Fra den 17. januar 2025 gælder forordning (EU) 2022/2554, DORA, direkte i Danmark. Samme dato fik en ændring af bekendtgørelsen om ledelse og styring af pengeinstitutter m.fl. virkning. Med BEK nr. 31 af 15. januar 2025, § 1, nr. 19, blev bilag 5 om IT-sikkerhed ophævet. For en virksomhed, der er omfattet af forordningen, er det derfor artiklerne i DORA, IT-sikkerhedspolitikken nu skal måles på. Her gennemgår vi, hvad der er ændret, hvad der stadig står i dansk ret, og hvordan direktion og bestyrelse får en politik fra før skiftet bragt i overensstemmelse med de nye regler. Teksten er ikke juridisk rådgivning.
En forordning har ingen dansk mellemstation
Efter art. 64 finder DORA anvendelse fra den 17. januar 2025, og forordningen gælder umiddelbart i alle medlemsstater. Der er altså ingen dansk lov eller bekendtgørelse, som gentager kravene til ledelsesorganet, rammen for IKT-risikostyring, hændelser, test og tredjepartsudbydere. Kravene står i forordningen selv, og detaljerne står i de tekniske standarder, Kommissionen har vedtaget. Finanstilsynet har en side, hvor de tekniske standarder og retningslinjerne er samlet.
Følgeændringerne i dansk ret findes i lov nr. 481 af 22. maj 2024. Den ændrede lov om finansiel virksomhed, lov om betalinger og flere andre love. Loven indeholder bl.a. de danske regler om sanktioner, som art. 50 overlader til medlemsstaterne. Selve kravene til jeres IT-sikkerhed skal I finde i forordningen.
Bilag 5 findes ikke længere
Bekendtgørelsen om ledelse og styring af pengeinstitutter m.fl. havde et bilag om IT-sikkerhed. Det er ophævet ved BEK nr. 31 af 15. januar 2025, § 1, nr. 19, med virkning fra den 17. januar 2025.
For ledelsen er det praktiske problem dokumenterne. En IT-sikkerhedspolitik, der blev skrevet med bilag 5 som grundlag, henviser nu til en regel, der ikke gælder. Det samme kan være tilfældet for forretningsordener, rapporteringsskabeloner, beredskabsplaner og kontrakter med IT-leverandører. Hver henvisning bør findes og erstattes med den bestemmelse i DORA, der dækker emnet.
Forsikringsselskaber i gruppe 2
For forsikringsselskaber gælder BEK nr. 1405 af 5. december 2024, som har et bilag 4 om IT-sikkerhed. Efter § 1, stk. 5, gælder bilag 4 “alene” for gruppe 2-forsikringsselskaber. Bilaget pålægger bestyrelsen at vedtage en IT-sikkerhedspolitik, som tages op til vurdering årligt eller oftere, direktionen skal fastsætte procedurer, og der skal være en IT-beredskabsplan, som testes. Hvad det betyder for de selskaber, er beskrevet i artiklen om IT-krav for selskaber uden for DORA.
Outsourcing på det digitale område
Aftaler om IKT-tjenester reguleres nu af DORA. Forordningen kræver i art. 28 en strategi for IKT-tredjepartsrisiko, et register over oplysninger om alle aftaler om IKT-tjenester, en forudgående vurdering af leverandørens egnethed og underretning af Finanstilsynet om planlagte aftaler, der understøtter kritiske eller vigtige funktioner. Art. 30 fastsætter, hvad kontrakterne skal indeholde. Den tidligere outsourcingbekendtgørelse, BEK nr. 877 af 2020, står som historisk på retsinformation.dk.
Outsourcing af andre opgaver end IKT-tjenester behandles ikke her. Den afgrænsning skal I have afklaret med jeres advokat eller med Finanstilsynet, før I lægger den ind i politikkerne. Kravene til kontrakterne står i kontraktkravene efter art. 30.
Sådan holdes den gamle politik op mod DORA
Den nemmeste vej er en tabel med en linje pr. emne i forordningen. For hver linje skrives, hvor emnet står i jeres nuværende dokumenter, om det er dækket helt, delvist eller slet ikke, og hvem der ejer rettelsen. Emnerne kan tages i forordningens egen rækkefølge:
- Ledelsesorganets roller og godkendelser · art. 5, stk. 2, litra a til i.
- Rammen for IKT-risikostyring og kontrolfunktionen · art. 6, stk. 1 til 4.
- Den årlige gennemgang og den interne revision · art. 6, stk. 5 til 7.
- Strategien for digital operationel modstandsdygtighed · art. 6, stk. 8.
- Identifikation, beskyttelse og detektion · art. 8 til 10.
- Indsats, genopretning og backup · art. 11 og 12.
- Bevidstgørelse og kurser, også for den øverste ledelse · art. 13, stk. 6.
- Håndtering, klassificering og indberetning af hændelser · art. 17 til 19.
- Testprogrammet · art. 24.
- Tredjepartsrisiko, registret og kontrakterne · art. 28 til 30.
Hører virksomheden under den forenklede ramme i art. 16, gælder art. 5 til 15 ikke. Så er det i stedet de otte punkter i art. 16, stk. 1, politikken skal sammenlignes med, se den forenklede ramme i artikel 16. Hvilken gruppe virksomheden tilhører, bør være afgjort, før tabellen udfyldes.
Tabellen ender typisk med to slags resultater. Nogle emner kræver blot en ny henvisning og et par præciseringer. Andre er nye for virksomheden, fx kravet om en kontrolfunktion med passende uafhængighed eller strategien med et fastlagt risikotoleranceniveau. De nye emner kræver beslutninger i ledelsesorganet og bør have en ejer og en frist i referatet.
Hvem gør hvad
Direktionen ejer arbejdet med at bringe dokumenterne på plads. Ledelsesorganet fastlægger og godkender politikkerne efter art. 5, stk. 2, og det er derfor dér, den reviderede politik skal godkendes og dateres. Hvad bestyrelsen i øvrigt selv skal godkende, er samlet i ledelsesorganets ansvar efter DORA.
En ekstern CISO kan udføre selve sammenligningen, skrive udkastet til den reviderede politik og holde et kravregister, hvor DORA og de tekniske standarder står med ejer og status. Spørgsmål om fortolkning kan stilles til Finanstilsynet på dora@ftnet.dk, og ESA’ernes spørgsmål og svar findes via Finanstilsynets side.
Det skal I lade være med
- At beholde henvisninger til bilag 5 · en politik, der bygger på en ophævet regel, er svær at forsvare ved et tilsyn.
- At regne politikken for dækkende, fordi den var det før januar 2025 · sammenligningen med forordningen skal laves og dokumenteres.
- At afgøre spørgsmål om anden outsourcing ud fra denne gennemgang · den afgrænsning kræver en selvstændig afklaring.
Det skal I kræve af den eksterne
- ☐ Alle henvisninger til ophævede regler samlet på en liste i jeres dokumenter.
- ☐ En sammenligning af politikken med forordningen, emne for emne, med ejer og frist.
- ☐ Et revideret udkast, som ledelsesorganet kan godkende.
- ☐ Et kravregister, der også omfatter de tekniske standarder.
- ☐ Klar besked om spørgsmål, der hører hjemme hos Finanstilsynet eller en advokat.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (eur-lex.europa.eu): art. 5, 6, 8 til 19, 24, 28 til 30 og art. 64 om anvendelse fra 17. januar 2025.
- BEK nr. 31 af 15. januar 2025 (retsinformation.dk): § 1, nr. 19, om ophævelse af bilag 5 om IT-sikkerhed.
- BEK nr. 1405 af 5. december 2024 (retsinformation.dk): forsikringsselskabers ledelse og styring, § 1, stk. 5, og bilag 4 om IT-sikkerhed.
- Finanstilsynet: Delegerede forordninger og retningslinjer i henhold til DORA
- Finanstilsynet: Spørgsmål og svar om tilsyn med IKT og datasikkerhed
Senest gennemgået: november 2026.
Næste skridt
Læs også: Er vi omfattet af DORA? · Kravregister
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
