Finansielle virksomheder må gerne udveksle viden om cybertrusler med hinanden, og DORA har en bestemmelse, der rammer det ind. Art. 45 tillader deling inden for betroede fællesskaber, når følsomme oplysninger beskyttes, og den kræver, at myndigheden får besked om deltagelsen. Ved siden af ligger muligheden for frivilligt at underrette Finanstilsynet om væsentlige cybertrusler. For direktion og bestyrelse handler det om at beslutte, om virksomheden vil være med, hvilke oplysninger der må gives videre, og hvem der har lov til det. Artiklen gennemgår reglerne og de beslutninger, der skal træffes.
Hvad artikel 45 tillader
Efter art. 45 i forordningen (EU) 2022/2554 kan finansielle virksomheder udveksle oplysninger og efterretninger om cybertrusler med hinanden. Udvekslingen foregår inden for betroede fællesskaber.
Bestemmelsen stiller krav til rammerne, idet følsomme oplysninger skal beskyttes i ordningen. Deltagelse er frivillig, så det er virksomhedens egen beslutning, om den vil være med, og på hvilke vilkår.
Underretningen om deltagelse
Art. 45, stk. 3, kræver, at virksomheden underretter den kompetente myndighed, når den deltager i en ordning for informationsudveksling, og igen når deltagelsen ophører. I Danmark er myndigheden Finanstilsynet efter art. 46, og underretningen sendes til dora@ftnet.dk. Finanstilsynets side om ordninger for informationsudveksling viser, hvordan det gøres.
Pligten er let at overse, fordi deltagelse ofte begynder uformelt, fx gennem en brancheforening eller en invitation fra en anden virksomhed. Læg den derfor ind i en fast procedure, hvor den, der melder virksomheden ind, også sender underretningen og noterer datoen. Det samme gælder ved udmeldelse.
Frivillig underretning om væsentlige cybertrusler
Art. 19, stk. 2, giver finansielle virksomheder mulighed for frivilligt at underrette myndigheden om væsentlige cybertrusler. I Danmark kan den frivillige underretning sendes til cybertrusler@ftnet.dk.
Den frivillige underretning er adskilt fra den lovpligtige indberetning efter art. 19, stk. 1, når en hændelse er større. Har en trussel udviklet sig til en hændelse, der klassificeres som større, gælder fristerne for indberetning, se indberetning til Finanstilsynet. Art. 17 kræver desuden, at væsentlige cybertrusler registreres internt, uanset om nogen får besked udenfor.
Beslutningerne, der hører til ledelsen
Når virksomheden deler, afslører den samtidig noget om sine egne systemer og hændelser. Derfor bør ledelsen tage stilling til en række spørgsmål og skrive svarene ned i et kort notat:
- Formålet. Hvad skal virksomheden have ud af at deltage? Er det varsler om nye angreb, erfaringer fra virksomheder af samme type eller viden, der er svær at skaffe alene?
- Fællesskabet. Hvem er med, hvilke regler gælder om fortrolighed, og hvordan beskyttes de oplysninger, deltagerne giver hinanden?
- Indholdet. Hvilke typer oplysninger må deles, og hvilke må aldrig forlade virksomheden?
- Mandatet. Hvem må dele på virksomhedens vegne, og hvem er stedfortræder?
- Underretningerne. Hvem sender underretningen efter art. 45, stk. 3, og hvem beslutter, om en trussel skal meldes frivilligt efter art. 19, stk. 2?
Svarene bør passe til virksomhedens størrelse. En mindre virksomhed vil ofte nøjes med ét fællesskab og én person med mandat, og det er tilstrækkeligt, når rammerne er skrevet ned og kendt af dem, der arbejder med sikkerheden.
Notatet godkendes af direktionen og forelægges bestyrelsen som en del af den løbende orientering om IKT-risiko. Hvordan roller og ansvar placeres generelt, står i sikkerhedsorganisationen.
Hvad der kan deles, og hvad der bliver hjemme
En brugbar grænse går mellem oplysninger om angrebet og oplysninger om jer. Tekniske kendetegn som afsenderadresser, domæner, filnavne og fremgangsmåder er som regel uproblematiske at dele, fordi de beskriver det, angriberen allerede ved. Oplysninger om kunder og medarbejdere deles ikke, og det gælder også detaljer om egne svagheder, der endnu ikke er rettet.
For en finansiel virksomhed vejer hensynet til kundernes fortrolighed tungt. Er der tvivl om en konkret oplysning, bør den afklares med juridisk rådgivning, før den deles. En regel i notatet om, at alt ud over tekniske kendetegn kræver godkendelse fra en navngiven person, gør det lettere for medarbejderne at handle rigtigt.
Sammenhængen med hændelsesprocessen
Viden fra et fællesskab har kun værdi, hvis den når frem til dem, der kan bruge den. Advarsler bør derfor føres ind i processen for håndtering af hændelser efter art. 17 og i trusselsbilledet, som risikovurderingen bygger på. Omvendt kan erfaringer fra jeres egne hændelser, når de er bearbejdet og renset for følsomme detaljer, være det bidrag, I giver tilbage.
Den generelle tilgang til deling i fællesskaber for virksomheder uden for finanssektoren er beskrevet i informationsdeling om cybertrusler. For finansielle virksomheder er det art. 45 og Finanstilsynets side, der gælder.
Det skal I lade være med
- At glemme underretningen ved ind- og udmeldelse. Art. 45, stk. 3, gælder begge veje.
- At lade enkeltpersoner dele uden mandat. Velmente opslag kan afsløre mere end tilsigtet.
- At blande frivillig underretning sammen med pligtig indberetning. De har hver sit grundlag og sin adresse.
- At dele kundedata. Andre virksomheder kan advares med de tekniske spor alene.
Det skal I kræve af den eksterne
- ☐ Et udkast til notat om deltagelse, indhold, mandat og fortrolighed.
- ☐ En procedure for underretning af Finanstilsynet ved ind- og udmeldelse.
- ☐ En vurderingsramme for, hvornår en trussel bør meldes frivilligt.
- ☐ En kobling mellem advarsler fra fællesskabet og jeres hændelseshåndtering.
- ☐ En kort orientering til bestyrelsen om deltagelsen og udbyttet.
Kilder
- Forordning (EU) 2022/2554 (DORA), EUR-Lex: art. 17, art. 19, stk. 1 og 2, art. 45, herunder stk. 3, og art. 46.
- Finanstilsynet: Underretning om ordninger for informationsudveksling: underretning om deltagelse og ophør.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Informationsdeling om cybertrusler · Finanstilsynets IT-inspektion
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
