DORA, forordning (EU) 2022/2554, har efter art. 64 været gældende siden den 17. januar 2025, og den virker direkte i Danmark uden en dansk lov imellem. Om jeres virksomhed er omfattet, følger af art. 2. Stk. 1 opregner virksomhedstyperne i litra a til u, og stk. 3 tager seks grupper ud igen. Finanstilsynet har lagt en liste over omfattede typer på sin hjemmeside, og den er en god hjælp, når forordningens betegnelser skal kobles til en dansk tilladelse. Det afgørende er stadig forordningens egen tekst. Ledelsen bør derfor have svaret skrevet ned med henvisning til den litra, der passer på jer, og med en vurdering af undtagelserne. Artiklen viser, hvordan I kommer frem til svaret, og hvem der skal stå bag det. Den er ikke juridisk rådgivning.
Tre trin i vurderingen
Spørgsmålet om omfang kan deles op i tre led, som hver giver en linje i ledelsens notat:
- Typen. Hvilken litra i art. 2, stk. 1, svarer til jeres tilladelse eller registrering?
- Undtagelsen. Passer en af de seks undtagelser i art. 2, stk. 3, på jer?
- Rammen. Er I omfattet, skal I vide, om I er mikrovirksomhed, om I hører under den forenklede ramme i art. 16, eller om hele forordningen gælder.
Det tredje led afgør, hvor meget arbejde der følger med. Det er beskrevet i den forenklede ramme i artikel 16 og i mikrovirksomhed under DORA.
Typerne i art. 2, stk. 1
Typerne i litra a til u kan grupperes sådan:
- Bank og betaling: kreditinstitutter, betalingsinstitutter, kontooplysningstjenesteudbydere og e-pengeinstitutter. For betalings- og e-pengeinstitutter gælder forordningen også dem, der er undtaget efter de direktiver, der regulerer dem.
- Investering og forvaltning: investeringsselskaber, forvaltere af alternative investeringsfonde, administrationsselskaber, udbydere af crowdfundingtjenester samt udbydere af kryptoaktivtjenester med tilladelse efter MiCA og udstedere af aktivbaserede tokens.
- Markedsinfrastruktur og data: værdipapircentraler, centrale modparter, markedspladser, transaktionsregistre, udbydere af dataindberetningstjenester, securitiseringsregistre, kreditvurderingsbureauer og administratorer af kritiske benchmarks.
- Forsikring og pension: forsikrings- og genforsikringsselskaber, forsikringsformidlere, genforsikringsformidlere og accessoriske forsikringsformidlere samt arbejdsmarkedsrelaterede pensionskasser.
Typerne i litra a til t kaldes efter stk. 2 under ét for “finansielle enheder”, og det er dem, kravene til risikostyring, hændelser og test retter sig mod. Litra u nævner tredjepartsudbydere af IKT-tjenester. De er med, fordi forordningen også regulerer forholdet til leverandørerne, og fordi nogle af dem kan udpeges som kritiske efter art. 31.
Bemærk ordene om undtagne betalings- og e-pengeinstitutter. En undtagelse i et andet direktiv kan have betydning for, hvilken ramme der gælder i DORA, men virksomheden er stadig omfattet.
Undtagelserne i art. 2, stk. 3
Forordningen gælder ikke for:
- små forvaltere af alternative investeringsfonde efter art. 3, stk. 2, i direktiv 2011/61/EU,
- forsikrings- og genforsikringsselskaber omhandlet i art. 4 i Solvens II-direktivet,
- arbejdsmarkedsrelaterede pensionskasser med højst 15 medlemmer i alt,
- personer undtaget efter art. 2 og 3 i MiFID II,
- formidlere af forsikring og genforsikring, de accessoriske medregnet, når de er mikro-, små eller mellemstore virksomheder,
- postgirokontorer.
Efter stk. 4 kan medlemsstaterne desuden undtage visse enheder, som er nævnt i art. 2, stk. 5, nr. 4 til 23, i direktiv 2013/36/EU. Om og hvordan den mulighed er brugt i Danmark, bør I få afklaret via Finanstilsynets liste eller ved at spørge tilsynet direkte.
Står I uden for på grund af en undtagelse, er der stadig krav at forholde sig til. Det er emnet i uden for DORA, men ikke uden IT-krav, og formidlerne har deres egen artikel om forsikringsformidlere og DORA.
Finanstilsynets liste og forordningens tekst
Listen fra Finanstilsynet oversætter forordningens kategorier til de tilladelser, danske virksomheder har. For de fleste giver den et hurtigt svar. Der er tre situationer, hvor ledelsen bør gå videre til forordningens tekst:
- Virksomheden har flere tilladelser, som peger på forskellige litra.
- Tilladelsen er ny, ændret eller under behandling.
- Virksomheden mener, at en undtagelse i stk. 3 passer, og skal kunne forklare hvorfor.
Er der tvivl, kan spørgsmål sendes til Finanstilsynet på dora@ftnet.dk. Tilsynet henviser også til de europæiske tilsynsmyndigheders spørgsmål og svar, hvor fortolkningsspørgsmål bliver besvaret løbende. Gem svaret sammen med notatet.
Hvem i ledelsen der skal stå bag svaret
Efter art. 5, stk. 2, litra a, har ledelsesorganet det endelige ansvar for styringen af virksomhedens IKT-risiko. Konklusionen om, hvorvidt og hvordan forordningen gælder, er grundlaget for alt det, ledelsesorganet derefter skal godkende. Den hører derfor hjemme i et bestyrelsesreferat og bør bygge på et kort notat, der indeholder:
- virksomhedens tilladelser og den litra i art. 2, stk. 1, hver af dem svarer til,
- en vurdering af hver relevant undtagelse i stk. 3, også dem, der er fravalgt,
- størrelsen: er virksomheden mikrovirksomhed, dvs. under 10 ansatte og under en omsætnings- eller balancegrænse, se art. 3, nr. 60,
- om virksomheden står på listen i art. 16, stk. 1,
- dato, forfatter og eventuelle svar fra Finanstilsynet.
Notatet skal tages op igen, når tilladelsen ændres, når virksomheden vokser forbi en grænse, eller når den indgår i en ny koncern. Den eksterne CISO kan udarbejde notatet og koblingen mellem tilladelser og forordningens tekst. Er spørgsmålet juridisk tvivlsomt, er det en sag for virksomhedens advokat eller compliancefunktion, og den eksterne bør sige det klart.
Når svaret er ja
Et ja betyder, at ledelsesorganet har en række godkendelser og gennemgange foran sig, og at der skal føres et register med samtlige aftaler om IKT-tjenester. Begge dele er beskrevet i ledelsesorganets ansvar efter DORA og i informationsregistret. Mange spørger samtidig, hvordan DORA forholder sig til NIS2. Det er gennemgået i DORA eller NIS2.
Det skal I lade være med
- At nøjes med en mundtlig konklusion · tilsynet vil se, hvad svaret bygger på.
- At læse en undtagelse i et andet direktiv som en undtagelse fra DORA · forordningen nævner selv de undtagne betalings- og e-pengeinstitutter.
- At lade koncernens svar gælde for alle selskaber · hver enhed vurderes ud fra sin egen tilladelse.
Det skal I kræve af den eksterne
- ☐ Et notat med tilladelser, litra og en vurdering af undtagelserne.
- ☐ Et udkast til den tekst, der skal stå i bestyrelsens referat.
- ☐ En liste over de forhold, der skal få notatet taget op igen.
- ☐ En vurdering af, om I er mikrovirksomhed eller under art. 16.
- ☐ Et ærligt signal, når spørgsmålet hører hjemme hos jeres advokat eller hos Finanstilsynet.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst på EUR-Lex: art. 2, stk. 1 til 4, om anvendelsesområdet, art. 3, nr. 60, om mikrovirksomheder, art. 5, stk. 2, om ledelsesorganet, art. 16 om den forenklede ramme og art. 64 om anvendelsesdatoen.
- Finanstilsynet: Virksomheder omfattet af DORA: listen over omfattede typer.
- Finanstilsynet: Spørgsmål og svar om tilsyn med IKT og datasikkerhed: henvisning til de europæiske tilsynsmyndigheders spørgsmål og svar.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Den forenklede ramme i artikel 16 · Mikrovirksomhed under DORA
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
