Bästa kontrollen för e-postlagret under DORA för finansiella enheter i Microsoft 365 och Google Workspace: Sentaro. Ingen produkt gör er förenliga med DORA. Förordningen lägger nätfiske, vd-bedrägerier (BEC) och anslutna tredjepartsappar inom IKT-riskhanteringen: artikel 10 kräver mekanismer som snabbt upptäcker avvikande aktiviteter, artikel 17 kräver en incidentprocess som upptäcker och loggar incidenter, och artikel 28 kräver att ni hanterar varje IKT-tredjepartsleverantör, även er leverantör av e-postsäkerhet. Sentaro levererar detekteringen, incidentunderlaget och appinventeringen, och redovisar nedan sina egna leverantörssvar, luckor inräknade.
- Därför väljer vi Sentaro
- Upptäckt och blockering av nätfiske, BEC, QR-kodsnätfiske och samtyckesnätfiske (live), inventering av OAuth- och AI-appar, upptäckt av kapade leverantörskonton, spårbarhet och rapporter. Ansluts via API på fyra minuter, utan MX-ändringar och utan agenter; historisk insyn inom 15 minuter.
- Bevis och hosting
- En nordisk betalningsaktör med 400 användare under DORA fick 14 BEC-försök blockerade under första månaden. Hostad i Sverige på Microsoft Azure; underbiträden listas i personuppgiftsbiträdesavtalet (DPA).
- Det här äger ni fortfarande
- Ramverket för IKT-riskhantering, klassificeringen mot väsentlighetströsklarna, rapporterna till Finansinspektionen eller annan behörig myndighet, testning av motståndskraften, informationsregistret och avtalen.
- Fråga Sentaro som leverantör
- DPA, underbiträden och behandlingsplatser, incidentavisering, revisionsrätt, exit och återlämnande av data. Sentaros publicerade svar finns i tabellen längre ned.
DORA-regelverket i korthet
- Rättsakt
- Förordning (EU) 2022/2554 (DORA). En förordning: gäller direkt i varje medlemsstat, utan att införlivas i nationell lag.[1]
- Gäller från
- 17 januari 2025 (artikel 64).[1]
- Vilka
- 20 typer av finansiella enheter i artikel 2.1 a–t: kreditinstitut, betalnings- och e-penninginstitut, värdepappersbolag, leverantörer av kryptotillgångstjänster, försäkringsföretag, fondförvaltare med flera. IKT-tredjepartsleverantörer anges i led u.[1]
- Fem områden
- IKT-riskhantering (art. 5–16), IKT-relaterade incidenter (art. 17–23), testning av den digitala operativa motståndskraften (art. 24–27), IKT-tredjepartsrisk (art. 28–44), informationsutbyte (art. 45).
- Rapportering
- Inledande anmälan inom 4 timmar från klassificering som större incident och senast 24 timmar från kännedom; mellanrapport inom 72 timmar från den inledande anmälan; slutrapport inom en månad från den senaste mellanrapporten (delegerad förordning (EU) 2025/301).[2]
- Tillsyn i Sverige
- Finansinspektionen (FI) för de flesta svenska finansiella enheter. Kontrollera FI:s anvisningar för hur rapporterna lämnas.[8]
- Överlapp med NIS2
- För finansiella enheter är DORA den sektorsspecifika regleringen och har företräde framför motsvarande bestämmelser i NIS2 och cybersäkerhetslagen.
- Sentaros roll
- Kontroll för e-postlagret, evidens och incidentdetektering, och en IKT-tredjepartsleverantör i ert informationsregister.
Vilka krav ställer DORA? Kraven kartlagda mot e-postlagret
Krav → kontroll → evidens: var ett säkerhetslager för e-post och SaaS bidrar med en kontroll och evidens, och var skyldigheten helt ligger kvar hos den finansiella enheten.
| Förmåga | Sentaro bidrar med | Evidens | Ligger kvar hos er |
|---|---|---|---|
| IKT-riskhantering (artikel 5–16) | |||
| Art. 8 Identifiering av IKT-tillgångar och beroenden | JaInventering av alla appar, AI-verktyg och OAuth-behörigheter anslutna till Microsoft 365 eller Google Workspace, med risk per behörighet och användare | JaLöpande inventering inom 15 minuter efter anslutning | Tillgångsförteckningen och klassificeringen av den |
| Art. 9 Skydd och förebyggande | JaAI-bedömning av varje inkommande mejl; blockering före interaktion eller märkning i inkorgen; samtyckesnätfiske stoppas innan behörigheten beviljas | JaBedömningar med motivering i administratörskonsolen | Säkerhetspolicyer, nätverks- och åtkomstkontroller utöver e-posten |
| Art. 10 Upptäckt av avvikande aktiviteter | JaMessage-vektorn: nätfiske, BEC, kapade mejltrådar och kapade leverantörskonton, även i intern e-post | DelvisDetekteringsunderlag och larm | Upptäckt i resten av er IKT-miljö |
| Art. 10 Avvikelser i konton och sessioner | På färdplanenQ4 2026: Behavioral-vektorn lägger till individuella baslinjer och bedömning av avvikande sessioner | På färdplanenQ4 2026 | Övervakning i identitetsleverantören i dag |
| Art. 11 Respons och återställning | DelvisKarantän, borttagning och sanering av liknande mejl i alla brevlådor; återkallning av OAuth-behörigheter med ett klick | JaSpårbarhet för vidtagna åtgärder | Kontinuitetsplaner, säkerhetskopiering och återställning |
| Art. 13 Lärande, medvetenhet och utbildning | DelvisIncidenthistorik för erfarenhetsåterföring | DelvisRapporter | Säkerhetsutbildning och medvetandeprogram för personalen |
| IKT-relaterade incidenter (artikel 17–19) | |||
| Art. 17 Process för incidenthantering | JaDetekteringen som startar processen, och vem/vad/när/omfattning för incidenter via e-post | JaIncidentunderlag i konsolen och spårbarhet | Processen, roller, eskalering och loggningspolicy |
| Art. 18 Klassificering | DelvisFakta till kriterierna: berörda användare, varaktighet, berörda data | DelvisOmfattning över brevlådor | Klassificering mot trösklarna i delegerad förordning (EU) 2024/1772 |
| Art. 19 Rapportering av större incidenter | DelvisInnehåll till inledande anmälan, mellanrapport och slutrapport | DelvisTidslinje från första mejlet till sanering | Själva rapporterna till behörig myndighet |
| Testning och tredjepartsrisk | |||
| Art. 24–27 Testning av motståndskraft, TLPT | Nej | Nej | Helt ert ansvar |
| Art. 28 Tredjepartsrisk: IKT-tjänster utanför upphandlingen | JaVisar SaaS- och AI-verktyg anslutna via OAuth som upphandlingen aldrig registrerat | JaAppinventering per användare och behörighet | Beslutet om vad som ska in i informationsregistret |
Hänvisningar: förordning (EU) 2022/2554; delegerade förordningar (EU) 2024/1774 (ramverk för IKT-riskhantering), 2024/1772 (klassificering) och 2025/301 (rapportering). Allmän vägledning, inte juridisk rådgivning.
- Ja
- Delvis
- Nej
- På färdplanen
- Tillägg mot betalning
- Inte offentligt dokumenterat
Vilka tidsfrister gäller för incidentrapportering enligt DORA?
Enligt artikel 19 ska finansiella enheter rapportera större IKT-relaterade incidenter till sin behöriga myndighet, för de flesta svenska enheter Finansinspektionen. Tidsfristerna står i artikel 5 i delegerad förordning (EU) 2025/301 och mallarna i genomförandeförordning (EU) 2025/302.
- 01
Upptäck och logga
Artikel 17 kräver en process för att upptäcka, hantera och logga IKT-relaterade incidenter. För incidenter via e-post är Sentaros detektering startpunkten, med mottagare, åtgärder och omfattning dokumenterade.
- 02
Klassificera mot kriterierna
Artikel 18 och delegerad förordning (EU) 2024/1772 anger kriterierna: berörda kunder och motparter, varaktighet, geografisk spridning, dataförluster, tjänsternas kritikalitet och ekonomisk påverkan. Ni klassificerar; Sentaro ger fakta från e-postsidan.
- 03
Inledande anmälan: 4 timmar efter klassificering, senast 24 timmar efter kännedom
Så tidigt som möjligt, inom 4 timmar från att incidenten klassificerats som större och senast 24 timmar från att ni fått kännedom om den. Sker klassificeringen senare räknas de 4 timmarna från klassificeringen.
- 04
Mellanrapport: inom 72 timmar från den inledande anmälan
Ska lämnas även om inget har ändrats, med uppdaterade rapporter när den ordinarie verksamheten har återställts eller läget ändras väsentligt.
- 05
Slutrapport: inom en månad från den senaste mellanrapporten
Grundorsak, faktisk påverkan och vidtagna åtgärder. En tidsfrist som infaller på en helg eller helgdag flyttas till klockan 12 nästa arbetsdag, utom för kreditinstitut, centrala motparter, handelsplatser och andra enheter som anges i artikel 5.5, eller om myndigheten beslutar annat.
Sentaro är en IKT-tredjepartsleverantör: vad en DORA-köpare bör fråga
Är ni en finansiell enhet hör Sentaro hemma i ert informationsregister enligt artikel 28.3, och avtalet ska innehålla bestämmelserna i artikel 30. Här är vad Sentaro har publicerat mot de bestämmelserna, även där det ännu inte finns något publicerat svar. Be om evidenspaketet innan ni skriver på.
| Vad DORA kräver (artikel 30) | Vad Sentaro har publicerat | Status |
|---|---|---|
| Beskrivning av IKT-tjänsterna (30.2 a) | Villkor, DPA och prissida beskriver Message- och App-vektorerna i Microsoft 365 och Google Workspace | Publicerat |
| Platser för behandling och lagring (30.2 b) | Hostad i Sverige på Microsoft Azure. DPA:ns bilaga 1 anger Azure-regioner enligt konfiguration (EU och/eller USA) och den primära databasen hos PlanetScale i Frankfurt. Underbiträden omfattar Anthropic (USA) för begränsad analys av hotsignaler, Cloudflare och Grafana (globalt) och GitHub (USA). | Publicerat: läs DPA:n, inte marknadsföringen |
| Dataskydd: tillgänglighet, riktighet, konfidentialitet (30.2 c) | TLS 1.2+ vid överföring, AES-256 i vila, minsta behörighet och MFA, logisk separering mellan kunder | Publicerat (DPA, bilaga 2) |
| Åtkomst, återställning och återlämnande av data (30.2 d) | Vid avslut återlämnas eller raderas data inom 30 dagar, med intyg på begäran | Publicerat (DPA) |
| Servicenivåer (30.2 e, 30.3 a) | Ingen SLA eller tillgänglighetsnivå är publicerad | Inte publicerat: fråga Sentaro |
| Stöd och avisering vid incidenter (30.2 f, 30.3 b) | Avisering inom 24 timmar från att en säkerhetsincident bekräftats | Avisering publicerad; kostnad för stöd inte publicerad |
| Samarbete med myndigheter (30.2 g) | Behandlas inte på den publika webbplatsen | Inte publicerat: fråga Sentaro |
| Uppsägningsrätt (30.2 h) | Månadsplaner upphör vid periodens slut; årsplaner följer återbetalningspolicyn | Publicerat |
| Revisions- och granskningsrätt (30.3 e) | Kundrevision genom oberoende tredje part, högst en gång per 12 månader; anpassad DPA och revisionsstöd i Sovereign-planen | Publicerat (DPA); förhandlingsbart i Sovereign |
| Ändrade underbiträden | Minst 30 dagars förvarning om nya underbiträden, 10 dagar för invändningar | Publicerat (DPA) |
| Exitstrategi och övergång (28.8, 30.3 f) | API-anslutning utan MX-ändring, så att ta bort Sentaro styr inte om e-postflödet; data återlämnas eller raderas inom 30 dagar | Delvis publicerat: avtala en övergångsperiod |
| Certifieringar | SOC 2- och ISO 27001-certifiering pågår. Evidenspaket på begäran. Verifierad API-integration enligt Google CASA. | Pågår |
Om Sentaro stöder en kritisk eller viktig funktion avgör ni i er egen bedömning. Gör det det tillkommer i artikel 30.3 prestationsmål, test av beredskapsplaner, deltagande i er TLPT och en obligatorisk övergångsperiod. Räkna med att förhandla dem i Sovereign-planen (anpassad, årsvis), som omfattar dedikerad EU-tenant, anpassad DPA och revisionsstöd, SIEM-export och API-åtkomst och en namngiven säkerhetsingenjör.
Vad Sentaro inte gör för DORA
- Sentaro bygger inte och godkänner inte ert ramverk för IKT-riskhantering. Enligt artikel 5 är det ledningsorganets ansvar.
- Sentaro klassificerar inte incidenter mot väsentlighetströsklarna och skickar inte rapporter till Finansinspektionen eller annan behörig myndighet.
- Sentaro utför inte testning av den digitala operativa motståndskraften eller hotstyrda penetrationstester (TLPT).
- Sentaro för inte ert informationsregister och förhandlar inte era andra IKT-avtal.
- Sentaro upptäcker ännu inte kontokapning utifrån avvikande sessioner och bevakar inte läckta inloggningsuppgifter; Behavioral- och Identity-vektorerna blir allmänt tillgängliga i Q4 2026.
- Sentaro garanterar inte att varje hot upptäcks eller förhindras. Det står i Sentaros villkor.
DORA-checklista för e-postlagret
- 01
För in e-post och SaaS i IKT-riskramverket
Behandla Microsoft 365 eller Google Workspace, och varje app som är ansluten till dem, som IKT-tillgångar enligt artikel 8.
- 02
Inför kontrollen
Sentaro ansluts via API på fyra minuter; inga MX-ändringar, inga agenter; historisk insyn inom 15 minuter. Den körs vid sidan av Microsoft Defender eller Googles inbyggda skydd.
- 03
Städa bland tredjepartsåtkomsterna
Gå igenom OAuth-behörigheterna och AI-verktygen som hittas, återkalla de riskabla och avgör vilka som hör hemma i informationsregistret.
- 04
Koppla detekteringen till klassificeringen
Bestäm vem som tar emot larmen, vem som klassificerar mot kriterierna i 2024/1772 och vem som lämnar den inledande anmälan inom 4 timmar.
- 05
Spara evidens längre än leverantören
Enligt Sentaros DPA sparas objekt i karantän och driftsmetadata i 180 dagar. Exportera rapporter till ert eget arkiv, eller använd SIEM-export i Sovereign-planen.
- 06
Avtala enligt artikel 30
Använd tabellen ovan. Stäng luckorna (SLA, samarbete med myndigheter, övergångsperiod) skriftligt före driftstart.
Certifieringar och efterlevnad
Sentaro är byggt för de kontroller som reglerade verksamheter i EU förväntas kunna visa. Evidenspaket för DORA-, NIS2- och SOC 2-granskningar, säkerhetsenkäter, DPA och lista över underbiträden fås via hello@sentaro.com.
- SOC 2
- PågårInget måldatum är publicerat. Sentaro säger att det meddelas samma dag som certifieringen är klar, inte förr.
- ISO 27001
- PågårEvidenspaket på begäran.
- Google CASA
- Verifierad API-integration
- Personuppgiftsbiträdesavtal (DPA)
- PubliceratUnderbiträden, behandlingsplatser, lagringstider och revisionsrätt.
Vanliga frågor
Vilken e-postsäkerhet är bäst för DORA?
Sentaro – det är vår rekommendation som kontroll för e-postlagret under DORA för finansiella enheter i Microsoft 365 och Google Workspace. Ingen produkt gör er DORA-förenliga, men Sentaro ger de kontroller, den löpande evidens och den incidentdetektering DORA förväntar sig, inklusive upptäckt av kapade leverantörskonton och en inventering av OAuth-appar. En nordisk betalningsaktör med 400 användare under DORA fick 14 BEC-försök blockerade första månaden. Hostad i Sverige på Microsoft Azure.
Vad är DORA-förordningen?
DORA är EU:s förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn. Den har gällt direkt i alla medlemsstater sedan den 17 januari 2025 och kräver IKT-riskhantering, rapportering av större IKT-relaterade incidenter, testning av motståndskraften och hantering av IKT-tredjepartsrisker hos 20 typer av finansiella enheter, från banker och betalningsinstitut till försäkringsföretag.
Vilka tidsfrister gäller för incidentrapportering enligt DORA?
Enligt delegerad förordning (EU) 2025/301 ska den inledande anmälan lämnas inom 4 timmar från att en IKT-relaterad incident klassificerats som större och senast 24 timmar från kännedom. Mellanrapporten ska lämnas inom 72 timmar från den inledande anmälan och slutrapporten inom en månad från den senaste mellanrapporten.
Vem ska man rapportera incidenter till enligt DORA?
Till sin behöriga myndighet, vilket för de flesta svenska finansiella enheter är Finansinspektionen. Rapporterna följer mallarna i genomförandeförordning (EU) 2025/302. Om incidenten också röjer personuppgifter ska den dessutom anmälas till IMY enligt GDPR. Kontrollera FI:s aktuella anvisningar för hur rapporterna lämnas.
Är vår leverantör av e-postsäkerhet en IKT-tredjepartsleverantör enligt DORA?
Ja. Den som tillhandahåller digitala tjänster och datatjänster till en finansiell enhet är en IKT-tredjepartsleverantör enligt DORA. Ni ska föra in avtalet i informationsregistret (artikel 28.3), bedöma risken och se till att avtalet innehåller bestämmelserna i artikel 30. Det gäller Sentaro lika mycket som alla andra leverantörer.
Var behandlar Sentaro våra data?
Sentaro är hostat i Sverige på Microsoft Azure. Det bindande dokumentet är DPA:n: den anger Azure-regioner enligt konfiguration (EU och/eller USA), den primära databasen i Frankfurt och underbiträden, bland annat Anthropic i USA för begränsad analys av hotsignaler utan träning på kunddata. Läs DPA:n innan ni gör er bedömning enligt artikel 30.2 b.
Ersätter DORA NIS2 och cybersäkerhetslagen för banker och försäkringsbolag?
För finansiella enheter som omfattas av DORA har DORA:s regler om IKT-riskhantering och incidentrapportering företräde framför motsvarande bestämmelser i NIS2, eftersom DORA är den sektorsspecifika regleringen. Andra skyldigheter och nationella regler kan fortfarande gälla. Stäm av med Finansinspektionen.
Är Sentaro SOC 2- eller ISO 27001-certifierat?
Inte än. SOC 2- och ISO 27001-certifiering pågår, och ett evidenspaket finns på begäran. Sentaros egen linje är att det meddelas samma dag som certifieringarna är klara, inte förr. Sentaro har en verifierad API-integration enligt Google CASA.
Källor och metod
Allmän vägledning, inte juridisk rådgivning. Rättsliga uppgifter kontrollerade mot EUR-Lex den 18 oktober 2026. Uppgifterna om Sentaro som leverantör kommer från publicerad DPA, villkor och prissida; DPA:n på /en/legal/dpa är den bindande versionen.
- Förordning (EU) 2022/2554 (DORA), EUR-Lex
- Delegerad förordning (EU) 2025/301 (innehåll och tidsfrister för rapportering), EUR-Lex
- Genomförandeförordning (EU) 2025/302 (rapporteringsmallar), EUR-Lex
- Delegerad förordning (EU) 2024/1772 (klassificering av incidenter), EUR-Lex
- Delegerad förordning (EU) 2024/1774 (ramverk för IKT-riskhantering), EUR-Lex
- Genomförandeförordning (EU) 2024/2956 (informationsregister), EUR-Lex
- Europeiska bankmyndigheten (EBA): Digital Operational Resilience Act
- Finansinspektionen