Förra veckan publicerade de europeiska tillsynsmyndigheterna sin första samlade rapport enligt DORA. Den visar att 3 383 allvarliga incidenter rapporterades under ett år, där en tredjedel hade gränsöverskridande påverkan enligt EBA. Samtidigt var tredjepartsberoenden en återkommande orsak, vilket pekar på en strukturell sårbarhet i hur affärskritiska tjänster levereras.

Parallellt genomförde ENISA övningen Cyber Europe 2026, där samordnade attacker slog ut transportinfrastruktur och påverkade både logistik och informationsflöden. Enligt ENISA exponerar övningen ett tydligt gap mellan hur kritiska verksamheter är och hur mogna deras skydd faktiskt är.

Samtidigt fortsätter regulatorisk efterlevnad att skärpas. Färska siffror visar att GDPR-böter nu överstiger 7 miljarder euro sedan införandet, med fortsatt hög aktivitet under 2026 enligt europeiska tillsynsmyndigheter. Det är inte längre en juridisk marginalfråga – det är en direkt affärsrisk.

Den strategiska konsekvensen är att operativ resiliens inte längre kan hanteras isolerat i organisationen. Ledning och styrelse ansvarar nu tydligt för att förstå beroenden, säkerställa styrning av leverantörsled och kunna visa faktisk motståndskraft enligt DORA och NIS2. Det handlar inte om att undvika incidenter, utan om att visa att verksamheten klarar dem utan oacceptabla affärskonsekvenser.

Vad många underskattar

Många organisationer fokuserar fortfarande på interna kontroller. De största riskerna finns ofta utanför den egna kontrollen – i leverantörsledet.

Tre saker att göra nu

• Genomför en styrelsegenomgång av era kritiska beroenden och identifiera var tredje part utgör en affärsrisk.
• Säkerställ att incidentrapportering och beslutsvägar uppfyller kraven i DORA och NIS2, inklusive ledningens involvering.
• Ställ konkreta krav på leverantörer kring resiliens, transparens och rapportering – och följ upp dem.

Källor
ESAs publish the first report on DORA major ICT-related incidents – European Banking Authority
https://www.eba.europa.eu/publications-and-media/press-releases/esas-publish-first-report-dora-major-ict-related-incidents

Cyber Europe 2026 – ENISA
https://www.enisa.europa.eu/

GDPR Enforcement Tracker – CMS
https://www.enforcementtracker.com/