挪威金融监管局（Finanstilsynet）宣布，自2026年9月1日起，其本国的信息通信技术（ICT）条例将被欧盟的《数字操作韧性法案》（DORA）取代。此举标志着挪威金融服务业在数字风险管理和运营韧性方面将迎来重大变革，覆盖银行、保险公司、支付机构乃至房产经纪和催收机构，旨在全面提升整个金融生态系统的数字化安全与稳定性。
挪威DORA法案落地：金融ICT监管新里程碑
挪威将采用欧盟的《数字操作韧性法案》（DORA）作为其金融服务业的信息通信技术（ICT）监管框架，这无疑是该国金融科技监管领域的一项重要进展。从2026年9月1日开始，DORA法案将正式取代挪威现有的ICT条例，其影响范围广泛，不仅涵盖传统的银行、投资公司、保险公司等金融机构，还包括房产经纪、催收机构，以及为这些机构提供关键ICT服务的第三方供应商。此举旨在确保整个金融生态系统在面对日益复杂的网络威胁和运营中断时，能够保持高度的数字韧性。
DORA核心要义：全面提升数字操作韧性
DORA法案的核心精神在于构建一个统一且全面的监管框架，以提升金融实体的数字操作韧性。它要求金融机构建立健全的ICT风险管理框架，包括风险识别、保护、检测、响应和恢复能力。法案还特别强调了ICT相关事件的报告机制，要求机构及时向监管机构报告重大事件，以促进信息共享和风险预警。此外，DORA还引入了定期的数字操作韧性测试，例如威胁主导的渗透测试（TIBER-EU），以验证机构应对高级网络攻击的能力。最关键的是，DORA对金融机构与第三方ICT服务提供商之间的合同关系和风险管理提出了严格要求，旨在有效管理供应链中的数字风险。
行业影响：合规挑战与技术投资需求
DORA法案的实施将对挪威金融服务业带来深远影响。首先，受监管实体将面临显著的合规挑战，需要全面评估并改造其现有的ICT治理、风险管理、事件响应和业务连续性计划，以符合DORA的详细要求。这将促使各机构加大对技术基础设施、网络安全工具和专业人才的投入。对于那些依赖外部ICT服务（如云服务、数据中心、软件提供商）的机构而言，它们必须确保其第三方供应商也符合DORA的标准，并对供应商进行严格的风险评估和管理。虽然初期会增加合规成本，但从长远来看，这将有助于提升整个行业的抗风险能力，降低潜在的运营中断和声誉损失。
未来展望：全球趋势与标准化协同
挪威采纳DORA法案，反映了全球金融监管的一个普遍趋势：各国和区域联盟都在加强对数字风险和网络安全的关注。通过与欧盟DORA框架的对齐，挪威不仅能提升自身的数字防御能力，也有助于实现与欧盟在金融服务领域的监管协同，为跨境业务提供更加明确和统一的合规路径。这种标准化和协同将减少金融机构在不同司法管辖区运营时的复杂性，促进欧洲经济区的稳定发展。DORA的落地，预示着金融行业将进入一个更加注重技术韧性、风险透明和供应链安全的时代。
对金融科技基础设施建设的启示
挪威DORA法案的实施，对当前全球范围内的金融科技基础设施建设者而言，提供了重要的启示。构建高可用、高安全的交易系统、支付平台或数字资产交易所，必须将数字操作韧性视为核心设计原则。这意味着在系统架构之初就应融入风险管理框架，确保能够有效识别、抵御并从各类ICT事件中快速恢复。同时，对第三方服务的依赖日益增加，要求系统集成商和开发者不仅关注自身产品的安全性，也要对供应链中的风险进行全面评估与管理。在系统定制开发过程中，应预留灵活的接口和模块，以便未来能快速适应不断变化的监管要求和技术标准，确保系统能够经受住未来数字环境的严峻考验。