En større IKT-relateret hændelse skal indberettes til Finanstilsynet i tre trin: en indledende underretning, en foreløbig rapport og en endelig rapport. Kravet står i DORA artikel 19, stk. 1 og 4, og fristerne er fastsat i den delegerede forordning (EU) 2025/301. Den indledende underretning skal sendes senest 4 timer efter, at hændelsen er klassificeret som større. Den foreløbige rapport følger senest 72 timer efter den indledende underretning, og den endelige rapport senest en måned efter den seneste foreløbige rapport. Hver melding beskriver hændelsen med virksomhedens navn på, og derfor bør det være aftalt, hvem i ledelsen der godkender hvad. Teksten gengiver reglerne uden at være juridisk rådgivning.
Fristerne samlet
- Indledende underretning. Så tidligt som muligt og senest 4 timer efter klassificeringen som større, dog senest 24 timer efter, at virksomheden fik kendskab til hændelsen. Klassificeres hændelsen først, når der er gået mere end 24 timer, gælder de 4 timer regnet fra klassificeringen (RTS 2025/301, art. 5, stk. 1 og 2).
- Foreløbig rapport. Senest 72 timer efter den indledende underretning. Når normal drift er genoprettet, sendes en ajourført foreløbig rapport.
- Endelig rapport. Senest en måned efter den seneste foreløbige rapport.
Weekender og helligdage har en særregel. Falder en frist på en sådan dag, kan der indberettes til kl. 12 den næste arbejdsdag (art. 5, stk. 4). Reglen gælder ikke for kreditinstitutter, centrale modparter, markedspladsoperatører og enheder, der er identificeret under NIS2 (art. 5, stk. 5). For dem løber fristerne også i weekenden, og vagtordningen skal indrettes efter det.
Fristen for den indledende underretning starter ved klassificeringen. Hvordan afgørelsen træffes, og hvem der har mandatet, er gennemgået i klassificeringen af større hændelser.
Hvordan der indberettes
Indberetningen til Finanstilsynet sker digitalt via Virk.dk med MitID Erhverv. Virksomheden bør derfor på forhånd have afklaret, hvem der har en MitID Erhverv-adgang med de nødvendige rettigheder, og at mindst to personer kan logge ind. Er det teknisk umuligt at indberette via Virk.dk, kan meldingen sendes med e-mail til ITIncidents@ftnet.dk.
Formularernes indhold er fastlagt i gennemførelsesforordning (EU) 2025/302. Felterne bør gennemgås i ro, før der opstår en hændelse, så den, der skriver, ved, hvilke oplysninger der skal samles ind undervejs.
Den indledende underretning
Den første melding sendes på et tidspunkt, hvor meget endnu er uklart. Formålet er at give myndigheden besked tidligt, og meldingen må gerne være ufuldstændig, når blot den kommer inden fristen.
Ledelsen godkender her først og fremmest, at meldingen sendes. Dernæst bør den, der godkender, se på beskrivelsen af årsagen og påvirkningen. Skriv det, der vides, og angiv tydeligt, hvad der endnu undersøges. En formodning om et angreb kan nævnes som formodning. Hvis direktionen ikke kan nås inden for fristen, skal proceduren sige, hvem der så godkender. Fristen venter ikke på en underskrift.
Den foreløbige rapport
Inden 72 timer efter den første melding skal virksomheden levere en mere udførlig beskrivelse. På dette tidspunkt er der som regel overblik over, hvilke systemer og tjenester der er ramt, hvor mange kunder der er berørt, og hvilke afbødende tiltag der er sat i gang.
Ledelsen godkender her vurderingen af konsekvenserne for forretningen og for kunderne. Teknikerne kan levere de tekniske oplysninger, men skøn over økonomiske virkninger og påvirkning af kunderne er ledelsens ansvar. Er et tal usikkert, skrives det som et skøn med forbehold. Rapporten skal ajourføres, når normal drift er genoprettet, og fristen for den endelige rapport regnes fra den seneste foreløbige rapport.
Den endelige rapport
Den endelige rapport afslutter forløbet over for myndigheden. Den beskriver årsagen, de samlede virkninger og de tiltag, virksomheden vil gennemføre for at undgå en gentagelse.
Rapporten er et ledelsesdokument. De tiltag, den nævner, kan Finanstilsynet senere følge op på, og derfor bør ledelsen kun godkende tiltag, der har en ansvarlig, en tidsplan og et budget. Rapporten hænger også sammen med den gennemgang af rammen for IKT-risikostyring, som artikel 6, stk. 5, kræver efter større hændelser, se den årlige gennemgang af rammen for IKT-risikostyringen.
Når hændelsen sker hos leverandøren
I mange mindre finansielle virksomheder er det IT-leverandøren, der først ser hændelsen. Indberetningspligten ligger alligevel hos virksomheden selv, for efter artikel 28, stk. 1, litra a, bærer den det fulde ansvar for at opfylde forordningen. Aftalen med leverandøren skal derfor sikre, at I får besked hurtigt nok til at kunne klassificere og indberette. Artikel 30, stk. 2, litra f, kræver, at leverandøren bistår ved IKT-hændelser, se kontrakten med IT-leverandøren efter DORA.
Frivillig underretning om cybertrusler
Ud over de pligtige meldinger kan virksomheden efter artikel 19, stk. 2, frivilligt underrette Finanstilsynet om væsentlige cybertrusler på cybertrusler@ftnet.dk.
Det skal I lade være med
- At vente med den første melding, til alt er klarlagt. Den indledende underretning er netop beregnet til en tidlig og foreløbig beskrivelse.
- At regne med weekendreglen uden at tjekke jeres virksomhedstype. Kreditinstitutter og enkelte andre er undtaget fra den.
- At have kun én person med adgang til indberetningen. MitID Erhverv-rettighederne skal være fordelt, før de skal bruges.
- At love tiltag i den endelige rapport uden budget. Myndigheden kan spørge til dem bagefter.
Det skal I kræve af den eksterne
- ☐ En fristkalender, der regner fra det dokumenterede tidspunkt for klassificeringen og for kendskabet.
- ☐ Udkast til hver melding ud fra formularerne, så ledelsen godkender i stedet for at skrive.
- ☐ En liste over, hvem der godkender hver melding, med stedfortrædere.
- ☐ Kontrol af, at adgangene til indberetningen virker, mindst en gang om året.
- ☐ Opfølgning på de tiltag, den endelige rapport nævner, i den faste rapport til ledelsen.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (EUR-Lex): art. 6, stk. 5, art. 19, stk. 1, 2 og 4, art. 28, stk. 1, litra a, og art. 30, stk. 2, litra f.
- Delegeret forordning (EU) 2025/301 (EUR-Lex): art. 5, stk. 1, 2, 4 og 5, om frister og weekender.
- Gennemførelsesforordning (EU) 2025/302 (EUR-Lex): formularerne til indberetningen.
- Finanstilsynet: Indberetning af IKT-relaterede hændelser i henhold til DORA: indberetning via Virk.dk, e-mail ved teknisk umulighed og frivillig underretning om cybertrusler.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Underretning og kommunikation ved en større IKT-hændelse · Frister i sikkerhedsarbejdet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
