EU utser 19 tredjepartleverantörer av IKT-tjänster för driftssäkerhet

De europeiska tillsynsmyndigheterna (EBA, ESMA och EIOPA) har publicerat en första lista över 19 tredjepartleverantörer av information- och kommunikationsteknik (IKT) som bedömts vara kritiska enligt EU:s förordning om digital operativ motståndskraft (DORA). Dessa företag, inklusive stora molnplattformar som Amazon Web Services, Google Cloud och Microsoft, tillhandahåller vitala teknologitjänster till finansinstitut inom EU.

DORA, som trädde i kraft i januari 2025, syftar till att stärka den digitala operativa motståndskraften inom finanssektorn, särskilt med avseende på risker kopplade till koncentrationen av IKT-tjänsteleverantörer. Denna första lista markerar ett betydande steg i implementeringen av DORA-regelverket och omfattar, utöver hyperskalare, även leverantörer av nätverk och datacenter samt specialiserade IKT-tjänsteleverantörer.

De utvalda 19 leverantörerna, såsom Accenture, Bloomberg, Deutsche Telekom och SAP, kommer nu att omfattas av direkt europeisk tillsyn. Deras utnämning baseras på hur viktiga deras tjänster är för finansinstitutens verksamhet och den potentiella systemomfattande påverkan om en störning skulle inträffa.

Tillsynsramverket för DORA specificerar att en av de tre europeiska myndigheterna kommer att agera som primär tillsynsmyndighet (Lead Overseer) för varje leverantör, med stöd av gemensamma granskningsteam. Kritiska leverantörer kommer att få utökade skyldigheter, inklusive rapportering av större incidenter, genomförande av riskbedömningar och regelbundna revisioner.

Trots ökad tillsyn behåller finansinstituten sitt operativa ansvar för utlagda tjänster. DORA etablerar ett enhetligt EU-omfattande tillsynsregim utan att minska finansinstitusens eget ansvar för digital operativ motståndskraft.