ICT-riskien hallinnan, häiriöraportoinnin ja kumppanivalvonnan säännöt finanssialalle.
Mikä se on DORA eli asetus (EU) 2022/2554 finanssialan digitaalisesta häiriönsietokyvystä on EU:n yhteinen sääntökirja sille, miten pankit, vakuutusyhtiöt, sijoituspalveluyritykset ja muut finanssialan toimijat hallitsevat ICT-riskejä. Sitä sovelletaan täysimääräisesti ilman siirtymäaikaa 17.1.2025 alkaen. Asetus yhtenäistää riskienhallinnan kehikon, häiriöiden raportoinnin, järjestelmien testauksen ja ICT-kumppaneiden valvonnan koko EU:ssa yhden säädöksen alle — aiemmin nämä vaatimukset olivat hajallaan kansallisessa sääntelyssä. Koskeeko sinua Suoraan DORA koskee vain finanssialan valvottuja toimijoita ja Euroopan valvontaviranomaisten (ESAt) nimeämiä kriittisiä ICT-palveluntarjoajia — tavallinen suomalainen ohjelmisto- tai IT-yritys ei ole itse asetuksen piirissä. Epäsuorasti se ulottuu kuitenkin jokaiseen, joka myy ohjelmistoja tai IT-palveluita finanssialan asiakkaalle: asiakkaan on sisällytettävä sopimukseen DORA-lausekkeita, ja toimittaja päätyy asiakkaan vuosittain raportoitavaan ICT-sopimusrekisteriin. Verkkokauppa tai muu tavallinen digitaalinen liiketoiminta ilman rahoitusalan toimilupaa jää kokonaan asetuksen ulkopuolelle. Keskeiset velvoitteet Finanssialan toimijalla on oltava hallituksen hyväksymä, dokumentoitu ICT-riskienhallinnan kehikko. Mikroyritykset ja pienet, ei-monimutkaiset toimijat saavat kevennetyn version. Merkittävät ICT-häiriöt raportoidaan valvojalle kolmessa vaiheessa: alustava ilmoitus 4 tunnin kuluessa luokittelusta, väliraportti 72 tunnin kuluessa ja loppuraportti kuukauden kuluessa. Digitaalista häiriönsietokykyä testataan säännöllisesti. Merkittävimmät toimijat tekevät lisäksi uhkaperusteisen tunkeutumistestauksen (TLPT) vähintään kolmen vuoden välein. Jokainen ICT-sopimus arvioidaan ennen allekirjoitusta ja sen jälkeen jatkuvasti, ja kaikki sopimukset kirjataan vuosittain raportoitavaan ICT-sopimusrekisteriin (Register of Information). Suurimmat ICT-toimittajat voidaan nimetä kriittisiksi (CTPP) ja asettaa ESAien suoraan EU-tason valvontaan. Näin sovellat käytännössä Pk-SaaS finanssialan asiakkaille: 20 hengen suomalainen ohjelmistoyritys, joka myy työnkulkutyökalua muutamalle säästöpankille ja vakuutusyhtiölle, ei ole itse DORAn piirissä, mutta sen asiakkaat ovat. Odota sopimuslisäyksiä (auditointioikeudet, poistumissuunnitelma, alihankinnasta ilmoittaminen) ja vuosittaisia ICT-sopimusrekisterikyselyjä. Ensimmäinen askel: listaa nykyiset finanssialan asiakassopimukset ja nimeä henkilö, joka vastaa niiden due diligence -kyselyihin. Maksulaitoksena tai rahoituspalveluna toimiva lupayhtiö on suoraan DORAn piirissä, joskin pieni ja yksinkertainen toimija voi käyttää kevennettyä riskienhallinnan kehikkoa. Sen on rakennettava dokumentoitu ICT-riskienhallinnan kehikko, raportoitava merkittävät häiriöt Finanssivalvonnalle 4 t / 72 t / 1 kk -aikataulussa, ylläpidettävä ICT-sopimusrekisteriä ja testattava järjestelmiään säännöllisesti. TLPT on pakollinen vain, jos Finanssivalvonta nimeää yrityksen siihen erikseen. Ensimmäinen askel: nimeä vastuuhenkilö ICT-riskienhallinnalle ja aloita sopimusrekisterin kokoaminen — häiriöilmoitusten aikarajat koskettavat myös GDPR:n tietoturvaloukkausvelvoitteita, katso GDPR . Pilvipalvelu- tai konesalitoimija ei ole automaattisesti DORAn piirissä, mutta jos sen mittakaava ja finanssialan asiakaskonsentraatio kasvavat riittävän suuriksi, ESAt voivat nimetä sen kriittiseksi ICT-palveluntarjoajaksi — kuten kävi 19 suurelle toimijalle marraskuussa 2025. Nimeäminen tuo mukanaan suoran ESA-valvonnan, yhteisten tarkastusryhmien tarkastukset ja valvontamaksut riippumatta siitä, onko toimijalla itsellään rahoitusalan lupaa. Ensimmäinen askel: seuraa nimeämiskriteerejä, jos finanssialan asiakkaiden osuus liikevaihdosta kasvaa. Verkkokauppa tai muu digitaalinen liiketoiminta ilman rahoitusalan toimilupaa, joka käyttää pohjoismaista maksunvälittäjää, jää kokonaan DORAn soveltamisalan ulkopuolelle — DORA ei ole yleinen kyberturvallisuuslaki kaikille digitaalisille yrityksille, vaan sen tehtävän hoitaa lähempänä NIS2. Epäsuoria vaikutuksia voi silti tuntea, jos maksunvälittäjä tiukentaa sopimusehtojaan oman DORA-due diligencensä vuoksi. Suomessa Finanssivalvonta on DORAn kansallinen toimivaltainen valvoja, ja sen valvonnassa on yli 400 toimijaa. Valvonta keskittyy ICT- ja kyberriskien hallintaan, häiriöiden ilmoitusprosessiin ja ICT-toimittajariskien valvontaan. Kansallinen täytäntöönpanolaki, hallituksen esitys HE 67/2024 vp, muutti Finanssivalvonnasta annettua lakia ja noin kymmentä toimialalakia (luottolaitokset, sijoituspalvelut, maksulaitokset, sijoitusrahastot, vakuutusyhtiöt ja muut) ja tuli voimaan 17.1.2025 samaan aikaan EU-asetuksen kanssa. ICT-sopimusrekisteri raportoidaan Suomessa vuosittain Finanssivalvonnan raportointiportaaliin; vuoden 2026 kierroksen kansallinen määräaika, 2.3.2026, oli aikaisempi kuin EU-laajuinen takaraja 31.3.2026. Finanssivalvonnan vuoden 2026 tiedotteen mukaan valvottaville tuli kolme uutta vuosittaista raportointivelvoitetta: ICT-riskienhallinnan katsausraportti, arvio merkittävien ICT-häiriöiden vuosikustannuksista (mikroyritykset vapautettu) ja itse ICT-sopimusrekisteri. Ajantasaista suomenkielistä ohjeistusta julkaisee Finanssivalvonta valvottavatiedotteissaan; myös suomalaiset lakiasiaintoimistot ja tilintarkastusyhteisöt julkaisevat DORA-oppaita, mutta ne ovat toissijaisia lähteitä viranomaisohjeistuksen rinnalla.