DORA: Komplet guide til forordningen og kravene til træning

Blogpost opdateret: 21-10-2026

Opsummering: DORA (Digital Operational Resilience Act, forordning (EU) 2022/2554) er EU's forordning om digital operationel modstandsdygtighed i finanssektoren. Den har gældt i hele EU siden 17. januar 2025 og stiller krav til IKT-risikostyring, hændelsesrapportering, test, styring af IT-leverandører og informationsdeling. DORA kræver også, at alle medarbejdere og ledelse modtager obligatorisk træning i IT-sikkerhed og digital modstandsdygtighed.

I denne guide får du overblikket over DORA: hvem der er omfattet, de fem søjler, hvordan Finanstilsynet fører tilsyn, og hvad forordningen præcist kræver af jeres træning, artikel for artikel.

Indhold: Hvad er DORA? · Hvem er omfattet? · De fem søjler · DORA i Danmark · DORA og NIS2 · Kravene til træning · Sådan opfylder I træningskravene · FAQ

Hvad er DORA?

DORA er en EU-forordning, der skal sikre, at banker, forsikringsselskaber, pensionskasser og andre finansielle virksomheder kan modstå, håndtere og komme sig efter IT nedbrud og cyberangreb. DORA står for Digital Operational Resilience Act, på dansk forordningen om digital operationel modstandsdygtighed i den finansielle sektor.

Forordningen blev vedtaget i december 2022 og har gældt fra 17. januar 2025. Fordi DORA er en forordning og ikke et direktiv, gælder den direkte i alle EU-lande uden national omsætning. Før DORA var reglerne for IT-sikkerhed i finanssektoren spredt over nationale og sektorspecifikke krav. DORA samler dem i ét fælles regelsæt. Du kan læse hele teksten på EUR-Lex.

Vigtige datoer

Hvem er omfattet af DORA?

DORA omfatter næsten hele den finansielle sektor i EU, mere end 20 typer virksomheder. Det gælder blandt andre:

• Banker og kreditinstitutter

• Forsikrings- og genforsikringsselskaber samt pensionskasser

• Investeringsselskaber og fondsforvaltere

• Betalingsinstitutter og e-pengeinstitutter

• Udbydere af kryptoaktivtjenester

• Værdipapircentraler og markedspladser

DORA rammer også IT-leverandører til finanssektoren. Finansielle virksomheder skal stille krav til deres leverandører i kontrakterne, og de største leverandører kan komme under direkte EU-tilsyn. Registrerede forvaltere af alternative investeringsfonde er undtaget. Mindre virksomheder kan følge en forenklet ramme for IKT-risikostyring efter proportionalitetsprincippet, men kravet om træning gælder også for dem.

DORA's fem søjler

Frister for rapportering af større IKT-hændelser

Når en hændelse klassificeres som større, gælder tre frister:

Fristerne er markant kortere end de 72 timer, mange kender fra GDPR. Det stiller krav til, at medarbejderne opdager og melder hændelser hurtigt.

Kritiske IT-leverandører under EU-tilsyn

Den 18. november 2025 offentliggjorde EBA, EIOPA og ESMA listen over 19 kritiske IKT-tredjepartsudbydere, blandt andet store cloududbydere og datacentre. De er nu under direkte europæisk tilsyn, og listen opdateres årligt. Kilde: EIOPA

DORA i Danmark: Finanstilsynets rolle

I Danmark er Finanstilsynet den kompetente myndighed for DORA. Finanstilsynet kan kræve oplysninger, gennemføre inspektioner og bruge sanktioner som påbud eller krav om at stoppe en praksis. Det er også Finanstilsynet, der modtager rapporter om større IKT-hændelser og informationsregistret.

DORA og NIS2: Hvad er forskellen?

DORA og NIS2 stiller begge krav til cybersikkerhed, men for finansielle virksomheder går DORA forud. DORA er det sektorspecifikke regelsæt, og NIS2 dækker de øvrige kritiske sektorer.

Kravene til træning i DORA, artikel for artikel

DORA gør træning obligatorisk: alle medarbejdere og den øverste ledelse skal modtage træning i IT-sikkerhed og digital operationel modstandsdygtighed. Kravene står i fem artikler.

EIOPA har desuden præciseret, at træningen skal opdateres med erfaringer fra jeres egne IKT-hændelser og aktuel trusselsviden. Træning er altså ikke en engangsøvelse. Kilde: EIOPA Q&A

Awareness-træning for alle medarbejdere

Alle medarbejdere skal have generel træning i sikkerhedsbevidsthed, på et niveau der passer til deres rolle. Regnskabsafdelingen har fx brug for ekstra træning i CEO-svindel og phishing. Kunderådgivere, der arbejder hjemmefra eller på farten, har brug for træning i sikker fjernarbejde.

Specialiseret træning for ledelsen og nøgleroller

Ledelsen har det endelige ansvar for DORA og skal kunne vurdere IKT-risici. Relevante emner er:

• DORA's juridiske krav til ledelsen
• Risiko- og sårbarhedsvurderinger
• Hændelsesrespons, forretningskontinuitet og disaster recovery
• Krisestyring og rapporteringsfristerne
• Styring af IT-leverandører og forsyningskæden

Træningen kan foregå som e-læring, workshops eller scenariebaseret træning.

Træning i digital operationel modstandsdygtighed

DORA definerer ikke præcist, hvad denne træning skal indeholde. Det er op til jer at vurdere ud fra jeres risikoprofil. En del dækkes af ledelsens træning i risiko- og krisestyring. En anden del handler om at øve og teste beredskabet, fx med phishing-simuleringer, der viser, hvor modstandsdygtig organisationen er over for et af de mest almindelige angreb.

Sådan opfylder I DORA's træningskrav: tjekliste

1. Kortlæg roller og risici med en risikovurdering.
2. Giv alle medarbejdere en fast awareness-træning med løbende nye emner.
3. Lav rollebaserede læringsforløb for ledelse, IT, økonomi og kundevendte medarbejdere.
4. Test modstandsdygtigheden med phishing-simuleringer og følg op på dem, der har brug for mere træning.
5. Afsæt og dokumentér et budget til træningen (art. 5).
6. Skriv leverandørernes deltagelse i træning ind i jeres IT-kontrakter (art. 30).
7. Opdatér træningen efter hændelser og nye trusler, og dokumentér gennemførelsen over for ledelse og tilsyn.

Sådan hjælper CyberPilot med DORA's træningskrav

CyberPilot dækker de dele af DORA, der handler om træning og awareness. Andre dele, som informationsregistret og hændelsesrapportering, kræver andre værktøjer.

Awareness-træning: Kursuskataloget rummer mange emner om IT-sikkerhed, GDPR og compliance, og med alle tre serier slået til kommer der nyt indhold hver måned. I kan tilpasse træningerne, tilføje jeres egne kurser, fx jeres IT-sikkerhedspolitik, og planlægge rollebaserede forløb for forskellige grupper. Ledelsen kan få et ledelsesresumé som PDF med træningsresultater, phishing-tal og sikkerhedskultur.

Phishing-træning. Realistiske simuleringer i medarbejdernes egen indbakke tester og styrker organisationens modstandsdygtighed over for phishing. Med spear phishing kan simuleringerne tilpasses jeres organisation og bestemte medarbejdergrupper.

Security Culture. Mål sikkerhedskulturen før og efter træningen, så I kan dokumentere effekten.

Ofte stillede spørgsmål om DORA

Hvad står DORA for? DORA står for Digital Operational Resilience Act. På dansk hedder det forordningen om digital operationel modstandsdygtighed i den finansielle sektor, forordning (EU) 2022/2554.

Hvornår trådte DORA i kraft? DORA trådte i kraft 16. januar 2023 og har gældt for alle omfattede virksomheder siden 17. januar 2025.

Er DORA en lov i Danmark? Ja. DORA er en EU-forordning og gælder direkte i Danmark uden national omsætning. Finanstilsynet fører tilsyn.

Hvem skal overholde DORA? Finansielle virksomheder i EU som banker, forsikringsselskaber, pensionskasser, investeringsselskaber, betalingsinstitutter og udbydere af kryptoaktivtjenester. IT-leverandører påvirkes gennem kontraktkrav, og de mest kritiske er under direkte EU-tilsyn.

Kræver DORA træning af medarbejdere? Ja. Artikel 13, stk. 6 gør awareness-træning og træning i digital operationel modstandsdygtighed obligatorisk for alle medarbejdere og ledelsen. Ledelsen skal desuden holde sin viden ajour efter artikel 5, stk. 4.

Hvad er forskellen på DORA og NIS2? DORA er en forordning for finanssektoren, mens NIS2 er et direktiv for 18 andre kritiske sektorer. For finansielle virksomheder går DORA's krav forud for NIS2.

Hvor hurtigt skal en IKT-hændelse rapporteres under DORA? Den første underretning skal sendes senest 4 timer efter, at hændelsen er klassificeret som større, og senest 24 timer efter, at virksomheden blev opmærksom på den.

Læs mere: Forordningen på EUR-Lex · EIOPA om DORA · Guide: Sådan bygger I en stærk sikkerhedskultur