Forsikringsformidlere, genforsikringsformidlere og accessoriske forsikringsformidlere er nævnt i art. 2, stk. 1, litra o, i DORA, forordning (EU) 2022/2554. Samme artikel tager dem ud igen i stk. 3, litra e, når de er mikrovirksomheder eller små eller mellemstore virksomheder. Det er størrelsen, der afgør sagen. En formidlervirksomhed, der ligger inden for de tre størrelsesklasser, er uden for forordningen, mens en formidler af en størrelse over dem er omfattet af hele DORA. For begge grupper gælder der fortsat krav til IT og persondata fra andre regler og fra de selskaber, I formidler for. Artiklen gennemgår, hvordan ledelsen kommer frem til svaret, og hvad den skal holde styr på bagefter. Den er ikke juridisk rådgivning.
Det, forordningen siger
Art. 2, stk. 1, opregner de virksomhedstyper, forordningen gælder for. Litra o nævner forsikringsformidlere, genforsikringsformidlere og accessoriske forsikringsformidlere. I stk. 3 står undtagelserne, og litra e lyder: “forsikringsformidlere, genforsikringsformidlere og accessoriske forsikringsformidlere, som er mikrovirksomheder eller små eller mellemstore virksomheder”.
Undtagelsen dækker alle tre typer formidlere, mæglere og agenter medregnet, og det eneste kriterium i bestemmelsen er størrelsen.
Størrelsen afgør sagen
Er der under 10 personer ansat, og ligger omsætning eller balance under grænsen i art. 3, nr. 60, er formidleren en mikrovirksomhed. Grænserne for små og mellemstore virksomheder er ikke gengivet i denne artikel. Den, der vurderer jeres størrelse, skal slå dem op i forordningens definitioner og skrive i notatet, hvilken bestemmelse og hvilke regnskabstal vurderingen bygger på.
To forhold kræver særlig opmærksomhed:
- Koncernen. Er formidleren ejet af eller ejer andre selskaber, bør det afklares skriftligt, hvordan ansatte, omsætning og balance skal opgøres.
- Væksten. En formidler, der vokser ved opkøb eller ved at ansætte flere, kan bevæge sig ud af undtagelsen. Vurderingen skal derfor gentages, når et nyt årsregnskab er godkendt.
Det generelle spørgsmål om omfang behandles i er vi omfattet af DORA?.
Når formidleren er omfattet
En formidler over grænsen for mellemstore virksomheder er en finansiel enhed efter art. 2, stk. 2. Formidlere står ikke på listen over virksomheder med en forenklet ramme i art. 16, stk. 1, og en formidler af den størrelse er heller ikke mikrovirksomhed. Det betyder, at forordningen gælder fuldt ud:
- ledelsesorganets godkendelser og gennemgange efter art. 5, stk. 2,
- en kontrolfunktion med passende uafhængighed efter art. 6, stk. 4,
- en strategi for digital operationel modstandsdygtighed efter art. 6, stk. 8,
- indberetning af større IKT-relaterede hændelser efter art. 19,
- et testprogram efter art. 24,
- informationsregister og kontraktkrav efter art. 28 og 30.
Ledelsens del af arbejdet gennemgås i ledelsesorganets ansvar efter DORA.
Det, der gælder alligevel
En formidler uden for DORA har stadig oplysninger, som skal beskyttes, og kunder og samarbejdspartnere, som stiller krav.
Persondata. Formidlere behandler personoplysninger om kunderne og deres forsikringsforhold. Databeskyttelsesforordningen gælder uanset DORA, og et brud på persondatasikkerheden skal håndteres efter dens regler. Hvordan anmeldelsen spiller sammen med andre underretningspligter, står i persondatabrud og NIS2.
Forsikringsselskabernes krav. De selskaber, I formidler for, er som udgangspunkt selv omfattet af DORA og skal styre deres egen IKT-tredjepartsrisiko. Det kan give spørgsmål eller krav i samarbejdsaftalen, fx om adgang til selskabets systemer, om brugerstyring og om, hvordan I melder en hændelse. Spørg, hvilken bestemmelse et krav bygger på, og gem svaret.
Erhvervskundernes krav. En mægler med erhvervskunder kan få spørgeskemaer om IT-sikkerhed fra dem. Svarene skal være de samme, uanset hvem der spørger. Siden om kundekrav beskriver, hvordan virksomheden holder dem ens.
Egen forsikring. Har formidleren selv en cyberforsikring, gælder de oplysninger og vilkår, der står i policen. Spørgsmålene er behandlet under cyberforsikring.
Mægleren som rådgiver for kunderne
Mange mæglere rådgiver deres erhvervskunder om cyberforsikring. Det er en anden rolle end formidlerens egen IT-sikkerhed. Hvordan mægleren og kundens eksterne IT-leder fordeler arbejdet med forsikringen, står på ekstern-it-ledelse.dk i artiklen om forsikringsmægleren og IT-ledelsen.
Det, ledelsen bør have på skrift
Uanset resultatet bør direktionen have et kort notat, som bestyrelsen eller ejerne har set. Det indeholder:
- virksomhedens tilladelse og henvisningen til art. 2, stk. 1, litra o,
- størrelsesvurderingen med regnskabsår, tal og henvisning til definitionen,
- konklusionen om, hvorvidt undtagelsen i stk. 3, litra e, gælder,
- de krav fra andre regler og fra samarbejdspartnere, som virksomheden skal opfylde,
- datoen for næste vurdering.
En ekstern CISO kan udarbejde notatet, sammenholde det med samarbejdsaftalerne og lægge et sikkerhedsarbejde i passende størrelse, der bygger på risikovurderingen. I en formidlervirksomhed uden for DORA er det et arbejde, som ledelsen selv tilpasser, uden forordningens faste godkendelser.
Det skal I lade være med
- At gå ud fra, at alle formidlere er undtaget · undtagelsen afhænger af størrelsen og skal kunne vises.
- At lade vurderingen stå efter et opkøb · tallene kan have flyttet sig.
- At svare forsikringsselskaberne uden at kende grundlaget for deres spørgsmål · bed om henvisningen.
Det skal I kræve af den eksterne
- ☐ En størrelsesvurdering med tal og henvisning til forordningens definitioner.
- ☐ En oversigt over de IT-krav, samarbejdsaftalerne med selskaberne indeholder.
- ☐ Et sikkerhedsarbejde, der passer til en formidlervirksomhed, med ejer for hvert punkt.
- ☐ En plan for, hvad der skal på plads, hvis virksomheden nærmer sig grænsen.
- ☐ Besked om, hvilke spørgsmål der kræver en jurist, før notatet underskrives.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst på EUR-Lex: art. 2, stk. 1, litra o, og stk. 3, litra e, om formidlere, art. 3, nr. 60, om mikrovirksomheder, art. 5, 6, 19, 24, 28 og 30 om de krav, der gælder for omfattede enheder, og art. 16 om den forenklede ramme.
- Finanstilsynet: Virksomheder omfattet af DORA: listen over omfattede typer.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Uden for DORA, men ikke uden IT-krav · Mikrovirksomhed under DORA
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
