DORA lægger en række pligter før underskriften på en aftale om IKT-tjenester. Virksomheden skal vurdere, om aftalen understøtter en kritisk eller vigtig funktion, se på risici og koncentration og vurdere leverandørens egnethed. Understøtter aftalen en kritisk eller vigtig funktion, skal Finanstilsynet desuden have besked i god tid. For direktionen og bestyrelsen er opgaven at have en fast proces, så vurderingen sker hver gang og efterlader et spor, der kan vises frem. Artiklen gennemgår trinene i den rækkefølge, de typisk falder.
Hvad art. 28, stk. 4, kræver
Forordningen (EU) 2022/2554 opregner i art. 28, stk. 4, hvad virksomheden skal gøre, før den indgår en aftale om IKT-tjenester. Den skal:
- vurdere, om aftalen vedrører en kritisk eller vigtig funktion,
- vurdere, om de tilsynsmæssige betingelser for at udlicitere er opfyldt,
- identificere og vurdere de relevante risici, herunder koncentrationsrisiko efter art. 29,
- gennemføre en forudgående vurdering af leverandørens egnethed,
- identificere og vurdere mulige interessekonflikter.
Svaret på første spørgsmål afgør, hvor tungt resten skal være. En aftale, der berører en kritisk eller vigtig funktion, udløser de skærpede kontraktkrav i art. 30, stk. 3, en exitstrategi og en underretning af myndigheden. Grundlaget for svaret er jeres godkendte liste over funktioner, se kritiske eller vigtige funktioner.
Leverandørens egnethed og standarder
Den forudgående vurdering af leverandøren handler om, hvorvidt den kan levere det, aftalen skal dække, på en måde, der lever op til jeres egne pligter. Art. 28, stk. 5, tilføjer, at virksomheden kun må indgå aftaler med leverandører, der overholder passende standarder for informationssikkerhed.
I praksis betyder det, at vurderingen bør bygge på dokumentation fra leverandøren, fx revisionserklæringer, testrapporter og beskrivelser af beredskab og underleverandører. Spørgsmålene bør være skrevet ned på forhånd, så samme niveau gælder for alle leverandører i samme kategori. Hvordan en erklæring fra leverandøren læses, står i leverandørens ISAE-erklæring, og en generel fremgangsmåde for nye leverandører findes i sikkerhedsgennemgang af en ny leverandør.
Koncentrationsrisiko efter art. 29
Art. 29 beskriver koncentrationsrisiko i to former. Den ene er en leverandør, der ikke er let at erstatte. Den anden er flere aftaler med samme leverandør. Begge dele kan betyde, at ét svigt rammer flere funktioner på én gang.
En mindre finansiel virksomhed har ofte kernesystem, drift og backup samlet hos få leverandører. Ledelsen skal derfor kende koncentrationen og have taget stilling til den. Vurderingen kan bygges på tre spørgsmål:
- Hvilke andre aftaler har vi allerede med denne leverandør, og hvilke funktioner understøtter de?
- Hvor lang tid vil det tage at skifte leverandør eller tage opgaven tilbage?
- Hvad sker der med de berørte funktioner, hvis leverandøren svigter i den periode?
Informationsregistret efter art. 28, stk. 3, er det naturlige sted at finde svaret på første spørgsmål, se informationsregistret.
Exit tænkes ind fra starten
Art. 28, stk. 8, kræver exitstrategier for tjenester til kritiske eller vigtige funktioner, så aftalen kan opsiges uden afbrydelse af driften, uden begrænsning af regeloverholdelsen og uden skade for kunderne, og planerne skal dokumenteres og testes. Opbygningen af en sådan strategi gennemgås i DORA og exitstrategien på digital-suveraenitet.dk.
Underretningen af Finanstilsynet
Efter art. 28, stk. 3, sidste afsnit, skal virksomheden rettidigt underrette den kompetente myndighed om planlagte aftaler, som skal bære kritiske eller vigtige funktioner. Det samme gælder, når en funktion, en eksisterende aftale understøtter, bliver kritisk eller vigtig. I Danmark er myndigheden Finanstilsynet, og underretningen sker digitalt via virk.dk. Fremgangsmåden står på Finanstilsynets side om planlagte kontraktlige ordninger.
Ordet planlagt er det vigtige. Underretningen skal ske, mens aftalen stadig er på vej, og processen skal derfor give tid til den. Hvis vurderingen først laves, når kontrakten ligger klar til underskrift, er der risiko for, at underretningen kommer for sent eller springes over.
Hvem gør hvad
En fast proces kan fordele opgaverne sådan:
- Den, der ønsker tjenesten, beskriver behovet og den funktion, den skal understøtte.
- Den, der leder sikkerhedsarbejdet, gennemfører vurderingen efter art. 28, stk. 4, og art. 29 og skriver en kort indstilling.
- Funktionen eller ledelsesmedlemmet efter art. 5, stk. 3, kontrollerer, at vurderingen er gennemført, og at underretningen er sendt, når den kræves.
- Direktionen beslutter at indgå aftalen og oplyser bestyrelsen gennem de indberetningskanaler, art. 5, stk. 2, litra i, kræver.
Indstillingen arkiveres sammen med kontrakten og kvitteringen for underretningen. Registret opdateres, når aftalen er indgået. Den samlede styring af leverandørerne er beskrevet i leverandørstyring.
Det skal I lade være med
- At vurdere efter underskriften. Art. 28, stk. 4, gælder før aftalen indgås.
- At se på leverandøren alene. Koncentrationen opstår ved summen af jeres aftaler.
- At glemme underretningen, når en funktion ændrer status. Også eksisterende aftaler kan udløse den.
- At lade indkøbet styre processen. Vurderingen skal være en betingelse for beslutningen.
Det skal I kræve af den eksterne
- ☐ En skabelon til vurderingen efter art. 28, stk. 4, og art. 29, der kan bruges ved hver ny aftale.
- ☐ Faste spørgsmål til leverandøren om informationssikkerhed, beredskab og underleverandører.
- ☐ En oversigt over koncentrationen i jeres eksisterende aftaler.
- ☐ En procedure for underretning af Finanstilsynet med ansvarlig og tidspunkt.
- ☐ En kort indstilling til direktionen ved hver aftale om en kritisk eller vigtig funktion.
Kilder
- Forordning (EU) 2022/2554 (DORA), EUR-Lex: art. 5, stk. 2, litra i, og stk. 3, art. 28, stk. 3 til 5 og 8, og art. 29.
- Finanstilsynet: Underretning om planlagt kontraktlig ordning (outsourcing) i henhold til DORA: underretning via virk.dk.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kritiske tredjepartsudbydere af IKT-tjenester · Leverandøroverblik
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
