DORA-asetus ja finanssialan digitaalinen häiriönsietokyky: mitä maksupalveluntarjoajien on tiedettävä

Miksi DORA säädettiin

Rahoitusala on yksi digitalisoituneimmista toimialoista. Maksut, tilit, kaupankäynti ja asiakaspalvelu toimivat lähes kokonaan tietojärjestelmien varassa, ja yhä suurempi osa näistä järjestelmistä ostetaan ulkopuolisilta palveluntarjoajilta, kuten pilvipalveluilta ja ohjelmistotoimittajilta. Tämä tehostaa toimintaa, mutta samalla yksittäinen tekninen häiriö tai kyberhyökkäys voi levitä nopeasti usean toimijan yli.

Ennen DORAa ICT-riskejä koskevat vaatimukset olivat hajallaan eri säädöksissä ja viranomaisohjeissa, ja ne poikkesivat toimialoittain. Euroopan unioni kokosi vaatimukset yhteen digitaalista häiriönsietokykyä koskevaan asetukseen (EU) 2022/2554, josta käytetään lyhennettä DORA (Digital Operational Resilience Act). Asetusta täydentää muutosdirektiivi (EU) 2022/2556, jolla aiempia alakohtaisia säädöksiä mukautettiin uuteen kehykseen.

DORAa on sovellettu 17.1.2025 alkaen. Koska kyse on asetuksesta, se on suoraan sovellettavaa oikeutta kaikissa jäsenvaltioissa. Yksityiskohtaiset vaatimukset tarkentuvat Euroopan valvontaviranomaisten (ESA) valmistelemilla teknisillä standardeilla, jotka komissio on vahvistanut delegoiduilla asetuksilla ja täytäntöönpanoasetuksilla.

DORAn keskeinen ajatus on siirtää painopiste pelkästä häiriöiden estämisestä kykyyn kestää ja toipua niistä. Täydellistä suojaa ei ole olemassa, joten toimijan on oletettava, että häiriöitä tapahtuu, ja varmistettava, että kriittiset toiminnot jatkuvat tai palautuvat hallitusti. Tästä syystä asetus käsittelee tietoturvaa, jatkuvuudenhallintaa, ulkoistuksia ja raportointia yhtenä kokonaisuutena eikä erillisinä osa-alueina.

Soveltamisala ja suhteellisuus

DORA koskee laajaa joukkoa rahoitusalan toimijoita. Maksuliikenteen kannalta keskeisiä ovat luottolaitokset, maksulaitokset ja sähkörahalaitokset, mutta soveltamisalaan kuuluu myös esimerkiksi sijoituspalveluyrityksiä, vakuutusyhtiöitä ja markkinainfrastruktuureja. Lisäksi asetus luo valvontakehyksen tietyille rahoitusalalle palveluja tuottaville kriittisille ICT-palveluntarjoajille.

Maksupalveluntarjoajille DORA toi yhden merkittävän muutoksen: DORA korvasi PSD2:n mukaisen merkittävien poikkeamien raportoinnin DORAn piiriin kuuluvien maksupalveluntarjoajien osalta. Poikkeamat raportoidaan siis DORAn luokittelu- ja raportointisääntöjen mukaan, ei enää erillisen PSD2-menettelyn kautta.

Asetus noudattaa suhteellisuusperiaatetta. Vaatimusten toteutuksessa otetaan huomioon toimijan koko, riskiprofiili sekä palveluiden luonne ja laajuus. Tietyille pienemmille toimijoille asetus mahdollistaa yksinkertaistetun ICT-riskienhallinnan viitekehyksen. Suomessa DORAn noudattamista valvoo rahoitusalan toimijoiden osalta Finanssivalvonta.

Viisi pilaria

DORAn sisältö jäsennetään yleensä viiteen pilariin, jotka muodostavat yhdessä kokonaisvaltaisen häiriönsietokyvyn kehyksen:

ICT-riskienhallinnan viitekehys

DORAn perusta on dokumentoitu ICT-riskienhallinnan viitekehys. Se ei ole yksittäinen tietoturvapolitiikka, vaan kokonaisuus, joka kattaa strategiat, periaatteet, menettelyt, työkalut ja vastuut. Keskeinen periaate on, että ylin johto vastaa ICT-riskienhallinnasta ja sen riittävyydestä; vastuuta ei voi siirtää kokonaan teknisille yksiköille tai palveluntarjoajille.

Viitekehyksen tulee kattaa koko elinkaari:

• Tunnistaminen: kriittisten toimintojen, tietovarantojen ja niiden riippuvuuksien kartoitus.
• Suojaus ja ennaltaehkäisy: pääsynhallinta, salaus, muutostenhallinta ja haavoittuvuuksien hallinta.
• Havaitseminen: poikkeavan toiminnan valvonta ja hälytykset.
• Reagointi ja palautuminen: jatkuvuus- ja palautumissuunnitelmat sekä niiden testaus.
• Oppiminen: poikkeamien jälkikäteinen analyysi ja havaintojen vieminen käytäntöön.

Tietosuojan näkökulmasta DORAn vaatimukset tukevat suoraan GDPR:n 32 artiklan mukaisia turvatoimia. Aiheesta tarkemmin oppaassa Rahoitustietojen tietosuoja avoimessa pankkitoiminnassa.

Poikkeamien luokittelu ja raportointi

DORA edellyttää, että toimijalla on prosessi ICT-poikkeamien havaitsemiseen, kirjaamiseen ja luokitteluun. Poikkeama luokitellaan merkittäväksi, kun se täyttää teknisissä standardeissa määritellyt kriteerit, jotka liittyvät esimerkiksi vaikutukseen asiakkaisiin, kestoon, maantieteelliseen laajuuteen ja kriittisiin palveluihin.

Merkittävistä ICT-poikkeamista raportoidaan toimivaltaiselle viranomaiselle kolmessa vaiheessa. Määräajat perustuvat komission delegoituun asetukseen (EU) 2025/301:

Lyhyet määräajat tarkoittavat, että raportointi on suunniteltava etukäteen. Luokittelukriteerit, vastuuhenkilöt, päätöksentekoketju ja raporttipohjat on oltava valmiina ennen kuin poikkeama tapahtuu. Käytännössä ensimmäinen ilmoitus tehdään usein puutteellisin tiedoin, ja sitä täydennetään väli- ja loppuraportissa.

Raportointi on myös tiedonlähde valvojalle. Kun poikkeamatiedot kerätään yhtenäisessä muodossa, viranomaiset voivat tunnistaa toimialaa laajemmin koskevia riskejä, kuten saman palveluntarjoajan häiriön vaikutuksia useaan toimijaan. Yksittäisen toimijan kannalta yhtenäinen luokittelu tarkoittaa, että samoja kriteerejä voi hyödyntää myös sisäisessä riskiraportoinnissa ja johdon tilannekuvassa.

Häiriönsietokyvyn testaus

DORA edellyttää riskiperusteista testausohjelmaa, joka voi sisältää esimerkiksi haavoittuvuusarviointeja, verkkoturvallisuuden arviointeja, skenaariopohjaisia testejä, suorituskykytestejä ja lähdekoodin tarkastuksia. Testauksen laajuus suhteutetaan toimijan kokoon ja riskeihin.

Toimivaltaisten viranomaisten nimeämien toimijoiden on lisäksi tehtävä uhkaperusteista penetraatiotestausta (Threat-Led Penetration Testing, TLPT) vähintään kolmen vuoden välein. TLPT-testissä simuloidaan todellisten hyökkääjien toimintaa tuotantoympäristössä, ja sen kohteena ovat kriittiset tai tärkeät toiminnot.

Testauksen arvo syntyy havaintojen käsittelystä. Löydökset on priorisoitava, korjaustoimenpiteet dokumentoitava ja niiden toteutumista seurattava.

Kolmansien osapuolten riskit ja kriittiset palveluntarjoajat

Maksuinfrastruktuuri nojaa yhä useammin pilvipalveluihin, ohjelmistoalustoihin ja ulkoistettuihin palveluihin. DORA ei kiellä ulkoistamista, mutta korostaa, että vastuu säilyy rahoitusalan toimijalla. Keskeiset velvoitteet ovat:

• Tietorekisteri: toimijan on ylläpidettävä rekisteriä kaikista ICT-palveluja koskevista sopimusjärjestelyistään.
• Sopimusehdot: DORAn 30 artikla määrittelee vähimmäissisällön ICT-palvelusopimuksille, kuten palvelukuvaukset, sijaintitiedot, saatavuusvaatimukset, tarkastusoikeudet ja irtisanomisehdot.
• Poistumisstrategiat: kriittisille tai tärkeille toiminnoille on laadittava suunnitelma palveluntarjoajan vaihtamiseksi tai toiminnan palauttamiseksi omaan hallintaan.
• Keskittymisriski: riippuvuus yksittäisestä palveluntarjoajasta on tunnistettava ja arvioitava.

DORA luo myös valvontakehyksen kriittisille ICT-palveluntarjoajille. Euroopan valvontaviranomaiset julkaisivat ensimmäisen luettelon nimetyistä kriittisistä ICT-palveluntarjoajista 18.11.2025, ja ne valvovat näitä palveluntarjoajia suoraan. Nimeäminen ei kuitenkaan poista rahoitusalan toimijan omaa vastuuta riskien hallinnasta.

Käytännössä DORA on monille toimijoille tarkoittanut olemassa olevien sopimusten läpikäyntiä ja tarvittaessa uudelleenneuvottelua. Suurten pilvi- ja ohjelmistotoimittajien vakiosopimuksiin on usein lisätty rahoitusalaa varten laadittuja liitteitä, jotka kattavat asetuksen vaatimukset. Toimijan on silti itse arvioitava, vastaavatko ehdot sen omia riskejä ja kriittisiä toimintoja, sillä vakioliite ei automaattisesti takaa riittävyyttä.

Käytännön toteutus maksuinfrastruktuurissa

Maksupalveluissa häiriönsietokyky näkyy suoraan asiakkaalle: jos maksu ei mene läpi tai sen tila jää epäselväksi, vaikutus on välitön. Siksi DORAn periaatteet kannattaa viedä arkkitehtuuritasolle asti. Keskeisiä suunnitteluperiaatteita on kuvattu tarkemmin teknologia-alueella Transaktioinfrastruktuuri.

• Saatavuus: aktiivinen-aktiivinen-arkkitehtuuri, jossa useampi toimipaikka tai saatavuusvyöhyke käsittelee liikennettä samanaikaisesti.
• Idempotenssi: maksupyyntöjen turvallinen uusiminen häiriön jälkeen ilman kaksoisveloituksia.
• Havainnoitavuus: mittarit, lokit ja jäljitys, joiden avulla poikkeama havaitaan ja luokitellaan nopeasti, mikä on edellytys lyhyiden raportointimääräaikojen noudattamiselle.
• Poistumissuunnitelmat: pilvipalvelun vaihtamisen tai osittaisen palauttamisen tekninen toteutettavuus, kuten tietojen siirrettävyys ja infrastruktuurin kuvaaminen koodina.
• Keskittymisriskin hallinta: kriittisten riippuvuuksien hajauttaminen silloin, kun se on perusteltua ja toteutettavissa.

Arkkitehtuurin lisäksi häiriönsietokykyä on harjoiteltava. Skenaariopohjaisissa harjoituksissa voidaan simuloida esimerkiksi pilvipalvelun saatavuusvyöhykkeen menetystä, selvitysjärjestelmäyhteyden katkeamista tai kriittisen ohjelmistotoimittajan häiriötä. Harjoitukset paljastavat usein puutteita, jotka eivät näy dokumentaatiossa, kuten epäselviä vastuita, puuttuvia yhteystietoja tai liian optimistisia palautumisaika-arvioita.

Tarkistuslista

1. ICT-riskienhallinnan viitekehys on dokumentoitu ja ylimmän johdon hyväksymä.
2. Kriittiset ja tärkeät toiminnot sekä niiden riippuvuudet on kartoitettu.
3. Poikkeamien luokittelukriteerit, vastuut ja raporttipohjat ovat valmiina.
4. Raportointiprosessi on testattu määräaikoja vastaan.
5. Testausohjelma on laadittu ja havaintojen käsittely seurattavissa.
6. ICT-sopimusten tietorekisteri on ajan tasalla.
7. Kriittisten palvelujen sopimukset sisältävät 30 artiklan mukaiset ehdot.
8. Poistumissuunnitelmat on laadittu ja niiden toteutettavuus arvioitu.

Lähteet ja lisälukemista

1. Asetus (EU) 2022/2554 (DORA), EUR-Lex
2. Euroopan pankkiviranomainen (EBA): Joint Technical Standards on major incident reporting
3. ESMA: European Supervisory Authorities designate critical ICT third-party providers
4. Finanssivalvonta