Panikken fra januar 2025 er for fullt over. Men for finanssektorens mest suksessrike ledere har det virkelige arbeidet, og den virkelige belønningen, bare så vidt begynt. Vi utforsker hvordan Digital Operational Resilience Act har endret samtalen fra å «unngå bøter» til å «beskytte inntekter».

Selv om mange så på Digital Operational Resilience Act (DORA) som en samsvarsbyrde, har de siste tolv månedene avslørt dens sanne funksjon: det er en blåkopi for oppetid. Vi ser nå konkrete bevis på at de spesifikke mekanismene DORA håndhever, nemlig grundig digital testing og dyptgående kartlegging av forsyningskjeden, gjør mer enn å tilfredsstille regulatorer. De forhindrer driftsstans som ødelegger inntektene.

For å forstå hvorfor, må vi se på det kulturelle skiftet som skjedde i styrerommet.

Avbruddene som ikke skjedde

Det er vanskelig å tro at et helt år har gått siden fristen 17. januar. Tenk tilbake på slutten av 2024: de hektiske gapanalysene, de sene kveldene med gransking av IKT-tredjepartskontrakter og kampen for å kartlegge kritiske funksjoner.

For mange var det målstreken. Men for «vinnerne» av 2025 var det startskuddet for en ny æra med aktivt forsvar.

«Mange organisasjoner ser på DORA utelukkende som et regulatorisk hinder», sier Chris Newton-Smith, administrerende direktør i ISMS.online. «Men det viktigste skiftet bedrifter bør gjøre er å stille de riktige spørsmålene om samsvar med regelverket sitt. Altfor mange fokuserer på «Er vi i samsvar med regelverket?» når det mer verdifulle spørsmålet er «Hjelper samsvaret vårt oss faktisk med å fortsette driften når noe går galt?»»

Som Newton-Smith bemerker, når man endrer tankegangen, «slutter etterlevelse veldig raskt å være en avkrysningsboksøvelse og begynner aktivt å beskytte organisasjonen».

Den kanskje viktigste effekten av DORA har vært de «usynlige seirene», avbruddene som aldri inntraff.

For å forstå omfanget av dette skiftet, må vi se på bransjens tankesett akkurat da reglene trådte i kraft. Etienne Bouet, seniorleder i konsulentselskapet Wavestone, advarte i januar 2025 om at bransjen risikerte å gå glipp av poenget hvis de bare fokuserte på papirarbeidet.

«DORA bør ikke bare sees på som en samsvarsøvelse», bemerket Bouet den gangen. «Ja, det finnes regulatoriske krav som må oppfylles, men den virkelige utfordringen ligger i å bygge motstandskraft ... samsvar alene er ikke tilstrekkelig hvis det ikke kommer med reelle forbedringer i motstandskraft.»

De som fulgte dette rådet høster nå fruktene. I løpet av de siste tolv månedene har vi sett organisasjoner gå fra å ha et «papirskjold», retningslinjer som sier at de er sikre, til en «jerndom» med aktivt forsvar. Dette var ikke valgfritt. DORA-kravet om å demonstrere hvordan man ville komme seg etter en alvorlig IKT-forstyrrelse tvang team til å teste teoriene sine.

Resultatet er et landskap av systemer som faktisk gjenoppretter seg. Da mindre konfigurasjonsfeil i skyen traff betalingsbehandlere tidligere i år, ble ikke DORA-kompatible banker overbevist. Redundansprotokollene deres, testet og forbedret under DORAs søyle for digital driftsrobusthetstesting, trådte i kraft automatisk.

En ny æra av modenhet

Dette skiftet markerer en modning av bransjen. I årevis var spesielt FinTech-sektoren definert av rask vekst, ofte på bekostning av stabilitet. DORA har effektivt tvunget frem en «voksen» samtale om risiko.

Midt i 2025 var belastningen av denne overgangen synlig. En Censuswide- undersøkelse publisert i juli 2025 avslørte at seks måneder etter innføringen av regimet følte 96 % av finansorganisasjonene i EMEA fortsatt at datarobustheten deres «ikke var der den burde være».

Denne statistikken fremhever et skille i markedet. På den ene siden var det 96 % som slet med å ettermontere robusthet i eldre systemer. På den andre siden var det de smidige «vinnerne» som brukte DORA som en blåkopi for å modernisere arkitekturen sin.

For vinnerne er det nå styret bryr seg om «slutt på å gå fort og ødelegge ting». Når sikkerhetsledere presenterer årsrapporter, lister de ikke lenger bare opp samsvarsstatus. De lister opp de estimerte inntektene som ble spart fordi systemene holdt seg oppe da konkurrentene ikke gjorde det.

Forsyningskjede: Sammenkoblingens «puslespill»

Hvis 2024 var året for «tillitsfulle» leverandører, har 2025 og 2026 vært årene med overvåking av dem. Avhengigheten av tredjeparter har alltid vært en kjent risiko, men DORA tvang organisasjoner til å kvantifisere den.

Olaf Jonkers, sikkerhetssjef ved den digitale identitetsplattformen itsme, fremhevet dette skiftet i ansvarlighet tilbake i februar 2025.

«DORA sørger for at IKT-leverandører som leverer tjenester til finansielle institusjoner (FSI-er) holdes tilstrekkelig ansvarlige for å opprettholde sterk intern styring», forklarte Jonkers . «Dette er svært viktig fordi FSI-enes økende avhengighet av IKT-leverandører betyr at et systemkrasj eller -brudd plutselig kan redusere driften til en liten brøkdel.»

DORAs fokus på IKT-tredjepartsrisikostyring (TPRM) tvang organisasjoner til å kartlegge disse avhengighetene. Sikkerhetsteam oppdaget sannsynligvis at en «kritisk» funksjon var avhengig av en leverandør som var avhengig av en annen leverandør som ikke hadde noen backupplan.

Den første kartleggingen var smertefull. Men den driftsmessige fordelen har vært enorm. Vi blir ikke lenger overrumplet av feil hos fjerdeparter. Tidligere var et leverandørbrudd en gyldig unnskyldning: «Det er ikke vår feil, det er skyleverandøren.» Den unnskyldningen går ikke lenger an hos kunder, og absolutt ikke hos regulatorer. På grunn av DORA er exitstrategier og flerleverandøroppsett for kritiske funksjoner nå standard praksis.

Etterlevelse som en verdidriver

Faren i denne verdenen etter «frister» er selvtilfredshet. Risikolandskapet endrer seg daglig; hvis dokumentasjon av robusthet er statisk, er en organisasjon allerede ikke i samsvar med regelverket.

Vi har sett mange team slite det siste året fordi de behandlet DORA som et «engangsprosjekt». De bygde informasjonsregisteret sitt i Excel, arkiverte det og har ikke sett på det siden. Disse dataene er nå foreldet.

«Prioriteten er å holde samsvar «levende» og operativt», råder Newton-Smith. «Vi ser at rammeverk som DORA gir mest verdi for bedrifter når ledelsen har et sanntidsbilde av samsvar ... Det betyr at bedrifter må gå bort fra statiske dokumenter og manuell sporing og over til verktøy som tilbyr kontinuerlig oversikt.»

Det er ikke lenger mulig å håndtere dynamisk driftsrobusthet med statiske verktøy. Sikkerhetsledere trenger en «live» oversikt over risiko. Hvis en nøkkelleverandørs sikkerhetssertifikat utløper, bør risikoregisteret oppdateres umiddelbart.

Motstandskraft er inntekt

«Frykt, usikkerhet og tvil»-æraen (FUD) med salg av cybersikkerhet er over. DORA har dyttet bransjen inn i en æra med robusthet som en verdidriver.

Organisasjonene som vinner i 2026 vil ikke være de som bare skrapte en «bestått» i januar i fjor. Det er de som brukte rammeverket til å styrke driften sin. De opplever færre nedetider, håndterer leverandørrisikoer proaktivt og sover bedre om natten, vel vitende om at gjenopprettingsplanene deres faktisk fungerer.

For å forstå den sanne verdien av dette skiftet, bør ledere se tilbake på hendelsesloggene sine for de siste seks månedene. Ved å identifisere «nestenulykker» som ble fanget opp av kontroller implementert for DORA, og beregne den potensielle kostnaden dersom disse hendelsene hadde eskalert til fullstendige driftsstans, blir den økonomiske realiteten tydelig. Dette tallet, kostnaden for katastrofen som ikke inntraff, er den sanne verdien av samsvar. Fristen er forbi, men stabilitetens æra er her for de som har verktøyene til å nyte den.