Artikel 30 i DORA bestemmer, hvad en kontrakt om IKT-tjenester mindst skal indeholde. Nogle krav gælder alle aftaler, andre kommer oveni, når tjenesten bærer en kritisk eller vigtig funktion. For direktion og bestyrelse er spørgsmålet, om virksomhedens kontrakter faktisk rummer bestemmelserne, og hvem der har kontrolleret det. Artiklen gennemgår kravene som en tjekliste, peger på de to delegerede forordninger, der uddyber dem, og beskriver, hvordan ledelsen får dokumentation for gennemgangen.
Hvorfor kontrakten er ledelsens sag
Efter art. 28, stk. 1, litra a, bærer en finansiel virksomhed hele ansvaret for sine pligter efter forordningen, også når en IKT-leverandør løser opgaverne. Ansvaret følger ikke med opgaven over til leverandøren. Kontrakten er det redskab, virksomheden har til at få leverandøren til at levere det, forordningen kræver af virksomheden selv.
Ledelsesorganet godkender og gennemgår politikken for brug af IKT-leverandører (art. 5, stk. 2, litra h). Virksomheder, der ikke er mikrovirksomheder, skal desuden have en funktion til at overvåge aftalerne eller give et medlem af den øverste ledelse ansvaret for tilsynet (art. 5, stk. 3). Den person eller funktion er et naturligt sted at placere ejerskabet af kontraktgennemgangen.
Formkravet i stk. 1
Rettigheder og forpligtelser skal fordeles klart og skriftligt. Den samlede kontrakt, inklusive serviceniveauaftalerne, skal findes i ét skriftligt dokument. Bestemmelser spredt ud over ordrebekræftelser, onlinevilkår og e-mails lever dårligt op til det. Et første skridt er derfor at finde ud af, hvor aftalen med hver leverandør faktisk står.
Tjekliste for alle IKT-aftaler (stk. 2)
Hver kontrakt skal mindst indeholde:
- ☐ a) en beskrivelse af funktioner og tjenester, og om underentreprise er tilladt, og på hvilke betingelser,
- ☐ b) hvor tjenesten leveres fra, og hvor data behandles, samt pligt til at give besked på forhånd ved ændringer,
- ☐ c) bestemmelser om tilgængelighed, autenticitet, integritet og fortrolighed, også for personoplysninger,
- ☐ d) adgang til, genopretning af og tilbagelevering af data ved insolvens, afvikling eller opsigelse,
- ☐ e) beskrivelser af serviceniveauet,
- ☐ f) leverandørens bistand ved IKT-hændelser i tjenesten, uden ekstra omkostning eller til en forud fastsat omkostning,
- ☐ g) leverandørens samarbejde med de kompetente myndigheder,
- ☐ h) opsigelsesrettigheder og minimumsfrister for opsigelse,
- ☐ i) betingelserne for leverandørens deltagelse i jeres programmer for bevidstgørelse og kurser.
Kravene gælder uanset aftalens størrelse. Også en mindre tjeneste, der bruges til noget perifert, skal have dem.
Tjekliste for kritiske eller vigtige funktioner (stk. 3)
Understøtter tjenesten en kritisk eller vigtig funktion, skal kontrakten derudover have:
- ☐ a) præcise kvantitative og kvalitative præstationsmål for serviceniveauet,
- ☐ b) varsler og leverandørens pligt til at indberette udvikling, der kan påvirke leverancen,
- ☐ c) krav om, at leverandøren har beredskabsplaner og sikkerhedsforanstaltninger, og at de testes,
- ☐ d) leverandørens deltagelse i trusselsbaserede penetrationstest,
- ☐ e) ret til løbende overvågning og til uindskrænket adgang, inspektion og revision for virksomheden, en udpeget tredjepart og myndigheden,
- ☐ f) exitstrategier med en obligatorisk overgangsperiode.
For mikrovirksomheder åbner bestemmelsen for, at retten til adgang og revision udøves af en uafhængig tredjepart, der er peget ud af leverandøren. Hvilke aftaler der hører under stk. 3, afhænger af jeres klassificering, se kritiske eller vigtige funktioner.
De to delegerede forordninger
Artikel 30 er rammen. Detaljerne ligger i to delegerede forordninger, som bør indgå i gennemgangen af aftaler om kritiske eller vigtige funktioner.
RTS (EU) 2024/1773 handler om den politik, virksomheden skal have for kontrakter om IKT-tjenester til kritiske eller vigtige funktioner. Den dækker styringen af politikken, kontraktens livscyklus, den forudgående risikovurdering, kontraktbestemmelserne, overvågningen af aftalen og exit. Politikken er ledelsesorganets dokument efter art. 5, stk. 2, litra h, og den er derfor det sted, hvor bestyrelsen fastlægger, hvordan kontrakter skal se ud.
RTS (EU) 2025/532 af 24. marts 2025 handler om underleverandører til samme slags tjenester. Den fastsætter betingelser for, hvornår underentreprise kan accepteres, hvordan væsentlige ændringer i underentreprisen håndteres, og hvornår aftalen kan opsiges. For ledelsen betyder det, at kontrakten også skal sige noget om kæden bag leverandøren.
Forordningen nævner også, at standardkontraktbestemmelser fra myndighederne kan overvejes (art. 30, stk. 4).
Sammenhængen med opsigelse og revision
To bestemmelser uden for art. 30 hører med, når kontrakten læses. Art. 28, stk. 7, kræver, at aftalen kan opsiges ved bl.a. væsentlig overtrædelse, forhold der ændrer leverancen, dokumenterede svagheder i leverandørens IKT-risikostyring og når myndigheden ikke længere kan føre tilsyn. Art. 28, stk. 6, kræver, at adgangs-, inspektions- og revisionsrettigheder planlægges risikobaseret. Kontrakten skal altså give rettighederne, og jeres egen plan skal vise, hvornår I bruger dem. Den løbende brug er beskrevet i opfølgning på leverandøren.
Gennemgangen af eksisterende aftaler
Mange aftaler er indgået, før forordningen fandt anvendelse. En gennemgang kan bygges op i fire trin:
- Saml aftalerne. Brug informationsregistret som liste, og find det dokument, der rummer hver aftale.
- Hold dem op mod tjeklisterne. Notér for hver aftale, hvilke punkter i stk. 2 og stk. 3 der er dækket, mangler eller er uklare.
- Prioritér. Aftaler om kritiske eller vigtige funktioner med mangler kommer først.
- Forhandl og dokumentér. Mangler rettes ved næste forhandling eller i et tillæg, og resultatet noteres.
Resultatet forelægges bestyrelsen som en kort status: antal aftaler gennemgået, hvilke der har mangler, og hvornår de forventes rettet. Hvordan leverandøren selv ser på kravene og den dokumentation, I beder om, er beskrevet på pentestrapport.dk under krav fra en finansiel kunde.
Det skal I lade være med
- At antage, at leverandørens standardvilkår dækker forordningen. Gennemgå dem punkt for punkt.
- At overse de små aftaler. Kravene i stk. 2 gælder alle IKT-aftaler.
- At få revisionsret uden en plan for at bruge den. Retten skal også udøves risikobaseret.
- At glemme underleverandørerne. Kæden bag leverandøren er en del af kontrakten.
Det skal I kræve af den eksterne
- ☐ En gennemgang af hver aftale mod art. 30, stk. 2 og 3, med en klar markering af mangler.
- ☐ Et udkast til politikken for kontrakter om kritiske eller vigtige funktioner efter RTS 2024/1773.
- ☐ En liste over krav til underleverandører, der kan bruges i forhandlingerne.
- ☐ En status til bestyrelsen med prioritering og tidsplan.
- ☐ En henvisning til juridisk rådgivning, når kontraktteksten skal formuleres.
Kilder
- Forordning (EU) 2022/2554 (DORA), EUR-Lex: art. 5, stk. 2, litra h, og stk. 3, art. 28, stk. 1, litra a, stk. 6 og 7, og art. 30, stk. 1 til 4.
- Delegeret forordning (EU) 2024/1773, EUR-Lex: politikken for kontrakter om IKT-tjenester, der understøtter kritiske eller vigtige funktioner.
- Delegeret forordning (EU) 2025/532, EUR-Lex: underentreprise af IKT-tjenester, der understøtter kritiske eller vigtige funktioner.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedskrav til IT-leverandøren · Informationsregistret
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
