Framtiden efter DORA – hur kan regelverket utvecklas?

När DORA (Digital Operational Resilience Act) trädde i kraft den 17 januari 2025 markerade det en milstolpe i EU:s arbete med digital motståndskraft. Men DORA är inte slutpunkten – tvärtom kan det ses som ett första steg i en större resa.
Frågan är: vad händer efter DORA? Vilka områden kan komma att regleras ytterligare, och hur kan företag förbereda sig för en framtid där kraven på cybersäkerhet och digital resiliens fortsätter att öka?

DORA i ett större sammanhang

DORA är en del av EU:s bredare strategi för att skapa en säkrare digital inre marknad. Tillsammans med regelverk som NIS2, GDPR och kommande AI Act skapas ett mer heltäckande ramverk. Målet är att EU ska kunna stå emot cyberhot, tekniska störningar och nya risker i en allt mer digitaliserad värld.

Tre utvecklingsområden efter DORA

1. AI och automatisering

AI används redan inom både cybersäkerhet och finans, men också av angripare. Det är sannolikt att framtida regler kommer att ta sikte på:

• Transparens i AI-beslut som påverkar finansiella tjänster.
• Krav på att AI-lösningar inte skapar nya sårbarheter.
• Kopplingar mellan AI Act och DORA:s riskhanteringskrav.

En möjlig utveckling framåt kan innebära att företag behöver visa hur AI-system testas, övervakas och styrs på samma sätt som traditionella IT-system.

2. Leverantörskedjor och globalt beroende

DORA har redan skärpt kraven på tredjepartsrisker, men utvecklingen pekar på ännu större fokus framåt:

• Ökad transparens kring molnleverantörer utanför EU.
• Större krav på exit-strategier för att minska inlåsningseffekter.
• Möjliga framtida regler om att kritiska tjänster måste ha drift inom EU.

En möjlig utveckling framåt kan bli att företag som idag lutar sig tungt mot globala molnaktörer behöver se över sin strategi för att klara kommande krav.

3. Informationsdelning och samarbete

Ett av DORA:s mest framåtblickande delar är uppmuntran till informationsdelning. I framtiden kan detta förstärkas genom:

• Obligatoriska plattformar för delning av cyberhotinformation.
• Standardiserade format för rapportering och varningar.
• Tydligare samarbete mellan privata aktörer och myndigheter.

En framåtblick: att företag inte längre agerar ensamma utan ingår i större ekosystem där cybersäkerhet hanteras gemensamt.

Vanliga frågor om framtiden efter DORA

Kommer DORA att skärpas ytterligare?
Troligen ja. Precis som GDPR har utvecklats över tid kan DORA kompletteras med mer detaljerade krav när tillsynsmyndigheter ser vad som fungerar och inte.

Hur hänger DORA ihop med kommande EU-lagstiftning?
DORA ska ses som en del av ett större pussel där även NIS2 och AI Act ingår. Företag behöver tänka helhet, inte bara följa ett regelverk i taget.

Är det bara stora företag som behöver oroa sig?
Nej. Även mindre leverantörer påverkas eftersom deras kunder inom finans och andra samhällsviktiga sektorer kommer att ställa krav i sina avtal.

Vad företag kan göra redan nu

För att inte bara uppfylla dagens krav utan även ligga steget före kan företag:

1. Bygga ett långsiktigt säkerhetsprogram – inte punktinsatser.
2. Investera i kompetens – utbilda både IT och ledning.
3. Satsa på standarder – ISO 27001, ISO 22301 och andra ramverk som ger struktur.
4. Delta i branschsamarbeten – lär av andra och bidra till informationsdelning.
5. Se säkerhet som en affärsfråga – inte en kostnad, utan en investering i förtroende.

Från compliance till konkurrensfördel

En viktig fråga för framtiden är hur företag väljer att se på DORA och liknande regelverk.

• Om de enbart ses som en börda blir det en kostsam efterlevnad.
• Om de istället ses som en strategisk möjlighet kan de användas för att bygga förtroende, vinna kunder och stå starkare vid kriser.

Framtiden efter DORA tillhör de organisationer som ser säkerhet som en konkurrensfördel.

DORA är startskottet för en ny era inom digital resiliens. Men det är inte slutmålet. Framöver kan vi vänta oss hårdare krav på AI, leverantörsstyrning och informationsdelning och fler regelverk som bygger vidare på samma logik. För företag gäller det därför inte bara att uppfylla dagens krav, utan att bygga en säkerhetskultur som kan möta morgondagens utmaningar.