DORA giver de europæiske tilsynsmyndigheder, ESA’erne, en egen tilsynsramme for de IKT-udbydere, som hele den finansielle sektor er afhængig af. Udbydere, der udpeges som kritiske, får en ledende tilsynsførende, som vurderer deres styring af IKT-risiko. For en mindre dansk finansiel virksomhed, der køber tjenester hos en af dem, er det vigtigste at vide, at udpegningen ikke flytter noget af jeres eget ansvar. Artiklen forklarer, hvordan udpegningen foregår, hvad den kan bruges til i jeres leverandørstyring, og hvad ledelsen fortsat selv skal gøre.
Hvad en kritisk tredjepartsudbyder er
Forordningen (EU) 2022/2554 definerer i art. 3, nr. 23, en kritisk tredjepartsudbyder af IKT-tjenester som en udbyder, der er udpeget efter art. 31. Begrebet er formelt, og en udbyder er først kritisk i forordningens forstand, når ESA’erne har udpeget den.
Udpegningen bygger blandt andet på tre forhold:
- Systemisk indvirkning. Hvilken betydning et svigt hos udbyderen vil have for den finansielle sektor og for stabiliteten.
- Afhængighed. I hvilket omfang finansielle virksomheder bruger udbyderen til tjenester, der understøtter kritiske eller vigtige funktioner.
- Erstattelighed. Hvor let det er at flytte tjenesten til en anden udbyder.
Listen over udpegede udbydere offentliggøres og ajourføres hvert år. Den første liste blev offentliggjort i november 2025.
Den ledende tilsynsførende
For hver udpeget udbyder udpeges en ledende tilsynsførende blandt ESA’erne. Efter art. 33 vurderer den ledende tilsynsførende udbyderens IKT-risikostyring. Tilsynet foregår på europæisk niveau og retter sig mod udbyderen.
Tilsynets rækkevidde er afgrænset til udbyderens egen styring. Om netop jeres brug af tjenesten er tilrettelagt forsvarligt, om jeres kontrakt rummer det, art. 30 kræver, og om jeres exitplan holder, er spørgsmål, som jeres egen ledelse skal besvare.
Ansvaret bliver hos jer
Art. 28, stk. 1, litra a, slår fast, at en finansiel virksomhed, der har indgået aftaler om IKT-tjenester, altid bærer hele ansvaret for sine forpligtelser efter forordningen. Bestemmelsen skelner ikke mellem udpegede og andre udbydere.
For ledelsen betyder det, at de krav, der gælder alle IKT-leverandører, også gælder her:
- Vurderingen før aftalen efter art. 28, stk. 4, se før en ny IKT-aftale.
- Kontraktkravene i art. 30, stk. 2, og ved kritiske eller vigtige funktioner også stk. 3, se kontrakten med IT-leverandøren.
- Registreringen af aftalen i informationsregistret efter art. 28, stk. 3.
- Exitstrategien efter art. 28, stk. 8, når tjenesten bruges til en kritisk eller vigtig funktion.
En stor udbyder tilbyder ofte standardvilkår, som en lille kunde ikke kan forhandle om. Kravene er de samme, og derfor skal gennemgangen af vilkårene være grundig, og mangler skal noteres og forelægges ledelsen, så beslutningen om at bruge tjenesten træffes på et oplyst grundlag.
Hvad udpegningen kan bruges til
Udpegningen giver oplysninger, der kan bruges i jeres eget arbejde, selv om den ikke er en godkendelse af udbyderen.
Koncentrationsrisiko. Kriterierne for udpegning ligner de spørgsmål, art. 29 stiller om koncentrationsrisiko: afhængighed og erstattelighed. En udbyder på listen er efter ESA’ernes vurdering en, som mange er afhængige af, og som ikke er let at erstatte. Det bør indgå, når ledelsen vurderer, hvor mange af jeres kritiske eller vigtige funktioner der hviler på samme udbyder.
Leverandøroverblikket. Det er nyttigt at notere i registret og leverandøroverblikket, hvilke af jeres leverandører der er udpeget. Listen ajourføres årligt, så kontrollen kan lægges ind i årshjulet sammen med gennemgangen af registret. Hvordan overblikket kan bygges op, står i leverandøroverblik.
Kæden bag jeres leverandør. En mindre virksomhed køber ikke altid direkte hos de største udbydere. De kan også ligge bag jeres driftsleverandør eller softwarehus som underleverandører. Spørg derfor jeres leverandører, hvilke udbydere de selv bygger på, og om nogen af dem er udpeget. Svaret hører med i vurderingen af koncentration og i kontraktens bestemmelser om underentreprise.
Spørgsmål ledelsen kan stille
Ved den årlige gennemgang af leverandørerne kan bestyrelsen få svar på fire spørgsmål:
- Hvilke af vores leverandører og deres underleverandører er udpeget som kritiske?
- Hvilke af vores kritiske eller vigtige funktioner hviler på dem?
- Lever vores kontrakter med dem op til art. 30, og hvor er der kendte mangler?
- Har vi en exitstrategi, der er realistisk, også hvis udbyderen er svær at erstatte?
Svarene kan samles på en enkelt side i den årlige leverandørrapport, så udviklingen fra år til år bliver synlig.
Svarene giver bestyrelsen et grundlag for at beslutte, om afhængigheden er acceptabel, eller om der skal gøres noget ved den. Beslutningen bør stå i referatet.
Det skal I lade være med
- At læse udpegningen som en godkendelse. Tilsynet med udbyderen erstatter ikke jeres egen vurdering.
- At springe kontraktgennemgangen over hos store udbydere. Kravene i art. 30 gælder også her.
- At se på de direkte leverandører alene. De udpegede udbydere kan ligge længere nede i kæden.
- At bruge listen uden at tjekke, om den er ajourført. Den opdateres hvert år.
Det skal I kræve af den eksterne
- ☐ En kortlægning af, hvilke af jeres leverandører og underleverandører der er udpeget som kritiske.
- ☐ En vurdering af koncentrationen i de funktioner, der hviler på dem.
- ☐ En gennemgang af vilkårene hos de udpegede udbydere mod art. 30 med en liste over mangler.
- ☐ En årlig kontrol af listen, skrevet ind i årshjulet.
- ☐ Anbefalinger om leverandørvalg uden økonomisk interesse i valget.
Kilder
- Forordning (EU) 2022/2554 (DORA), EUR-Lex: art. 3, nr. 23, art. 28, stk. 1, litra a, stk. 3, 4 og 8, art. 29, art. 30, art. 31 og art. 33.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kritiske eller vigtige funktioner · Informationsregistret
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
