DORA kræver, at hver finansiel virksomhed fører et register over oplysninger om alle sine aftaler om IKT-tjenester med tredjepartsudbydere. Kravet står i artikel 28, stk. 3, og skabelonen er fastlagt i gennemførelsesforordning (EU) 2024/2956. Registret indsendes til Finanstilsynet en gang om året, og myndigheden kan bede om det fulde register når som helst. For ledelsen er registret samtidig det samlede overblik over, hvilke leverandører virksomheden er afhængig af, og hvilke af dem der bærer kritiske eller vigtige funktioner. Denne artikel gennemgår indholdet, indberetningen og spørgsmålet om ejerskab. Teksten gengiver reglerne og er ikke juridisk rådgivning.
Hvad registret skal indeholde
Artikel 28, stk. 3, kræver, at registret omfatter alle aftaler om brug af IKT-tjenester leveret af tredjepartsudbydere. Det skal føres på enhedsniveau og, hvor virksomheden indgår i en koncern, også på delkonsolideret og konsolideret niveau. Aftaler bag kritiske eller vigtige funktioner skal kunne skilles fra de øvrige i registret.
Begrebet IKT-tjenester er bredt. Artikel 3, nr. 21, omfatter digitale tjenester og datatjenester, der leveres løbende, også hardware leveret som tjeneste. I praksis betyder det, at registret skal rumme mere end kernesystemet og driftsleverandøren. Cloudtjenester, abonnementer på standardsystemer, hosting og supportaftaler hører typisk med. Artikel 3, nr. 20, definerer desuden koncerninterne udbydere, så aftaler inden for koncernen skal også vurderes.
Skabelonen i ITS 2024/2956 fastlægger felterne. Den er detaljeret og kræver oplysninger, som sjældent ligger samlet ét sted, men skal findes i kontrakter, fakturaer og hos leverandørerne. Første udfyldning er derfor et projekt i sig selv.
Indberetningen til Finanstilsynet
Registret indsendes årligt til Finanstilsynet via e-Reg. I 2026 åbnede indberetningen 10. marts med frist 31. marts. Perioden for senere år bør følges på Finanstilsynets side om indsendelse af registret, og datoen bør sættes i årshjulet, så snart den kendes.
I en koncern indberetter modervirksomheden registret på det højeste konsoliderede niveau. Datterselskaberne skal derfor levere deres oplysninger til moderselskabet i tide, og koncernen bør aftale, hvem der samler og kontrollerer dem.
Ud over den årlige indberetning skal Finanstilsynet efter artikel 28, stk. 3, underrettes rettidigt om planlagte aftaler om IKT-tjenester bag kritiske eller vigtige funktioner, og når en funktion bliver kritisk eller vigtig. Den underretning sker via virk.dk og er gennemgået i før en ny IKT-aftale.
Hvem der ejer registret
Forordningen placerer det overordnede ansvar hos ledelsesorganet. Efter artikel 5, stk. 2, litra h, godkender og gennemgår det politikken for, hvordan virksomheden bruger tredjepartsudbydere af IKT-tjenester, og efter litra i skal det have indberetningskanaler, så det bliver underrettet om aftaler med leverandørerne og om planlagte væsentlige ændringer.
Det daglige ejerskab skal placeres hos en person. Virksomheder, der ikke er mikrovirksomheder, skal efter artikel 5, stk. 3, enten have en funktion til at overvåge leverandøraftalerne eller lade et medlem af den øverste ledelse føre tilsynet med dem. Det er naturligt, at den funktion eller person også ejer registret. Ejeren kan lade andre udfylde det og står inde for, at det er fuldstændigt og opdateret.
Ledelsen bør beslutte og skrive ned:
- Hvem der ejer registret, med navn og stedfortræder.
- Hvem der leverer oplysninger, fx indkøb, økonomi, IT og de forretningsansvarlige for de enkelte tjenester.
- Hvornår registret opdateres, fx ved hver ny aftale, ændring eller opsigelse og som minimum før den årlige indberetning.
- Hvem der godkender indberetningen, før den sendes.
Registret som ledelsesværktøj
Et register, der kun opdateres i marts, er lidt værd resten af året. Bruges det løbende, giver det ledelsen svar på spørgsmål, der ellers kræver en undersøgelse hver gang: hvilke leverandører der bærer de kritiske eller vigtige funktioner, hvor mange aftaler der er med samme leverandør, og hvilke aftaler der er indgået inden for koncernen.
Det andet spørgsmål hænger sammen med koncentrationsrisikoen i artikel 29. Når flere aftaler samler sig hos samme leverandør, eller når en leverandør ikke let kan erstattes, skal det indgå i vurderingen. Registret er det sted, hvor den slags mønstre bliver synlige.
Registret skal også stemme med kontrakterne. Står der i registret, at en tjeneste understøtter en kritisk eller vigtig funktion, skal aftalen indeholde de ekstra krav i artikel 30, stk. 3, se kontrakten med IT-leverandøren efter DORA. Og klassificeringen af funktionerne skal være den samme i registret som i resten af rammen, se kritiske eller vigtige funktioner.
Koblingen til leverandørstyringen
Registret er ét af flere dokumenter i styringen af IKT-tredjepartsrisiko. Artikel 28, stk. 2, kræver en strategi for IKT-tredjepartsrisiko, som ledelsesorganet gennemgår regelmæssigt, og artikel 28, stk. 1, litra a, fastslår, at virksomheden til enhver tid har det fulde ansvar, også for det, leverandørerne leverer. Registret giver strategien et faktuelt grundlag. Den generelle tilgang til styring af leverandører set fra ledelsen er beskrevet under leverandørstyring.
Det skal I lade være med
- At lade registret ligge i et regneark, som kun én person kender. Ejerskab og stedfortræder skal være beskrevet.
- At udelade små abonnementer og cloudtjenester. Registret omfatter alle aftaler om IKT-tjenester.
- At opdatere registret én gang om året. Nye aftaler og ændringer skal med, når de sker.
- At klassificere funktioner forskelligt i registret og i rammen. Uoverensstemmelser bliver synlige ved tilsyn.
Det skal I kræve af den eksterne
- ☐ En gennemgang af alle aftaler om IKT-tjenester med henblik på første eller næste udfyldning af registret.
- ☐ En procedure for opdatering ved nye aftaler, ændringer og opsigelser.
- ☐ En kontrol af, at klassificeringen i registret svarer til klassificeringen af funktionerne.
- ☐ En oversigt til ledelsen over leverandører, der bærer kritiske eller vigtige funktioner, og over koncentrationer.
- ☐ En plan for den årlige indberetning med datoer og godkendelse.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (EUR-Lex): art. 3, nr. 20 og 21, art. 5, stk. 2, litra h og i, og stk. 3, art. 28, stk. 1, litra a, stk. 2 og stk. 3, art. 29 og art. 30, stk. 3.
- Gennemførelsesforordning (EU) 2024/2956 (EUR-Lex): skabelonen til registret.
- Finanstilsynet: Indsendelse af register over IKT-tredjepartsudbydere i henhold til DORA: indberetning via e-Reg, perioden i 2026 og indberetning på højeste konsoliderede niveau.
- Finanstilsynet: Underretning om planlagt kontraktlig ordning (outsourcing) i henhold til DORA: underretning via virk.dk.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kontrakten med IT-leverandøren efter DORA · Før en ny IKT-aftale
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
