Rapportering av allvarliga IKT-relaterade incidenter och betydande cyberhot

Allvarliga IKT-relaterade incidenter

Kraven på rapportering av allvarliga IKT-relaterade incidenter framgår av artikel 19 i Dora-förordningen och enligt 3 § FI:s föreskrifter (FFFS 2024:20) om rapportering av incidenter och informationsregister enligt EU:s förordning om digital operativ motståndskraft (Dora-föreskrifterna).

Kopplat till Dora-förordningen finns tre tekniska standarder som beskriver detaljer för rapporteringen:

• delegerad förordning (EU) 2024/1772 (RTS) som specificerar kriterierna för klassificering av IKT-relaterade incidenter och cyberhot, fastställande av väsentlighetströsklar och närmare uppgifter om rapporter om allvarliga incidenter.
• delegerad förordning (EU) 2025/301 (RTS) som specificerar innehåll och tidsfrister för den första anmälan av, delrapporten och slutrapporten om allvarliga IKT-relaterade incidenter samt innehållet i den frivilliga anmälan av betydande cyberhot.
• genomförandeförordning (EU) 2025/302 (ITS) som specificerar tekniska genomförandestandarder gällande standardformulär, mallar och förfaranden för att finansiella entiteter ska kunna rapportera allvarliga IKT-relaterade incidenter och anmäla betydande cyberhot.

Enligt artikel 5 i den delegerade förordningen (RTS) ska finansiella företag lämna in rapporter i tre steg enligt följande tidsfrister:

1. Den första anmälan: Så tidigt som möjligt, men under alla omständigheter, inom fyra timmar från det att incidenten klassificerats som en allvarlig IKT-relaterad incident och senast 24 timmar efter det att den finansiella entiteten har blivit medveten om incidenten.
2. Delrapport: Senast inom 72 timmar från det att den första anmälan lämnades in, även om statusen för incidenten eller hanteringen av den inte har förändrats på det sätt som avses i artikel 19.4 b i Dora-förordningen. Finansiella entiteter ska utan onödigt dröjsmål och under alla omständigheter så snart normal verksamhet har återupptagits lämna in en uppdaterad delrapport.
3. Slutrapporten: Senast en månad efter antingen inlämnandet av delrapporten eller, i tillämpliga fall, efter den senaste uppdaterade delrapporten.

Det är upp till den finansiella entiteten att säkerställa att incidentrapporterna inte innehåller säkerhetsskyddsklassificerade uppgifter.

Betydande cyberhot

Enligt Dora-förordningen får finansiella företag även rapportera betydande cyberhot till Finansinspektionen. Denna rapportering sker på frivillig basis och framgår av artikel 19.2 i Dora.

Rapportering om betydande cyberhot kan göras när företaget anser att hotet är relevant för det finansiella systemet, tjänsteanvändarna eller kunderna. Format och innehåll för denna rapportering beskrivs också i de tekniska standarderna, det vill säga de delegerade förordningarna (RTS) och genomförandeförordningen (ITS).

FI:s rapporteringssystem

För de företag som ska rapportera till Finansinspektionen är det FI:s vanliga inrapporteringsplattform Fidac som ska användas. Se länkar nedan för teknisk information om rapporteringen.