DORA – byte av IKT-underleverantör, riskprövning & invändning | Word/PDF/Excel

Din molnleverantör eller driftpartner meddelar att en viktig IKT-underleverantör ska bytas ut. Måste ditt finansiella företag acceptera ändringen? När IKT-tjänsten stöder en kritisk eller viktig funktion, eller en väsentlig del av en sådan, kan DORA och EU:s särskilda underleverantörsstandard kräva dokumenterad riskbedömning, avtalsenlig underrättelse och ett beslut i rätt tid. Detta specialistpaket hjälper dig att hantera en bestämd ändringsavisering – inte bara upprätta en generell IT-policy.

Gällande regelverk: DORA, förordning (EU) 2022/2554, tillämpas sedan den 17 januari 2025. Den kompletterande delegerade förordningen (EU) 2025/532 gäller sedan 22 juli 2025 och behandlar riskbedömning och villkor för underleveranser av IKT-tjänster som stödjer kritiska eller viktiga funktioner. Artikel 5 reglerar väsentliga ändringar; artikel 6 reglerar vissa förutsättningar för avtalsmässig uppsägningsrätt.

Innehåll: 5 svenska arbetsmallar, svensk användarguide och separat English User Guide i både Word (DOCX) och sökbar/utskrivbar A4-PDF, samt ett Excelregister med nio flikar och 730 administrativa formler. Totalt 7 DOCX + 7 PDF + 1 XLSX = 15 filer i en ZIP. Engångspris 79 kr; ingen fysisk leverans, inga makron och ingen automatiserad leverantörsintegration.

När är detta rätt DORA-mall?

Typiska användare är finansföretags IKT-riskfunktion, compliance, jurist, inköps- och leverantörsansvarig, informationssäkerhetsansvarig och verksamhetsägare för kritiska eller viktiga funktioner. Exempel på händelse: ett företag med en kritisk finansiell tjänst får en skriftlig avisering om att drift, infrastruktur, säkerhetsfunktion eller datalagring flyttas till en annan underleverantör, kanske i ett nytt land eller längre ned i leveranskedjan.

Avgränsning: Inte varje IT-inköp eller vanligt leverantörsbyte är en väsentlig ändring enligt artikel 5. Dokumentera först om entiteten omfattas av DORA och om det konkreta underleverantörsledet stödjer en kritisk eller viktig funktion, eller en väsentlig del av den. Samma lagkrav ska inte tillskrivas företag utanför relevant tillämpningsområde.

Samtliga 15 kundfiler

Excel – nio flikar för avtals- och riskprocessen

Arbetsboken består av Läs mig, Översikt, Ändringar, Avtal, Risker, Svar, Beslut, Exit och Källor. Varje faktisk ändring tilldelas ett ärende-ID. Översikten räknar aviseringar, ofullständiga riskunderlag, avtal som ska utredas, begäranden utan svar, invändningar utan faktisk kommunikation och exitärenden.

Den innehåller 730 formler och har klarat 23 av 23 scenariotester, inklusive risk över tolerans, underleverans som inte tillåts enligt avtalet, ofullständig ändringsavisering, saknat leverantörsbevis, invändning utan leveransbevis och exitärende med saknat beslutsunderlag. Automatiska etiketter som ”PRÖVA TILLÄMPLIGHET”, ”KOMPLETTERA AVTAL”, ”INVÄNDNINGSBEDÖMNING FÖRE FRIST” och ”EXIT KRÄVER MANUELLT BESLUT” innebär aldrig att lagkrav uppfyllts. Kundfilen är nollställd utan fiktiva testärenden.

Så hanterar du ändringen i praktiken

1. Motta och spara originalaviseringen. Fånga faktisk avsändare, avtal, meddelandetidpunkt, nytt underleverantörsled och planerat införandedatum.
2. Kontrollera tillämplighet. Bedöm DORA-entitet, kritisk/viktig funktion, materialitet, underleverantörskedja och avtalad tillåtelse att anlita underleverantörer.
3. Verifiera underrättelsetid. Artikel 5.2 kräver en rimlig avtalad period för godkännande eller invändning. Det finns ingen generell lagregel om exakt 30 dagar. Låt ansvarig person fastställa sista svarstid utifrån verkligt avtal.
4. Riskbedöm ändringen. Utred koncentration, kontinuitet, säkerhet, datalokalisation, underleverantörers resurser samt tillträdes-, inspektions- och revisionsrättigheter.
5. Begär nödvändiga kompletteringar. Be huvudleverantören dokumentera kedjan och ändringens verkliga effekt. Det finansiella företaget behåller ansvaret även om leverantören har utfört en egen riskbedömning.
6. Fatta och kommunicera behörigt beslut. Om risken överstiger riskaptit/tolerans ska den finansiella entiteten enligt artikel 5.4 före periodens slut informera leverantören, invända och begära modifieringar. Spara faktiskt sändnings- och mottagningsbevis.
7. Följ upp genomförande och eventuell exit. Kontrollera verkligt implementeringsdatum. Pröva artikel 6 och DORA artikel 28.7 samt det egna avtalet innan uppsägning eller migrering.

Vad säger DORA och förordning EU 2025/532?

Artikel 3, 2025/532: den finansiella entiteten ska utföra relevanta bedömningar av underleverantörer som stödjer kritiska eller viktiga funktioner. Att förlita sig på IKT-leverantörens due diligence befriar inte företaget från slutansvaret.

Artikel 4: avtalet ska identifiera vilka relevanta IKT-tjänster som får läggas ut på underleverantörer och under vilka villkor. Eventuella nödvändiga avtalsanpassningar ska genomföras i tid och planeras dokumenterat.

Artikel 5.1–5.3: väsentliga ändringar ska meddelas i god tid så att företaget kan bedöma risk och leverantörens möjlighet att uppfylla avtalet. En rimlig avtalsbestämd invändningsperiod ska finnas. Leverantören får genomföra ändringen när den finansiella entiteten har godkänt den eller inte invänt vid periodens slut enligt tillämpligt avtal och regelverk.

Artikel 5.4: om ändringen går utöver fastställd risktolerans ska företaget före periodens slut meddela sin bedömning, invända och begära ändringar. Det är inte samma sak som att ett system automatiskt kan avgöra risken.

Artikel 6: avtalet ska innehålla uppsägningsrätt bland annat om leverantören trots invändning genomför ändringen, genomför den i förtid utan godkännande eller lägger ut relevanta tjänster utan att avtalet uttryckligen tillåter det. Detta är en villkorad avtalsrätt – inte en automatisk hävning. Kontrollera även artikel 28.7 i DORA.

Primärkällor: Kommissionens delegerade förordning (EU) 2025/532 och DORA (EU) 2022/2554. Se Europeiska kommissionens förteckning över genomföranderegler.

Skillnad mot Mallbutikens allmänna DORA-paket

DORA IKT-leverantörsavtal & Compliance Mallpaket 2026 avser bred avtalsstyrning och regelefterlevnad. Den här specialprodukten löser ett mer avgränsat arbetsmoment: en faktiskt aviserad ändring i underleverantörskedjan, med bedömning, svar inom avtalad tid, invändning och separat exitprövning. För en generell IT-ändringsbegäran finns även IT-ändringsbegäran & ändringsstyrning.

Vanliga frågor

Måste alla underleverantörsbyten godkännas enligt DORA?

Nej. Dessa särskilda regler avser IKT-tjänster som stödjer kritiska eller viktiga funktioner eller väsentliga delar därav och relevant väsentlig ändring. Granska den faktiska tjänsten, påverkan och avtalet.

Är invändningsfristen alltid 30 dagar?

Nej. Förordningen kräver en rimlig underrättelsetid i avtalet. Det finns inte en universell föreskriven 30-dagarsfrist. En sådan tid gäller bara om den följer av det relevanta kontraktet och är tillämplig.

Vad gör vi om riskbedömningen överstiger riskaptiten?

Artikel 5.4 anger att företaget före avtalad periodslut ska informera om sin riskbedömning, invända och begära ändringar. Det ska göras av behörig funktion och dokumenteras.

Kan vi säga upp avtalet om bytet redan gjorts?

Artikel 6 anger avtalsbaserade uppsägningsmöjligheter i specificerade situationer. Kontrollera avtal, verkligt händelseförlopp, risk och kontinuitet och låt ansvarig jurist pröva åtgärden. Inte varje genomförd ändring ger automatisk uppsägningsrätt.

Kan leverantörens riskutredning ersätta vår?

Nej. Förordningen anger att den finansiella entiteten inte befrias från sitt slutansvar bara genom att förlita sig på leverantörens due diligence.

Kan Excel automatiskt räkna fram en juridiskt korrekt invändningsfrist?

Nej. Arbetsboken registrerar den frist som en ansvarig person har fastställt efter avtalsgranskning; den beräknar inte själv avtalsrättslig deadline eller ett godkännande.

Finns alla dokument på engelska?

Nej. Fem arbetsmallar, svensk guide och Excel är på svenska. En separat English User Guide beskriver användningen, men utgör inte en full översättning av arbetsmallarna.

Är PDF-filerna ifyllningsbara?

Nej. De är sökbara och utskrivbara A4-kopior av Worddokumenten, inte PDF-formulär med interaktiva fält.

Version, källkontroll och begränsningar

Version 1.0 – 9 november 2026. Rättslig källkontroll har utförts med officiella EU-rättsakter och teknisk filgranskning av DOCX, PDF och XLSX. Ingen extern jurist, tillsynsmyndighet eller oberoende IKT-revisor har granskat eller godkänt materialet. Mallarna kan inte skicka avtalsmeddelanden, verifiera en underleverantörs faktiska säkerhet eller godkänna ett uppsägningsbeslut. Använd dem som administrativt underlag för separat sakkunnig och behörig prövning.