DORA-loven gjennomfører EUs forordning om digital operasjonell motstandsdyktighet i finanssektoren, og trådte i kraft i fjor sommer. Reglene gjelder for de fleste, men ikke alle, foretak i den norske finanssektoren. IKT-virksomheten til finansieringsforetak, eiendomsmeglingsforetak og inkassoforetak har til nå vært regulert av IKT-forskriften.

Finansdepartementet har i dag fastsatt forskriftsregler om at disse foretakene, samt Norsk naturskadepool, fra 1. september isteden skal følge deler av DORA-regelverket. Samtidig oppheves IKT-forskriften. Endringene innebærer at det ikke lenger er to parallelle IKT-regelverk for finanssektoren, og bidrar slik til harmonisering av regelverket, forenkling av tilsynsarbeidet og enhetlig praksis i sektoren.

Departementet har også besluttet at gjeldsinformasjonsforetak, kredittopplysningsforetak, låneformidlingsforetak og morselskap i finanskonsern, samt foretak som er unntatt fra EUs DORA-forordning, ikke skal underlegges DORA-regelverket. Disse vil i stedet få veiledning av Finanstilsynet.

I tillegg har departementet fastsatt i forskrift hvordan Finanstilsynet og Norges Banks oppgaver i forbindelse med gjennomføring av såkalt trusselbasert penetrasjonstesting (TLPT) fordeles mellom de to institusjonene, og at Norges Bank har adgang til å kreve inn bidrag til dekning av kostnader fra foretak som testes. Finanstilsynet har allerede slik adgang gjennom finanstilsynsloven.

Et forslag til forskriftsendringer utarbeidet av Finanstilsynet var på høring til 5. januar i år, og endringene som nå fastsettes, følger i hovedsak forslaget fra Finanstilsynet, men med noen forenklinger for eiendomsmeglingsforetak og inkassoforetak. Hjemler for å underlegge Norsk naturskadepool DORA-regelverket og å gi Norges Bank adgang til å kreve inn TLPT-bidrag, ble gitt ved endringer i DORA-loven tidligere i år.