DORA är på plats. AI förändrar risklandskapet. NIS2, AI Act och Data Act ökar trycket på ledningar och styrelser.
Samtidigt varnar säkerhetsexperter för att många organisationer fortfarande fokuserar mer på administration än på faktisk motståndskraft.
Den europeiska finanssektorn befinner sig mitt i en omfattande regulatorisk omställning. Regelverk som DORA (Digital Operational Resilience Act), AI Act, NIS2 och Data Act ställer nya krav på styrning, riskhantering och operativ motståndskraft.
Men trots att DORA nu har varit verklighet under en längre tid är det inte de tekniska kraven som är det största problemet, menar Björn Sjöholm, cybersäkerhetsentreprenör på Unidot AB.
– Den vanligaste utmaningen är att arbetet blir för tungrott och att organisationerna lägger för mycket kraft på administration. Då finns risken att man inte gör rätt saker, säger han.
Enligt Björn är detta särskilt anmärkningsvärt eftersom DORA i grunden är ett riskbaserat regelverk.
– Man ska identifiera sina risker och hantera dem. Men när fokus hamnar på rapporter och administration blir själva jobbet inte gjort.
DORA har blivit större än många förväntade sig
Björn Sjöholm, cybersäkerhetsentreprenör på Unidot AB
Björn beskriver hur många organisationer upplever DORA som betydligt mer omfattande än de först trodde.
Han berättar om kunder som skämtsamt beskrivit regelverket som ”ett monster”.
Samtidigt menar han att själva förordningen inte är exceptionellt omfattande jämfört med andra regulatoriska ramverk. Utmaningen ligger snarare i mängden detaljer som tillkommer genom de regulatoriska tekniska standarderna, de så kallade RTS:erna.
Problemet uppstår när organisationer försöker uppfylla varje krav isolerat.
– Man börjar med krav ett, sedan krav två, sedan krav tre och fortsätter så tills man har arbetat sig igenom hundratals krav. Då ser man träden men missar skogen.
Resultatet blir ofta att organisationen uppfyller enskilda kontrollpunkter utan att förstå vilken effekt regelverket faktiskt är tänkt att skapa.
– Den största utmaningen är förståelsen. Många förstår inte hur man ska efterleva regelverket på ett sätt som faktiskt bygger säkerhet och motståndskraft.
AI förändrar riskbilden – men inte på det sätt många tror
Debatten kring artificiell intelligens dominerar i dag stora delar av finansbranschen. Men enligt Björn handlar den största AI-risken inte om bankernas egen användning av tekniken.
– Institutens interna användning av AI förändrar riskbilden ganska lite jämfört med hoten utifrån.
Det är istället den ökade kapaciteten hos angripare som bekymrar både myndigheter och säkerhetsexperter.
AI gör det möjligt att automatisera attacker, genomföra avancerade bedrägerier i större skala och snabbare utveckla nya angreppsmetoder.
– AI kanske inte alltid gör rätt, men den är snabbare. När cyberkriminella använder AI som verktyg springer de agentbaserade hoten betydligt snabbare än organisationerna gör.
Samtidigt ser han stora möjligheter med tekniken.
AI kan effektivisera compliancearbete, automatisera handläggning, stödja riskbedömningar och förbättra beslutsunderlag.
– Om den används rätt kan AI vara mycket positiv. Men används den fel introducerar man förstås nya risker.
AI-leverantörer blir nästa stora tredjepartsrisk
En av de mest aktuella frågorna inom finanssektorn är hur AI-leverantörer ska granskas ur ett tredjepartsperspektiv.
Björn välkomnar utvecklingen.
– Det behövs framför allt för att vi ska veta vilken kvalitet vi får och hur leverantören hanterar våra data.
Han pekar särskilt på två riskområden.
Det första handlar om kvalitet.
Generativa AI-system kan producera hallucinationer och felaktiga svar. Om sådana svar används som beslutsunderlag inom exempelvis kreditgivning eller riskhantering kan konsekvenserna bli betydande.
Det andra området handlar om informationssäkerhet.
– Om vi skickar företagshemligheter eller känslig information till en språkmodell uppstår en sekretessrisk. Vi riskerar att förlora kontrollen över vår information.
Han varnar för att många organisationer fortfarande underskattar problemet.
– Man kopplar ihop hela sin Microsoft 365-miljö eller SharePoint med en AI-tjänst och tycker att det är smidigt. Men då måste man också förstå vem som hanterar informationen och vad som faktiskt händer med den.
AI Act och DORA stärker snarare än konkurrerar
När flera nya regelverk introduceras samtidigt uppstår ofta oro för dubbelarbete.
Men just mellan AI Act och DORA ser Björn relativt få konflikter.
– De stärker snarare varandra än överlappar.
AI Act fokuserar på hur AI används, vilka risker som uppstår i beslutsfattande och hur leverantörskedjan ska hanteras. DORA fokuserar på den finansiella sektorns operativa motståndskraft.
Det finns vissa gemensamma beröringspunkter kring informationshantering, leverantörsstyrning och riskhantering, men Björn bedömer att den praktiska överlappningen är begränsad.Den verkliga utmaningen ligger istället i hur organisationerna organiserar sitt arbete.
– Man kan inte ha en process för DORA, en annan för cybersäkerhet och en tredje för dataskydd. All styrning måste hänga ihop.
Säkerhet kan inte läggas på i efterhand
En återkommande frustration hos Björn är att många verksamheter fortfarande behandlar säkerhet som något som kan implementeras efter att verksamhetsutvecklingen är färdig.
– För några år sedan var den klassiska frågan: ”Nu är vi klara, kan du fixa säkerheten?” Det går inte.
Han jämför det med att bygga ett hus.
– Det är som att säga att man redan har byggt huset och sedan fråga om någon kan få det att hålla ihop. Säkerheten måste finnas med från början.
Enligt Björn är detta också en av de bakomliggande orsakerna till att organisationer upplever regelverken som administrativa bördor.
När säkerhetsarbetet inte är integrerat i verksamhetens processer från början blir lösningen ofta fler dokument, fler rutiner och fler rapporter.
– Då får man överadministration som inte skapar särskilt mycket säkerhet.
Pappersprodukter skapar ingen motståndskraft
Björn är tydlig med att alla regulatoriska krav inte har samma säkerhetseffekt.
Krav som leder till konkreta skyddsåtgärder, förbättrad detektion eller starkare incidenthantering ger ofta påtagliga resultat.
Däremot finns det administrativa krav som riskerar att förvandlas till det han kallar ”papperstigrar”.
– Jag har sett organisationer som producerar säkerhetsrapporter enligt DORA. När jag frågar vem som läser rapporterna blir svaret: ingen.
I sådana fall har organisationen enligt honom missat syftet med regelverket.
– Effekten ska vara att man använder rapporten för att förbättra säkerheten. Syftet är inte att rapporten ska existera.
Han ser samma risk hos både små och stora organisationer.
– Större verksamheter kan ibland vara ännu mer utsatta eftersom de har resurser att producera väldigt mycket dokumentation. Där kan problemet faktiskt bli ännu större.
Data Act kan bli nästa stora regulatoriska fråga
När diskussionen kommer in på framtiden lyfter Björn fram ett regelverk som hittills fått relativt lite uppmärksamhet: Data Act.
– Det är lite av en doldis.
En central del handlar om dataportabilitet.
Organisationer som lagrar information hos molnleverantörer ska kunna flytta sina data till en annan leverantör utan orimliga kostnader eller tekniska hinder.
– Leverantören ska göra det möjligt att ta med sig sina data när man lämnar tjänsten.
Detta innebär nya krav för många molnleverantörer, men kan samtidigt stärka kundernas kontroll över sin information och minska risken för inlåsningseffekter.
ECB:s varning höjer temperaturen ytterligare
Samtidigt ökar trycket från europeiska tillsynsmyndigheter.
Carl-Henrik Wahlgren, Regional Sales Manager Nordics, Zero Trust Akamai
Varningarna från Europeiska centralbanken (ECB) och Europeiska systemriskrådet (ESRB) har gjort AI-drivna cyberhot till en prioriterad fråga för finanssektorn. ECB kräver att banker senast den 31 oktober 2026 ska presentera konkreta handlingsplaner för hur de ska hantera den nya generationens AI-baserade cyberrisker.
Bakgrunden är att artificiell intelligens förändrar angriparnas förmåga att identifiera, kombinera och utnyttja sårbarheter. Tiden från att en svaghet upptäcks till att den exploateras krymper snabbt, vilket ställer helt nya krav på operativ motståndskraft.
Carl-Henrik Wahlgren, Regional Sales Manager Nordics, Zero Trust Akamai, menar att utvecklingen innebär ett skifte i hur organisationer behöver tänka kring cybersäkerhet.
– ECB:s krav på uppdaterade handlingsplaner inför hösten bekräftar att cyberrisker inte längre handlar om om man blir attackerad, utan om hur snabbt man kan begränsa skadan och hur långt in i organisationen en attack kan ta sig. När angripare använder AI för så kallad CVE chaining, där flera mindre sårbarheter kedjas samman i maskinhastighet, rör sig hoten betydligt snabbare än mänsklig respons, säger han.
Enligt Wahlgren behöver organisationer i högre grad fokusera på att bryta attackkedjor, begränsa spridning och skydda verksamhetskritiska funktioner snarare än att enbart försöka förhindra varje enskilt intrång.
Akamai pekar i sin analys av NIS2, DORA och de nya AI-relaterade hoten på att marknaden rör sig mot modeller där intrång förutsätts kunna ske och där fokus istället ligger på att begränsa konsekvenserna. Mikrosegmentering, Zero Trust-principer, kontinuerlig kartläggning av exponeringar och snabb incidentanalys lyfts fram som områden som får allt större betydelse när regulatoriska krav och hotbild utvecklas parallellt, avslutar Carl-Henrik.
Flera säkerhetsleverantörer ser också ett växande behov av lösningar som gör det möjligt att simulera säkerhetspolicys innan de införs, visualisera beroenden mellan system och snabbare kunna rapportera incidenters påverkan till tillsynsmyndigheter och revisorer.
Utvecklingen ligger nära den syn på operativ motståndskraft som återfinns i både DORA och ECB:s senaste vägledning: det avgörande är inte bara att förebygga intrång, utan att snabbt kunna begränsa konsekvenserna när de inträffar.
Ledningen måste ta ägarskap
Till företagsledare som känner sig överväldigade av mängden nya regelverk ger Björn två tydliga råd.
För det första måste styrningen samordnas.
För det andra måste ansvaret ligga på högsta ledningsnivå.
– Ledningen kan inte delegera bort det här till it-chefen, säkerhetschefen eller compliancefunktionen.
Om inte styrelse och företagsledning tar ett aktivt ansvar riskerar säkerhetsarbetet att bli fragmenterat och ineffektivt.
Han betonar också vikten av att förstå intentionen bakom varje regelverk.
– Om man förstår varför ett krav finns blir det både billigare och mer värdefullt att efterleva.
Sveriges största säkerhetsproblem är inte nytt
När Björn får frågan om vilken säkerhetsfråga svenska organisationer fortfarande underskattar mest blir svaret tydligt.
Det handlar inte primärt om AI.
Det handlar om den obalans som uppstått mellan digitalisering och säkerhet.
– Sverige ligger väldigt högt när det gäller digitalisering, men långt ner när det gäller säkerhet. Det är en väldigt dålig kombination.
Han menar att samhället under lång tid har prioriterat digital utveckling utan att investera motsvarande resurser i skydd och motståndskraft.
Konsekvensen blir ett växande beroende av digitala system samtidigt som sårbarheterna ökar.
– Vi måste lägga lika mycket kraft på säkerhet som vi lägger på digitalisering. Annars utsätter vi verksamheter och information för mycket stora risker.
Samma problem – högre tempo
För Björn är slutsatsen tydlig.
De grundläggande säkerhetsutmaningarna har inte förändrats.
Det som har förändrats är tempot.
AI-drivna cyberhot är inte längre ett framtidsscenario. De är redan här. Samtidigt skärps kraven från tillsynsmyndigheter, investerare och kunder.
För finanssektorn innebär det att fokus måste flyttas från regeluppfyllelse som administrativ övning till verklig operativ motståndskraft.
– Det är samma utmaningar som tidigare. Men fokus, förståelse och handling måste öka, avslutar Björn.
Workshopen som rekommendera startk för mer kunskap:
– Workshop API-Säkerhet 22/9
– Workshop mikrosegmentering 30/9
Av Annika Guldroth
