteri, ja koskeeko se meitä toimittajana?

Se on vuosittainen, standardoitu luettelo, jonka DORAn piirissä oleva finanssialan toimija pitää ja raportoi kansalliselle valvojalle jokaisesta ICT-sopimuksesta, toimittajasta ja alihankintaketjusta. Et toimita rekisteriä itse, mutta finanssialan asiakkaasi pyytää sinulta vuosittain rakenteista tietoa palvelustasi (alihankkijat, datan sijainti, kriittisyysarvio) rekisteriä varten.

Muuttaako EU:n Digital Omnibus DORAn raportointivelvoitteita lähiaikoina?

Ei siltä osin kuin se koskee DORAa. Paketti etenee palasina: sen tekoälyä koskeva osa, asetus (EU) 2026/1744, tuli voimaan 27.7.2026, mutta se keventää tekoälyasetuksen aikatauluja eikä muuta DORAa. Yhden EU-laajuisen ilmoituspisteen ajatus kuuluu yleiseen Digital Omnibukseen (COM(2025)837), joka on yhä ehdotus, ja lainsäädäntöprosessin arvioidaan jatkuvan vuoteen 2027 asti ennen kuin mikään muuttuu käytännössä. Nykyiset DORAn häiriöilmoitusajat (4 t / 72 t / 1 kk) ovat siihen asti voimassa sellaisenaan.

Onko meidän pakko tehdä uhkaperusteinen tunkeutumistestaus (TLPT), jos olemme pieni sijoituspalveluyritys?

Vain jos Finanssivalvonta on nimenomaisesti nimennyt yrityksesi TLPT-testaukseen: tämä koskee merkittävimpiä toimijoita, ei automaattisesti kaikkia valvottavia. Jos yritys nimetään, testi tehdään TIBER-EU-menetelmällä ja uusitaan vähintään kolmen vuoden välein; ensimmäisten kohorttien arvioitu määräaika on tammikuussa 2028.

DORA: finanssialan digitaalinen häiriönsietokyky

ICT-riskien hallinnan, häiriöraportoinnin ja kumppanivalvonnan säännöt finanssialalle.

Aloita tästä: tarkista soveltuminen

Onko yrityksellänne finanssialan toimilupa tai muu Finanssivalvonnan valvottavan asema — luettelo kattaa myös maksulaitokset, rahastoyhtiöt ja sijoituspalveluyritykset. Lähde: Asetus (EU) 2022/2554 (DORA, EUR-Lex) · https://eur-lex.europa.eu/eli/reg/2022/2554/oj · Kohta: 2 artikla
Myyttekö ohjelmistoa tai IT-palvelua finanssialan asiakkaalle — silloin DORA tulee teille asiakkaan sopimusehtojen kautta, vaikka ette itse ole asetuksen piirissä. Lähde: Asetus (EU) 2022/2554 (DORA, EUR-Lex) · https://eur-lex.europa.eu/eli/reg/2022/2554/oj · Kohta: 30 artikla
Onko oma palvelunne tai ICT-toimittajanne ESAien marraskuussa 2025 nimeämien 19 kriittisen ICT-palveluntarjoajan joukossa. Lähde: EIOPA/ESAt: kriittisten ICT-palveluntarjoajien nimeäminen · https://www.eiopa.europa.eu/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital-2025-11-18_en
Oletteko mikroyritys tai muu pieni, ei-monimutkainen finanssialan toimija — kevennetty riskienhallinnan kehikko on mahdollinen, mutta vapautusta se ei ole. Lähde: Asetus (EU) 2022/2554 (DORA, EUR-Lex) · https://eur-lex.europa.eu/eli/reg/2022/2554/oj · Kohta: 16 artikla

Aloita tästä: velvoittaa nyt

ICT-riskienhallinnan kehikon on pitänyt olla hallituksen hyväksymä ja dokumentoitu 17.1.2025 alkaen, ilman siirtymäaikaa. Lähde: Asetus (EU) 2022/2554 (DORA, EUR-Lex) · https://eur-lex.europa.eu/eli/reg/2022/2554/oj · Kohta: 5 ja 6 artikla
Merkittävät ICT-häiriöt raportoidaan Finanssivalvonnalle kolmessa vaiheessa: alustava ilmoitus 4 tunnin kuluessa luokittelusta, väliraportti 72 tunnin ja loppuraportti kuukauden kuluessa. Lähde: Asetus (EU) 2022/2554 (DORA, EUR-Lex) · https://eur-lex.europa.eu/eli/reg/2022/2554/oj · Kohta: 19 artikla
ICT-sopimusrekisteri raportoidaan Finanssivalvonnalle vuosittain; vuoden 2026 kierroksen kansallinen määräaika oli 2.3.2026. Lähde: Finanssivalvonta: DORAn soveltamisalaan kuuluville valvottaville uusia raportointivelvoitteita · https://www.finanssivalvonta.fi/tiedotteet-ja-julkaisut/valvottavatiedotteet/2026/doran-soveltamisalaan-kuuluville-valvottaville-uusia-raportointivelvoitteita/

Aloita tästä: tee seuraavaksi

Tarkistakaa, että ICT-riskienhallinnan kehikko on dokumentoitu ja hallituksen hyväksymä, ja nimetkää sille vastuuhenkilö. Lähde: Asetus (EU) 2022/2554 (DORA, EUR-Lex) · https://eur-lex.europa.eu/eli/reg/2022/2554/oj · Kohta: 5 artikla
Kootkaa ICT-sopimusrekisteri ja varmistakaa, että seuraavan kierroksen tiedot ovat koossa ennen Finanssivalvonnan määräaikaa. Lähde: Finanssivalvonta: DORAn soveltamisalaan kuuluville valvottaville uusia raportointivelvoitteita · https://www.finanssivalvonta.fi/tiedotteet-ja-julkaisut/valvottavatiedotteet/2026/doran-soveltamisalaan-kuuluville-valvottaville-uusia-raportointivelvoitteita/
Jos myytte finanssialalle, käykää asiakassopimusten DORA-lausekkeet läpi: auditointioikeudet, poistumissuunnitelma ja alihankinnasta ilmoittaminen. Lähde: Delegoitu asetus (EU) 2025/532: alihankinnan RTS (EUR-Lex) · https://eur-lex.europa.eu/eli/reg_del/2025/532/oj/eng

Jos määräaika on jo mennyt

DORAa on sovellettu 17.1.2025 alkaen ilman siirtymäaikaa, ja ensimmäiset raportointimääräajat ovat menneet. Myöhästyminen ei poista velvoitetta: ICT-riskienhallinnan kehikko dokumentoidaan heti, ja ICT-sopimusrekisteri raportoidaan Finanssivalvonnan raportointiportaaliin vuosittaisen kierroksen mukaisesti. Tarkistakaa voimassa oleva määräaika Finanssivalvonnan valvottavatiedotteista.

Pikatiedot

Virallinen nimi Asetus (EU) 2022/2554
Tila sovelletaan: Sovelletaan täysimääräisesti 17.1.2025 alkaen, ilman siirtymäaikaa
Kenelle Finanssialan valvotut toimijat ja niiden kriittisimmät ICT-kumppanit
Koskee, jos Koskee suoraan finanssialan valvottuja toimijoita: pankkeja, vakuutusyhtiöitä, sijoituspalveluyrityksiä, maksulaitoksia ja rahastoyhtiöitä.
Myös jos Myös ilman finanssialan toimilupaa: ICT-toimittajana DORA tulee teille finanssialan asiakkaan sopimusehtojen ja ICT-sopimusrekisterin kautta, ja suurimmat ICT-toimittajat voidaan nimetä kriittisiksi ja siirtää suoraan EU-tason valvontaan.
Valvoja Suomessa Finanssivalvonta
Päivitetty 2026-09-04
Tarkistettu 2026-09-04

Mikä se on DORA eli asetus (EU) 2022/2554 finanssialan digitaalisesta häiriönsietokyvystä on EU:n yhteinen sääntökirja sille, miten pankit, vakuutusyhtiöt, sijoituspalveluyritykset ja muut finanssialan toimijat hallitsevat ICT-riskejä. Sitä sovelletaan täysimääräisesti ilman siirtymäaikaa 17.1.2025 alkaen. Asetus yhtenäistää riskienhallinnan kehikon, häiriöiden raportoinnin, järjestelmien testauksen ja ICT-kumppaneiden valvonnan koko EU:ssa yhden säädöksen alle. Aiemmin nämä vaatimukset olivat hajallaan kansallisessa sääntelyssä. Koskeeko sinua Suoraan DORA koskee vain finanssialan valvottuja toimijoita ja Euroopan valvontaviranomaisten (ESAt) nimeämiä kriittisiä ICT-palveluntarjoajia: tavallinen suomalainen ohjelmisto- tai IT-yritys ei ole itse asetuksen piirissä. Epäsuorasti se ulottuu kuitenkin jokaiseen, joka myy ohjelmistoja tai IT-palveluita finanssialan asiakkaalle: asiakkaan on sisällytettävä sopimukseen DORA-lausekkeita, ja toimittaja päätyy asiakkaan vuosittain raportoitavaan ICT-sopimusrekisteriin. Verkkokauppa tai muu tavallinen digitaalinen liiketoiminta ilman rahoitusalan toimilupaa jää kokonaan asetuksen ulkopuolelle. Keskeiset velvoitteet Finanssialan toimijalla on oltava hallituksen hyväksymä, dokumentoitu ICT-riskienhallinnan kehikko. Mikroyritykset ja pienet, ei-monimutkaiset toimijat saavat kevennetyn version. Merkittävät ICT-häiriöt raportoidaan valvojalle kolmessa vaiheessa: alustava ilmoitus 4 tunnin kuluessa luokittelusta, väliraportti 72 tunnin kuluessa ja loppuraportti kuukauden kuluessa. Digitaalista häiriönsietokykyä testataan säännöllisesti. Merkittävimmät toimijat tekevät lisäksi uhkaperusteisen tunkeutumistestauksen (TLPT) vähintään kolmen vuoden välein. Jokainen ICT-sopimus arvioidaan ennen allekirjoitusta ja sen jälkeen jatkuvasti, ja kaikki sopimukset kirjataan vuosittain raportoitavaan ICT-sopimusrekisteriin (Register of Information). Suurimmat ICT-toimittajat voidaan nimetä kriittisiksi (CTPP) ja asettaa ESAien suoraan EU-tason valvontaan. Näin sovellat käytännössä Pk-SaaS finanssialan asiakkaille 20 hengen suomalainen ohjelmistoyritys, joka myy työnkulkutyökalua muutamalle säästöpankille ja vakuutusyhtiölle, ei ole itse DORAn piirissä, mutta sen asiakkaat ovat. Odota sopimuslisäyksiä (auditointioikeudet, poistumissuunnitelma, alihankinnasta ilmoittaminen) ja vuosittaisia ICT-sopimusrekisterikyselyjä. Ensimmäinen askel: listaa nykyiset finanssialan asiakassopimukset ja nimeä henkilö, joka vastaa niiden due diligence -kyselyihin. Maksulaitos tai muu rahoituspalvelun lupayhtiö Maksulaitoksena tai rahoituspalveluna toimiva lupayhtiö on suoraan DORAn piirissä, joskin pieni ja yksinkertainen toimija voi käyttää kevennettyä riskienhallinnan kehikkoa. Sen on rakennettava dokumentoitu ICT-riskienhallinnan kehikko, raportoitava merkittävät häiriöt Finanssivalvonnalle 4 t / 72 t / 1 kk -aikataulussa, ylläpidettävä ICT-sopimusrekisteriä ja testattava järjestelmiään säännöllisesti. TLPT on pakollinen vain, jos Finanssivalvonta nimeää yrityksen siihen erikseen. Ensimmäinen askel: nimeä vastuuhenkilö ICT-riskienhallinnalle ja aloita sopimusrekisterin kokoaminen. Häiriöilmoitusten aikarajat koskettavat myös GDPR:n tietoturvaloukkausvelvoitteita, katso GDPR . Pilvipalvelu- tai konesalitoimija Pilvipalvelu- tai konesalitoimija ei ole automaattisesti DORAn piirissä, mutta jos sen mittakaava ja finanssialan asiakaskonsentraatio kasvavat riittävän suuriksi, ESAt voivat nimetä sen kriittiseksi ICT-palveluntarjoajaksi, kuten kävi 19 suurelle toimijalle marraskuussa 2025. Nimeäminen tuo mukanaan suoran ESA-valvonnan, yhteisten tarkastusryhmien tarkastukset ja valvontamaksut riippumatta siitä, onko toimijalla itsellään rahoitusalan lupaa. Heinäkuussa 2026 ESAt ilmoittivat, että CTPP-valvonta huomioi jatkossa yhä enemmän myös edistyneimpien (frontier) tekoälymallien ICT-riskejä: kyse ei ole uudesta velvoitteesta, vaan valvonnan painotuksesta. Ensimmäinen askel: seuraa nimeämiskriteerejä, jos finanssialan asiakkaiden osuus liikevaihdosta kasvaa. Verkkokauppa ilman rahoitusalan toimilupaa Verkkokauppa tai muu digitaalinen liiketoiminta ilman rahoitusalan toimilupaa, joka käyttää pohjoismaista maksunvälittäjää, jää kokonaan DORAn soveltamisalan ulkopuolelle: DORA ei ole yleinen kyberturvallisuuslaki kaikille digitaalisille yrityksille, vaan sen tehtävän hoitaa lähempänä NIS2. Epäsuoria vaikutuksia voi silti tuntea, jos maksunvälittäjä tiukentaa sopimusehtojaan oman DORA-due diligencensä vuoksi. Suomessa Finanssivalvonta on DORAn kansallinen toimivaltainen valvoja, ja sen valvonnassa on yli 400 toimijaa. Valvonta keskittyy ICT- ja kyberriskien hallintaan, häiriöiden ilmoitusprosessiin ja ICT-toimittajariskien valvontaan. Kansallinen täytäntöönpanolaki, hallituksen esitys HE 67/2024 vp, muutti Finanssivalvonnasta annettua lakia ja noin kymmentä toimialalakia (luottolaitokset, sijoituspalvelut, maksulaitokset, sijoitusrahastot, vakuutusyhtiöt ja muut) ja tuli voimaan 17.1.2025 samaan aikaan EU-asetuksen kanssa. ICT-sopimusrekisteri raportoidaan Suomessa vuosittain Finanssivalvonnan raportointiportaaliin; vuoden 2026 kierroksen kansallinen määräaika, 2.3.2026, oli aikaisempi kuin EU-laajuinen takaraja 31.3.2026. Finanssivalvonnan vuoden 2026 tiedotteen mukaan valvottaville tuli kolme uutta vuosittaista raportointivelvoitetta: ICT-riskienhallinnan katsausraportti, arvio merkittävien ICT-häiriöiden vuosikustannuksista (mikroyritykset vapautettu) ja itse ICT-sopimusrekisteri. Ajantasaista suomenkielistä ohjeistusta julkaisee Finanssivalvonta valvottavatiedotteissaan; myös suomalaiset lakiasiaintoimistot ja tilintarkastusyhteisöt julkaisevat DORA-oppaita, mutta ne ovat toissijaisia lähteitä viranomaisohjeistuksen rinnalla.

Usein kysytyt kysymykset

Koskeeko DORA meidän SaaS-yritystämme, jos meillä ei ole rahoitusalan toimilupaa? Ei suoraan, ellei yrityksellä itsellään ole finanssialan toimilupaa tai ESAn myöntämää kriittisen ICT-palveluntarjoajan asemaa. Jos myyt ohjelmistoa tai IT-palveluita pankille, vakuutusyhtiölle tai muulle finanssialan asiakkaalle, DORA ulottuu sinuun silti epäsuorasti: sopimukseen tulee DORA-lausekkeita (auditointioikeudet, poistumissuunnitelma, alihankinnasta ilmoittaminen), ja asiakas listaa sinut omaan ICT-sopimusrekisteriinsä.
Mitä eroa on DORAn suoralla ja epäsuoralla vaikutuksella? Suora soveltaminen tarkoittaa, että toimijan on itse rakennettava koko ICT-riskienhallinnan kehikko, raportoitava häiriöt ja testattava järjestelmiään. Tämä koskee vain finanssialan valvottuja toimijoita ja nimettyjä kriittisiä ICT-palveluntarjoajia. Epäsuora vaikutus tarkoittaa, että muu toimittaja täyttää asiakkaan sopimus- ja due diligence -vaatimuksia, ilman että Finanssivalvonta tai ESAt valvovat sitä suoraan.
Voiko pieni fintech-startup saada helpotuksia DORA-vaatimuksiin? Kyllä, osittain. DORA sallii kevennetyn ICT-riskienhallinnan kehikon mikroyrityksille ja tietyille pienille, ei-monimutkaisille finanssialan toimijoille, ja mikroyritykset on vapautettu vuosittaisesta ICT-häiriöiden kustannusraportoinnista. Häiriöraportointi, perustason riskienhallinta ja ICT-sopimusrekisteri koskevat silti jossain muodossa: kevennetty ei tarkoita vapautettua.
Onko oma ICT-toimittajamme kriittinen palveluntarjoaja, ja mitä se tarkoittaa meille? Vain 19 palveluntarjoajaa on marraskuusta 2025 alkaen nimetty kriittiseksi ICT-palveluntarjoajaksi (muun muassa AWS, Microsoft, Google Cloud, IBM, SAP, Oracle ja Accenture). Jos toimittajasi ei ole listalla, ESAt eivät valvo sitä suoraan, mutta oma due diligence -velvoitteesi ja sopimusvaatimuksesi kyseistä toimittajaa kohtaan säilyvät ennallaan ja ovat edelleen sinun vastuullasi.
Mikä on ICT-sopimusrekisteri, ja koskeeko se meitä toimittajana? Se on vuosittainen, standardoitu luettelo, jonka DORAn piirissä oleva finanssialan toimija pitää ja raportoi kansalliselle valvojalle jokaisesta ICT-sopimuksesta, toimittajasta ja alihankintaketjusta. Et toimita rekisteriä itse, mutta finanssialan asiakkaasi pyytää sinulta vuosittain rakenteista tietoa palvelustasi (alihankkijat, datan sijainti, kriittisyysarvio) rekisteriä varten.
Muuttaako EU:n Digital Omnibus DORAn raportointivelvoitteita lähiaikoina? Ei siltä osin kuin se koskee DORAa. Paketti etenee palasina: sen tekoälyä koskeva osa, asetus (EU) 2026/1744, tuli voimaan 27.7.2026, mutta se keventää tekoälyasetuksen aikatauluja eikä muuta DORAa. Yhden EU-laajuisen ilmoituspisteen ajatus kuuluu yleiseen Digital Omnibukseen (COM(2025)837), joka on yhä ehdotus, ja lainsäädäntöprosessin arvioidaan jatkuvan vuoteen 2027 asti ennen kuin mikään muuttuu käytännössä. Nykyiset DORAn häiriöilmoitusajat (4 t / 72 t / 1 kk) ovat siihen asti voimassa sellaisenaan.
Onko meidän pakko tehdä uhkaperusteinen tunkeutumistestaus (TLPT), jos olemme pieni sijoituspalveluyritys? Vain jos Finanssivalvonta on nimenomaisesti nimennyt yrityksesi TLPT-testaukseen: tämä koskee merkittävimpiä toimijoita, ei automaattisesti kaikkia valvottavia. Jos yritys nimetään, testi tehdään TIBER-EU-menetelmällä ja uusitaan vähintään kolmen vuoden välein; ensimmäisten kohorttien arvioitu määräaika on tammikuussa 2028.

Aikajana

2022-12-27: DORA julkaistaan virallisessa lehdessä Asetus (EU) 2022/2554 ja sitä täydentävä direktiivi (EU) 2022/2556 julkaistiin EU:n virallisessa lehdessä. Vahvistettu päivämäärä. Laji: prosessi.
2023-01-16: DORA tulee voimaan Asetus tuli voimaan 20 päivää julkaisun jälkeen. Sovellettavaksi se tuli vasta kahden vuoden siirtymäajan jälkeen. Vahvistettu päivämäärä. Laji: prosessi.
2024-07-17: Toinen erä teknisiä standardeja julkaistaan EBA, ESMA ja EIOPA (ESAt) julkaisivat toisen erän sääntely- ja täytäntöönpanostandardeja, muun muassa uhkaperusteisesta tunkeutumistestauksesta (TLPT) ja alihankinnasta. Vahvistettu päivämäärä. Laji: prosessi.
2025-01-17: DORAa sovelletaan täysimääräisesti Siirtymäaika päättyi ilman jatkoa. Samana päivänä voimaan tuli myös Suomen täydentävä laki (HE 67/2024 vp), joka muutti Finanssivalvonta-lakia ja noin kymmentä toimialalakia. Vahvistettu päivämäärä. Laji: velvoite.
2025-03-24: Alihankinnan RTS hyväksytään Komissio hyväksyi delegoidun asetuksen (EU) 2025/532, joka määrittää, mitä finanssialan toimijan on arvioitava ennen kuin ICT-palvelun saa alihankkia edelleen. Vahvistettu päivämäärä. Laji: prosessi.
2025-04-30: Ensimmäinen ICT-sopimusrekisterin määräaika Finanssialan toimijat raportoivat ensimmäisen kerran ICT-sopimusrekisterinsä (Register of Information) kansalliselle valvojalle, viitepäivänä 31.3.2025. Vahvistettu päivämäärä. Laji: velvoite.
2025-07-08: TLPT-RTS voimaan; uusi kuuleminen alkaa Uhkaperusteisen tunkeutumistestauksen (TLPT) tekninen standardi (EU) 2025/1190 tuli suoraan sovellettavaksi. Samana päivänä EBA avasi kuulemisen uusista kolmannen osapuolen riskienhallinnan ohjeista. Vahvistettu päivämäärä. Laji: prosessi.
2025-11-18: 19 kriittistä ICT-palveluntarjoajaa nimetään ESAt nimesivät ensimmäistä kertaa 19 kriittistä ICT-palveluntarjoajaa (CTPP) suoraan EU-tason valvontaan, muun muassa AWS, Microsoft, Google Cloud, IBM, SAP, Oracle ja Accenture. Vahvistettu päivämäärä. Laji: valvonta.
2025-11-19: Digital Omnibus -ehdotus julkaistaan Komissio julkaisi ehdotuksen, joka keventäisi DORAn häiriöraportointia yhdellä EU-laajuisella ilmoituspisteellä. Kyse on toistaiseksi ehdotuksesta, ei voimassa olevasta säännöstä. Vahvistettu päivämäärä. Laji: prosessi.
2026-03-31: Toinen ICT-sopimusrekisterin määräaika Toinen vuosittainen ICT-sopimusrekisteri raportoitiin viitepäivällä 31.12.2025. Suomessa kansallinen määräaika oli tätä aiemmin, 2.3.2026. Vahvistettu päivämäärä. Laji: velvoite.
2026-06-03: Ensimmäinen vuosiraportti ICT-häiriöistä ESAt julkaisivat ensimmäisen DORA-artiklan 22 mukaisen vuosiraportin: EU:n finanssialalla ilmoitettiin 3 383 merkittävää ICT-häiriötä vuonna 2025, noin kolmasosa rajat ylittäviä. Vahvistettu päivämäärä. Laji: prosessi.
2026-07-31: ESAt: lausunto frontier AI -mallien ICT-riskeistä ja DORA-valvonnan kytkennästä EBA, EIOPA ja ESMA julkaisivat yhteisen lausunnon, joka vaatii sektorirajat ylittävää, riskiperusteista ja johdonmukaista valvontaotetta edistyneimpien (frontier) tekoälymallien aiheuttamiin ICT-riskeihin finanssialalla. Lausunto ei ole sitova eikä tuo uusia velvoitteita, mutta ESAt kytkivät sen DORAn kriittisten ICT-palveluntarjoajien (CTPP) valvontaan: havainnot viedään vuoden 2027 valvontasuunnitelman priorisointiin. Vahvistettu päivämäärä. Laji: prosessi.

Tuoreet ohjeet

2026-07-31: ESAt julkaisivat lausunnon frontier AI -mallien ICT-riskeistä EBA / EIOPA / ESMA https://www.eba.europa.eu/publications-and-media/press-releases/eba-eiopa-and-esma-call-enhanced-governance-and-consistent-supervision-mitigate-ict-risks-frontier
2026-06-03: ESAt julkaisivat ensimmäisen vuosiraportin ICT-häiriöistä ESMA / EBA / EIOPA https://www.esma.europa.eu/sites/default/files/2026-06/JC_2026_16_ESAs_2025_report_on_major_ICT-related_incidents.pdf
2025-11-19: Komissio julkaisi Digital Omnibus -asetusehdotuksen Euroopan komissio https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-regulation-proposal
2025-11-18: ESAt nimesivät 19 kriittistä ICT-palveluntarjoajaa EIOPA https://www.eiopa.europa.eu/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital-2025-11-18_en
2025-07-08: EBA avasi kuulemisen kolmannen osapuolen riskienhallinnasta Arthur Cox https://www.arthurcox.com/insights/eba-consultation-opens-aligning-third-party-risk-management-with-dora/
2025-06-18: TLPT-tekninen standardi (2025/1190) julkaistiin A&O Shearman https://finreg.aoshearman.com/European-Commission-adopts-Delegated-Regulation

Liittyvät säädökset

NIS2: NIS2 ja kyberturvallisuuslaki Finanssialan ulkopuolella saman kyberturvatehtävän hoitaa lähempänä NIS2. /saatelywiki/nis2
GDPR: GDPR ja tietosuojalaki Sama ICT-häiriö voi laukaista myös GDPR:n tietoturvaloukkausilmoituksen, jos siinä on mukana henkilötietoa. /saatelywiki/gdpr
Digital Omnibus: EU:n Digital Omnibus -paketti Yleinen Digital Omnibus (COM(2025)837) keventäisi DORAn häiriöraportointia yhdellä EU-laajuisella ilmoituspisteellä, mutta se on yhä ehdotus. /saatelywiki/digital-omnibus

Lähteet

Finanssivalvonta: DORAn soveltamisalaan kuuluville valvottaville uusia raportointivelvoitteita https://www.finanssivalvonta.fi/tiedotteet-ja-julkaisut/valvottavatiedotteet/2026/doran-soveltamisalaan-kuuluville-valvottaville-uusia-raportointivelvoitteita/ (suomeksi)
Finlex: hallituksen esitys HE 67/2024 vp https://finlex.fi/fi/hallituksen-esitykset/2024/67 (suomeksi)
Asetus (EU) 2022/2554 (DORA, EUR-Lex) https://eur-lex.europa.eu/eli/reg/2022/2554/oj (englanniksi)
Delegoitu asetus (EU) 2025/532: alihankinnan RTS (EUR-Lex) https://eur-lex.europa.eu/eli/reg_del/2025/532/oj/eng (englanniksi)
EIOPA/ESAt: kriittisten ICT-palveluntarjoajien nimeäminen https://www.eiopa.europa.eu/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital-2025-11-18_en (englanniksi)
ESMA: ensimmäinen vuosiraportti merkittävistä ICT-häiriöistä (JC 2026 16) https://www.esma.europa.eu/sites/default/files/2026-06/JC_2026_16_ESAs_2025_report_on_major_ICT-related_incidents.pdf (englanniksi)
EBA/EIOPA/ESMA: lausunto frontier AI -mallien ICT-riskeistä (JC 2026 25) https://www.esma.europa.eu/sites/default/files/2026-07/JC_2026_25_ESA_statement_on_frontier_AI_models.pdf (englanniksi)
Euroopan komissio: Digital Omnibus -asetusehdotus https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-regulation-proposal (englanniksi)

Koko sivu tekstitiedostona Säädöskooste yhdellä sivulla