DORA kræver, at styringen af og tilsynet med IKT-risikoen ligger hos en kontrolfunktion med et passende uafhængighedsniveau. Det står i art. 6, stk. 4. I samme artikel åbner stk. 10 for, at opgaverne med at efterprøve, om kravene til IKT-risikostyring overholdes, kan outsources til koncerninterne eller eksterne virksomheder, mens virksomheden fortsat er fuldt ansvarlig. For en mindre finansiel virksomhed uden egen CISO er samspillet mellem de to bestemmelser afgørende for, hvordan en ekstern kan bruges. Artiklen gengiver ordlyden, forklarer kravet om adskillelse og beskriver de opgaver, en ekstern CISO kan løse, og hvordan uafhængigheden holdes. Den er ikke juridisk rådgivning.
Ordlyden i stk. 4 og stk. 10
Art. 6, stk. 4, lyder i den danske tekst, at finansielle enheder, der ikke er mikrovirksomheder, “overdrager ansvaret for styring af og tilsyn med IKT-risikoen til en kontrolfunktion og sikrer, at denne kontrolfunktion har et passende uafhængighedsniveau, således at interessekonflikter undgås”. Bestemmelsen kræver også en passende adskillelse af IKT-risikostyringsfunktioner, kontrolfunktioner og intern revision efter modellen med tre forsvarslinjer eller en intern model.
Art. 6, stk. 10, lyder: “De finansielle enheder kan i overensstemmelse med sektorspecifik EU-ret og national ret outsource de opgaver, der er forbundet med efterprøvning af overholdelsen af kravene til IKT-risikostyring, til koncerninterne eller eksterne virksomheder. I tilfælde af en sådan outsourcing er den finansielle enhed fortsat fuldt ud ansvarlig for at efterprøve overholdelsen af kravene til IKT-risikostyring.”
Læg mærke til forskellen i genstand. Stk. 4 handler om kontrolfunktionen. Stk. 10 handler om opgaverne med efterprøvning af overholdelsen. Forordningen siger ikke, at selve kontrolfunktionen i stk. 4 kan placeres hos en ekstern, og denne artikel tager ikke stilling til det spørgsmål. Hvordan Finanstilsynet ser på en konkret model, kan I spørge tilsynet om på dora@ftnet.dk.
Tre forsvarslinjer i en lille organisation
Modellen med tre forsvarslinjer beskrives almindeligvis sådan. Den første linje er de dele af virksomheden, der driver systemerne og ejer risikoen i hverdagen, herunder IT-driften og leverandørerne. Den anden linje fastlægger rammerne, overvåger risikoen og kontrollerer, at rammerne følges. Den tredje linje er den interne revision, som uafhængigt vurderer de to første. Forordningen tillader også en intern model, så længe adskillelsen er passende.
I en virksomhed med få ansatte kan det være svært at finde tre adskilte personer. Kravet om adskillelse og uafhængighed gælder alligevel for virksomheder, der ikke er mikrovirksomheder. Spørgsmålet, ledelsen skal kunne besvare, er derfor, hvem der udfører hvad, og hvorfor ingen af dem kontrollerer sit eget arbejde.
Revisorerne i den tredje linje skal efter stk. 6 have tilstrækkelig viden om IKT-risici og være tilstrækkeligt uafhængige. Det er beskrevet i den årlige gennemgang og den interne revision.
Det, en ekstern CISO kan udføre
Under virksomhedens ansvar kan en ekstern CISO løse en række opgaver, der understøtter kontrolfunktionen og ledelsesorganet. Efterprøvningen i punkt 2 er den type opgave, stk. 10 nævner. De øvrige punkter er rådgivning og forberedelse, som ledelsesorganet træffer beslutning på grundlag af:
- Udkast til rammen og politikkerne. Rammen for IKT-risikostyring, politikkerne efter art. 5, stk. 2, litra b, og strategien efter art. 6, stk. 8, kan skrives af den eksterne og godkendes af ledelsesorganet.
- Efterprøvning af overholdelsen. Den eksterne kan kontrollere, om kravene i forordningen og de interne politikker følges i praksis, fx ved at gennemgå dokumentation, tage stikprøver i adgange og ændringer og følge op på leverandørernes rapporter.
- Rapportering til ledelsesorganet. Resultaterne af efterprøvningen kan rapporteres direkte til ledelsesorganet i en fast form, med afvigelser, ejere og frister.
- Forberedelse af den årlige gennemgang efter stk. 5, så ledelsesorganet har et grundlag at træffe beslutning på.
- Sparring for den interne ansvarlige for kontrolfunktionen om metoder, prioritering og fortolkning af de tekniske standarder.
Opgaverne bør stå i en skriftlig aftale, så det er tydeligt, hvad den eksterne udfører, og hvad virksomheden selv beholder. Hvordan et mandat formuleres, står i mandatet til en ekstern CISO.
Sådan holdes uafhængigheden
Uafhængighed er et spørgsmål om, hvem der kontrollerer hvad. Fire forhold bør afklares og skrives ned:
- Adskillelse fra driften. Den, der efterprøver, bør hverken drive systemerne eller være jeres IT-leverandør. En leverandør, der kontrollerer sin egen leverance, har en indbygget interessekonflikt.
- Adskillelse fra den interne revision. Den eksterne CISO bør ikke også udføre den interne revision af den ramme, vedkommende har været med til at bygge.
- Eget arbejde. Har den eksterne skrevet en politik, er det en svaghed, hvis samme person alene efterprøver den. Det kan håndteres ved, at andre dele af efterprøvningen foretages internt, eller at revisionen ser særligt på netop de punkter.
- Økonomiske bindinger. En rådgiver bør ikke tjene på de løsninger, der anbefales eller kontrolleres. Bed derfor om en erklæring om uvildighed og om eventuelle forhandleraftaler med leverandører.
Rapporteringslinjen er også en del af uafhængigheden. Kan den eksterne kun rapportere gennem den direktør, hvis område efterprøves, er linjen svag. En direkte adgang til ledelsesorganet eller formanden løser det.
Hvem gælder kravet for?
Stk. 4 og stk. 6 gælder ikke for mikrovirksomheder. Heller ikke de enheder, der bruger den forenklede ramme, er omfattet af art. 6, fordi art. 5 til 15 ikke finder anvendelse på dem. De skal efter art. 16 have en robust og dokumenteret ramme, se den forenklede ramme i artikel 16.
Dokumentationen, ledelsen skal have
Ledelsen bør kunne vise, hvordan kontrolfunktionen er placeret, og hvorfor uafhængigheden er passende. I praksis drejer det sig om:
- en beskrivelse af kontrolfunktionen med navnet på den interne ansvarlige,
- aftalen med den eksterne og en beskrivelse af de outsourcede opgaver,
- en vurdering af interessekonflikter med de afbødende tiltag,
- en oversigt over rapporteringslinjerne til ledelsesorganet,
- referater, der viser, at ledelsesorganet modtager og behandler rapporterne.
Det skal I lade være med
- At overlade efterprøvningen til IT-leverandøren · det er den interessekonflikt, stk. 4 skal forhindre.
- At regne ansvaret for flyttet sammen med opgaverne · stk. 10 fastholder ansvaret hos virksomheden.
- At bygge modellen på en antagelse om tilsynets praksis · spørg Finanstilsynet, hvis I er i tvivl om placeringen.
Det skal I kræve af den eksterne
- ☐ En aftale, der skriftligt afgrænser de opgaver, den eksterne udfører efter stk. 10.
- ☐ En vurdering af interessekonflikter, også i forhold til eget arbejde.
- ☐ Direkte rapportering til ledelsesorganet med afvigelser, ejere og frister.
- ☐ Klar adskillelse fra driften og fra den interne revision.
- ☐ Oplysning om enhver binding til de leverandører, der efterprøves.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (eur-lex.europa.eu): art. 6, stk. 4, om kontrolfunktionen og tre forsvarslinjer, stk. 5 og 6 om gennemgang og intern revision, stk. 10 om outsourcing af efterprøvningen, art. 16 om den forenklede ramme.
- Finanstilsynet: Spørgsmål og svar om tilsyn med IKT og datasikkerhed
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ledelsesorganets ansvar efter DORA · Sikkerhedsorganisationen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
