(fra departementets EØS-notat, sist oppdatert 14.2.2025)

Sammendrag av innhold

Rettsakten er en utfyllende forordning til forordning (EU) 2022/2554 (DORA – Digital Operational Resilience Act) om digital operasjonell motstandsdyktighet i finanssektoren. Forordningen angir nærmere krav til foretakenes retningslinjer for IKT-tjenesteavtaler som støtter kritiske og viktige funksjoner.  

Foretakene skal ha en risikobasert tilnærming ved valg av leverandør. I vurderingen skal det legges vekt på flere forhold ved leverandøren, eksempelvis hva slags tjeneste det er tale om, hvor leverandøren er lokalisert og hva slags data som deles med leverandøren. Der foretakene er del av et konsern/en gruppe, skal morforetaket sørge for at retningslinjene er implementert likt i alle datterforetakene.  

Forordningen inneholder flere krav til forvaltning av retningslinjene, blant annet hvor ofte den skal gjennomgås og hvem som er ansvarlig for godkjenning, oppfølging, kontroll og dokumentasjon av avtalene. Retningslinjene skal også samsvare med andre retningslinjer utarbeidet i medhold av DORA-forordningen. Videre skal retningslinjene spesifisere krav til hvert stadium i en kontraktsyklus. Visse minimumskrav skal være omfattet.  

Retningslinjene skal stille krav til at foretaket skal definere leverandørbehovet før en avtale inngås. Videre skal foretaket gjøre en risikovurdering i forkant av avtaleinngåelsen og det stilles nærmere krav til elementer som risikovurderingen må inneholde. Retningslinjene skal også inneholde krav til due dilligence, som skal være adekvat og proporsjonal. Forordningen stiller i denne sammenheng flere krav til elementer foretaket skal undersøke hos leverandøren i forkant av avtaleinngåelse. I tillegg skal retningslinjene inneholde adekvate tiltak for å forhindre interessekonflikter.  

Retningslinjene skal inneholde krav til kontraktsvilkår. Kravene til kontraktsvilkårene som følger av DORA-forordningen art. 30 (2) og (3) skal også framgå. Kravene er i tillegg ytterligere spesifisert i denne forordningen. Videre skal retningslinjene inneholde krav til overvåkning av avtaleforholdet, for å påse at leverandøren yter tjenester i henhold til avtalen, og krav til exit-plan i forskjellige situasjoner

Merknader
Rettslige konsekvenser

Ingen nevneverdige. 

Økonomiske og administrative konsekvenser

Forordningen vil medføre noe økt administrativ og økonomisk byrde for foretak som er omfattet. Byrden vil avhenge av hvilke rutiner og retningslinjer foretaket har hatt knyttet til IKT-tjenesteavtaler. 

Sakkyndige instansers merknader

Finanstilsynet har vurdert rettsakten som EØS-relevant og akseptabel. 

Vurdering

Forordningen anses EØS-relevant og akseptabel. 

Status

Rettsakten er vedtatt av EU-kommisjonen og trådte i kraft i EU den 17. januar 2025. Forordningen vurderes innlemmet i EØS-avtalen.