Rammer en større IKT-relateret hændelse kundernes finansielle interesser, skal virksomheden underrette dem uden unødigt ophold. Det følger af DORA artikel 19, stk. 3. Underretningen skal omtale hændelsen og de foranstaltninger, der er truffet for at begrænse dens skadelige virkninger. Pligten gælder ved siden af indberetningen til Finanstilsynet, som har faste frister i timer og dage. Bag underretningen ligger forordningens krav om kommunikationsplaner i artikel 14. Denne artikel gennemgår, hvad ledelsen skal have besluttet, før beskeden skal sendes. Det følgende er ikke juridisk rådgivning.
Hvornår kunderne skal underrettes
Artikel 19, stk. 3, har to betingelser. Hændelsen skal være klassificeret som større, og den skal have indflydelse på kundernes finansielle interesser. Det kan være, at betalinger ikke gennemføres, at kunder ikke kan se eller flytte deres midler, eller at oplysninger, der kan bruges til svindel, er kommet i forkerte hænder.
Vurderingen af den anden betingelse er en ledelsesbeslutning. Teknikerne kan sige, hvad der er ramt, men om kundernes økonomi er påvirket, kræver kendskab til produkterne og kundegrupperne. Selve klassificeringen af hændelsen er beskrevet i klassificering efter DORA.
Forordningen sætter intet timetal på “uden unødigt ophold”, så virksomheden skal kunne forklare en eventuel ventetid. En god grund kan være, at politiet har bedt om at vente, eller at virksomheden først skal vide, hvilke kunder der er berørt. Usikkerhed om formuleringen eller ønsket om at vente på flere detaljer er svagere grunde.
Kommunikationsplanerne i artikel 14
Artikel 14 kræver, at virksomheden har kommunikationsplaner for IKT-relaterede hændelser. Planerne indgår i den kommunikationsstrategi ved hændelser, som strategien for digital operationel modstandsdygtighed skal fastlægge efter artikel 6, stk. 8, litra h.
Efter artikel 14, stk. 3, skal mindst én person have ansvaret for kommunikationen med offentligheden og medierne. I en mindre virksomhed er det ofte direktøren eller en kommunikationsansvarlig. Ledelsen bør udpege personen og en stedfortræder og skrive det ind i planen, så journalister og kunder møder én stemme.
En brugbar kommunikationsplan svarer på fem spørgsmål:
- Hvem der beslutter, at kunderne skal underrettes, og hvem der godkender teksten.
- Hvilke kanaler der bruges, fx netbank, e-mail, sms, hjemmeside eller telefon, og hvilke der virker, hvis de normale systemer er nede.
- Hvem der skriver de første udkast, og hvor skabelonerne ligger.
- Hvem der svarer på henvendelser fra kunder og presse, og hvad de må sige.
- Hvornår der følges op, så kunderne får besked, når situationen ændrer sig, og når den er løst.
Den bredere krisekommunikation, også over for medarbejdere og samarbejdspartnere, er beskrevet i krisekommunikation ved cyberangreb.
Hvad beskeden skal indeholde
Forordningen kræver, at kunderne får at vide, at der er sket en hændelse, og hvilke foranstaltninger der er truffet for at afbøde virkningerne. Det giver et naturligt udgangspunkt for beskeden:
- hvad der er sket, i et sprog kunderne forstår,
- hvordan det påvirker dem,
- hvad virksomheden har gjort og gør,
- hvad kunderne selv kan gøre, fx være opmærksomme på opkald eller beskeder, der foregiver at komme fra virksomheden,
- hvor de kan få mere at vide.
Beskeden skal stemme overens med det, der indberettes til Finanstilsynet. Bliver kunderne fortalt én historie og myndigheden en anden, skaber det spørgsmål bagefter. Den, der skriver til kunderne, bør derfor arbejde ud fra samme hændelseslog som den, der skriver indberetningerne, se indberetning til Finanstilsynet.
Når personoplysninger er ramt
En IKT-relateret hændelse, der rammer kunderne, berører ofte også deres personoplysninger. Så kan der samtidig være tale om et brud på persondatasikkerheden, som har sine egne regler om anmeldelse til Datatilsynet og underretning af de registrerede. De to sæt regler har forskellige betingelser og forskellige modtagere, og det ene opfylder ikke det andet.
Ledelsen bør derfor sikre, at kommunikationsplanen nævner begge spor, og at den samme person holder styr på, hvem der har fået hvilken besked. Sammenhængen mellem et persondatabrud og en underretning efter cybersikkerhedsreglerne er beskrevet i persondatabrud og NIS2.
Når hændelsen sker hos leverandøren
I mange mindre finansielle virksomheder kommer de første oplysninger fra en IT-leverandør. Kunderne er stadig jeres, og pligten til at underrette dem ligger hos jer. Artikel 28, stk. 1, litra a, lader ansvaret blive hos jer, også når tjenesten er købt hos en leverandør. Aftalen bør derfor sikre, at leverandøren giver jer de oplysninger, der skal bruges til kundebeskeden, og at leverandøren ikke selv kommunikerer med jeres kunder uden aftale.
Planen skal afprøves
En kommunikationsplan virker først, når de udpegede personer har prøvet den. Artikel 11 kræver, at planerne for indsats og genopretning testes, og kommunikationen hører med i den helhed, se IKT-driftsstabilitet og genopretning. En øvelse kan tage udgangspunkt i et tænkt nedbrud af netbanken og afprøve, om skabelonerne passer, om kanalerne virker, og om godkendelsen kan gå hurtigt nok.
Det skal I lade være med
- At vente på det fulde billede, før kunderne hører noget. Forordningen kræver underretning uden unødigt ophold.
- At lade flere personer udtale sig til pressen. Artikel 14 forudsætter en udpeget ansvarlig.
- At sende kunderne en anden forklaring end myndigheden. Teksterne skal bygge på samme hændelseslog.
- At regne en anmeldelse til Datatilsynet for en DORA-underretning. Reglerne har hver deres modtagere.
Det skal I kræve af den eksterne
- ☐ Et udkast til kommunikationsplan efter artikel 14 med roller og stedfortrædere.
- ☐ Skabeloner til kundebeskeder i de kanaler, I bruger.
- ☐ En beslutningsregel for, hvornår kundernes finansielle interesser er påvirket.
- ☐ En kobling mellem kundebeskeden, indberetningen og en eventuel anmeldelse af et persondatabrud.
- ☐ En øvelse, hvor kommunikationen afprøves sammen med beredskabet.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (EUR-Lex): art. 6, stk. 8, litra h, art. 11, art. 14, herunder stk. 3, art. 19, stk. 3, og art. 28, stk. 1, litra a.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Når kunderne skal have besked · Persondatabrud og NIS2
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
