Art. 16 i forordning (EU) 2022/2554 giver en mindre gruppe finansielle virksomheder en enklere vej gennem kravene til IKT-risikostyring. Art. 5 til 15 finder ikke anvendelse på dem, og de skal i stedet opfylde otte samlede krav i art. 16, stk. 1, litra a til h, og efter stk. 2 skal rammen dokumenteres og gennemgås regelmæssigt og efter større IKT-relaterede hændelser. De nærmere regler står i Kommissionens delegerede forordning (EU) 2024/1774, afsnit III. Lempelsen er reel, men den omfatter kun art. 5 til 15. Pligterne om hændelser, informationsregister og kontrakter med IT-leverandørerne ligger uden for art. 16. Artiklen forklarer, hvem rammen gælder, hvad de otte krav betyder for ledelsen, og hvilke beslutninger der skal stå i referatet. Den er ikke juridisk rådgivning.
Hvem den forenklede ramme gælder
Art. 16, stk. 1, nævner fem grupper:
- små og ikke indbyrdes forbundne investeringsselskaber,
- betalingsinstitutter, der er undtaget efter direktiv (EU) 2015/2366,
- institutter, der er fritaget efter direktiv 2013/36/EU, hvor medlemsstaten ikke har benyttet muligheden i DORA art. 2, stk. 4,
- e-pengeinstitutter, der er undtaget efter direktiv 2009/110/EF,
- små arbejdsmarkedsrelaterede pensionskasser.
Om en virksomhed hører til en af grupperne, afhænger altså af dens status efter et andet direktiv. Den status bør fremgå af tilladelsen eller af korrespondancen med Finanstilsynet, og den skal stå i ledelsens omfangsnotat, se er vi omfattet af DORA?.
Den forenklede ramme er knyttet til virksomhedstypen. Den følger ikke af antallet af ansatte. En virksomhed med få ansatte, som ikke står på listen, har den fulde ramme med de lempelser, der gælder for mikrovirksomheder. Forskellen er gennemgået i mikrovirksomhed under DORA.
De otte krav i art. 16, stk. 1
Bestemmelsen kræver, at virksomheden:
- a) har en robust og dokumenteret ramme for IKT-risikostyring. Ledelsen beslutter, hvem der ejer rammen, og hvor den ligger.
- b) løbende overvåger IKT-systemernes sikkerhed og drift. Ofte sker det hos en driftsleverandør. Ledelsen skal vide, hvem der overvåger, og hvilke rapporter den selv får.
- c) minimerer IKT-risikoen med robuste og ajourførte systemer. Det kræver et overblik over systemerne og en regel for opdateringer, som kan genfindes i aftalen med leverandøren.
- d) hurtigt kan opdage og håndtere IKT-relaterede hændelser. Det skal være beskrevet, hvem der vurderer en hændelse, og hvem der beslutter.
- e) konstaterer stor afhængighed af tredjepartsudbydere af IKT-tjenester. Forordningens ord er “konstatere stor afhængighed”. Det er en opgave at kortlægge, og ledelsen tager stilling til resultatet.
- f) sikrer, at kritiske eller vigtige funktioner kan fortsætte, med planer, som mindst rummer backup og gendannelse. Kravet forudsætter, at virksomheden har besluttet, hvilke funktioner der er kritiske eller vigtige.
- g) regelmæssigt tester planerne og kontrollerne. Hvordan testen kan tilrettelægges i en mindre virksomhed, beskriver red-teaming.dk i artiklen om test uden TLPT.
- h) indarbejder erfaringer fra test og hændelser og efter behov har bevidstgørelse og kurser for personale og ledelse. Ledelsen er nævnt udtrykkeligt.
Tilsammen beskriver de otte punkter et sikkerhedsarbejde i fuld bredde, fra overblik og overvågning til beredskab og læring. Teksten er kortere end art. 5 til 15. Emnerne er stort set de samme.
Det, der ikke er omfattet af lempelsen
Art. 16 erstatter art. 5 til 15. Resten af forordningen er uberørt af den bestemmelse. For ledelsen betyder det, at disse pligter skal behandles for sig:
- Hændelser. Art. 17 til 19 om at klassificere og melde større IKT-relaterede hændelser gælder fuldt ud, se indberetning til Finanstilsynet.
- Informationsregistret. Art. 28, stk. 3, om registret over aftaler om IKT-tjenester, se informationsregistret.
- Kontrakterne. Kravene til aftalerne med IT-leverandørerne i art. 30, se kontrakten med IT-leverandøren.
To ting er derimod udtrykkeligt holdt uden for for disse virksomheder: strategien for IKT-tredjepartsrisiko i art. 28, stk. 2, og trusselsbaseret penetrationstest efter art. 26.
Det, ledelsen skal beslutte
Art. 5 er en af de bestemmelser, art. 16 erstatter, og derfor gælder listen over ledelsesorganets godkendelser i art. 5, stk. 2, ikke direkte. Den delegerede forordnings afsnit III indeholder de nærmere regler for den forenklede ramme. Den bør læses af den, der skriver rammen, og ledelsen bør have et kort resumé af det, afsnittet kræver af den.
Uanset den præcise ordlyd i afsnit III er der beslutninger, som kun ledelsen kan træffe, fordi de angår forretningen:
- hvem der ejer rammen og rapporterer til ledelsen,
- hvilke funktioner der er kritiske eller vigtige,
- hvordan den konstaterede afhængighed af IT-leverandører håndteres,
- hvor ofte rammen gennemgås, og hvad gennemgangen skal omfatte,
- hvilke kurser ledelsen selv tager.
Beslutningerne skal stå i referatet med dato. Klassificeringen af funktioner har betydning langt ud over art. 16 og er gennemgået i kritiske eller vigtige funktioner.
Gennemgangen efter stk. 2
Stk. 2 kræver, at rammen dokumenteres og gennemgås regelmæssigt og efter større IKT-relaterede hændelser. Forordningen sætter ikke et fast interval for denne gruppe. Ledelsen fastsætter derfor selv intervallet og skriver det ind i rammen. En fast plads i årshjulet gør det lettere at holde fast i. Efter en større hændelse kræver stk. 2 en ny gennemgang, og erfaringerne skal efter litra h føres ind i rammen.
En ekstern CISO’s del
I en virksomhed under art. 16 er der som regel få ansatte og en stor del af driften hos leverandører. Den eksterne CISO kan skrive rammen og koble hvert af de otte krav til et dokument og en ejer. Han eller hun kan også kortlægge afhængigheden af leverandørerne og forberede den årlige drøftelse i ledelsen. Ansvaret for, at rammen findes og virker, bliver hos virksomheden.
Det skal I lade være med
- At læse art. 16 som en fritagelse fra hele DORA · hændelser, register og kontrakter gælder fortsat.
- At antage, at få ansatte giver adgang til den forenklede ramme · det er virksomhedstypen, der tæller.
- At lade intervallet for gennemgang stå åbent · skriv det ind i rammen.
Det skal I kræve af den eksterne
- ☐ En ramme, hvor hvert af kravene a til h har et dokument og en ejer.
- ☐ Et resumé til ledelsen af afsnit III i den delegerede forordning.
- ☐ En kortlægning af afhængigheden af IT-leverandører.
- ☐ En liste over de pligter uden for art. 16, som stadig skal opfyldes.
- ☐ En plan for test af planer og kontroller, som ledelsen kan følge.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst på EUR-Lex: art. 16, stk. 1 og 2, om den forenklede ramme, art. 17 til 19 om hændelser, art. 26 om trusselsbaseret test og art. 28 til 30 om IKT-tredjepartsrisiko.
- Finanstilsynet: Delegerede forordninger og retningslinjer i henhold til DORA: oversigt, herunder delegeret forordning (EU) 2024/1774, afsnit III.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Mikrovirksomhed under DORA · Er vi omfattet af DORA?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
