Bestyrelser i finansielle virksomheder hører om NIS2 fra mange sider: i kundernes spørgeskemaer, i tilbud fra rådgivere og i omtaler af de nye cyberregler. For en finansiel enhed efter art. 2 i forordning (EU) 2022/2554 er det DORA, der fastlægger kravene til IKT-risikostyring, hændelser, test og IT-leverandører. NIS2-reglerne i finanssektoren er placeret i kapitel 19 c i lov om finansiel virksomhed og retter sig mod operatører af finansiel digital infrastruktur, som Finanstilsynet udpeger. Forholdet mellem de to regelsæt er omtalt i DORA’s betragtning 16 og i NIS2-direktivets art. 4. For ledelsen er den praktiske konsekvens, at dokumentationen bygges på DORA’s begreber, og at eventuelle NIS2-forpligtelser i koncernen står som et særskilt og afgrænset punkt. Artiklen er ikke juridisk rådgivning.
Hvorfor spørgsmålet dukker op
Der er typisk fire anledninger. En erhvervskunde sender et skema med NIS2 i overskriften. En IT-leverandør skriver i sit tilbud, at løsningen opfylder NIS2. Koncernen har selskaber, som ikke er finansielle enheder, fx et ejendoms- eller IT-selskab. Eller ledelsen har deltaget i et kursus om NIS2 og vil vide, hvad det betyder for virksomheden. I alle fire tilfælde er det første skridt det samme: fastslå, hvilke selskaber der er finansielle enheder, og hvilken regel hver forpligtelse bygger på. Omfanget af DORA er gennemgået i er vi omfattet af DORA?.
Det, DORA dækker
Forordningen er bygget op om de samme emner, som NIS2 behandler, men med egne bestemmelser og egne ord:
- Ledelse og rammen · art. 5 om ledelsesorganet og art. 6 til 15 om rammen for IKT-risikostyring.
- Hændelser · art. 17 til 19 om styring, klassificering og indberetning af større IKT-relaterede hændelser til Finanstilsynet.
- Test · art. 24 til 27 om test af digital operationel modstandsdygtighed.
- Leverandører · art. 28 til 30 om IKT-tredjepartsrisiko, informationsregistret og kontraktkravene.
- Deling og tilsyn · art. 45 om udveksling af oplysninger om cybertrusler og art. 50 om myndighedernes beføjelser.
Begreberne er forordningens egne: ledelsesorganet, IKT-risiko, større IKT-relateret hændelse og kritisk eller vigtig funktion. Fristerne for indberetning er også andre end i NIS2-loven. De er beskrevet i indberetning til Finanstilsynet.
NIS2-reglerne i finanssektoren: kapitel 19 c
Finanstilsynet har en side om NIS2-direktivet i finanssektoren. Den peger på kapitel 19 c i lov om finansiel virksomhed, som indeholder NIS2-regler for operatører af finansiel digital infrastruktur. Det er Finanstilsynet, der udpeger dem.
Har virksomheden modtaget en udpegning, skal ledelsen læse kapitlet og tilsynets side og have et særskilt overblik over de pligter, der følger med. Har virksomheden ikke fået en udpegning, bør ledelsen få bekræftet, at kapitlet ikke angår den, og skrive det ind i omfangsnotatet. Det er en kort øvelse, og den fjerner en usikkerhed, som ellers dukker op igen ved hvert nyt spørgeskema.
Betragtning 16 og NIS2-direktivets art. 4
Samspillet mellem de to EU-regelsæt er omtalt i DORA’s betragtning 16 og i art. 4 i NIS2-direktivet, direktiv (EU) 2022/2555. Ledelsen behøver ikke selv at fortolke dem. Det er dog en god idé, at den, der skriver omfangsnotatet, har læst begge steder i den danske tekst og henviser til dem. Opstår der et konkret fortolkningsspørgsmål, kan det sendes til Finanstilsynet på dora@ftnet.dk.
Selskaber i koncernen, der ikke er finansielle enheder
Mange finansielle koncerner har selskaber, der ikke selv har en finansiel tilladelse. Leverer et af dem IT til de øvrige selskaber, er det i DORA’s terminologi en koncernintern udbyder af IKT-tjenester, jf. art. 3, nr. 20. Aftalerne med det skal derfor med i informationsregistret og opfylde kontraktkravene på samme måde som aftaler med eksterne leverandører.
Om selskabet derudover selv falder ind under NIS2-loven, afgøres efter NIS2-lovens egne regler om sektor og størrelse. Det er et særskilt spørgsmål, som skal besvares for selskabet selv. Hvordan en koncern kan organisere det arbejde, er beskrevet i NIS2 i koncernen.
Det betyder det for ledelsens dokumentation
En finansiel virksomhed, der forsøger at følge begge regelsæt i parallelle dokumenter, får dobbelt arbejde og to sæt begreber, som ikke passer sammen. Et mere robust udgangspunkt ser sådan ud:
- Ét kravregister bygget på DORA. Hver forpligtelse står med artikel, ejer og status. Kapitel 19 c og eventuelle NIS2-forpligtelser i andre selskaber tilføjes som egne linjer. Metoden er beskrevet i kravregistret.
- Ét omfangsnotat. Det angiver, hvilke selskaber der er finansielle enheder, om nogen er udpeget efter kapitel 19 c, og hvilke selskaber der skal vurderes efter NIS2-loven.
- Én fast formulering til kunderne. Når en kunde spørger til NIS2, svarer I med jeres DORA-dokumentation og forklarer kort, hvorfor den er grundlaget. Hvordan et kundeskema besvares konsekvent, står i sikkerhedsspørgeskemaet fra kunden.
Leverandørerne kan opleve samme forvirring fra den anden side, når en finansiel kunde skriver NIS2 i sine krav. Leverandørens udgangspunkt er beskrevet på nis2-pentest.dk under energi, tele og finans.
En ekstern CISO’s del af arbejdet
Den eksterne CISO kan læse de krav, der kommer ind fra kunder og leverandører, og oversætte dem til DORA’s artikler. Han eller hun kan også holde kravregistret og omfangsnotatet opdateret og forberede den del af bestyrelsesmødet, hvor omfanget tages op. Selve konklusionen om, hvilke regler der gælder, er ledelsesorganets, og den skal stå i referatet.
Det skal I lade være med
- At købe en NIS2-pakke til en finansiel enhed · kravene og begreberne følger DORA.
- At føre to parallelle sæt politikker · ét register med henvisninger er lettere at holde ved lige.
- At glemme de selskaber i koncernen, der ikke har en finansiel tilladelse · de skal vurderes hver for sig.
Det skal I kræve af den eksterne
- ☐ Et omfangsnotat, der dækker både DORA og kapitel 19 c.
- ☐ Et kravregister med DORA’s artikler som rygrad.
- ☐ En standardtekst til kunder, der spørger til NIS2.
- ☐ En gennemgang af koncernens selskaber uden finansiel tilladelse.
- ☐ Henvisning til den konkrete bestemmelse ved hvert krav, den eksterne foreslår.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst på EUR-Lex: betragtning 16, art. 2 om anvendelsesområdet, art. 3, nr. 20, om koncerninterne udbydere og art. 5 til 30 om ledelse, hændelser, test og leverandører.
- Direktiv (EU) 2022/2555 (NIS2-direktivet), EUR-Lex: art. 4.
- Finanstilsynet: NIS2-direktivet i finanssektoren: kapitel 19 c i lov om finansiel virksomhed og udpegning af operatører af finansiel digital infrastruktur.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Uden for DORA, men ikke uden IT-krav · Kravregistret
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
