Art. 3, nr. 60, i forordning (EU) 2022/2554 gør en finansiel virksomhed til mikrovirksomhed, når den har færre end 10 ansatte og holder sig under en grænse for årlig omsætning eller balance. Fire typer er holdt ude af definitionen: markedspladser, centrale modparter, transaktionsregistre og værdipapircentraler. De kan aldrig få status som mikrovirksomhed, uanset størrelse. Status som mikrovirksomhed giver en håndfuld lempelser, som står spredt i forordningen: ingen pligt til en kontrolfunktion, ingen intern revision af rammen, en gennemgang med jævne mellemrum i stedet for hvert år og nogle færre krav om leverandører og test. Ledelsesorganets ansvar i art. 5, stk. 2, er derimod uændret, og det samme gælder hændelser, informationsregister og kontraktkrav. Mikrovirksomhed og den forenklede ramme i art. 16 er to forskellige ting. Artiklen samler lempelserne og pligterne, så ledelsen kan se, hvad der faktisk er tilbage. Den er ikke juridisk rådgivning.
Mikrovirksomhed og forenklet ramme
Den forenklede ramme i art. 16 gælder bestemte virksomhedstyper, fx visse undtagne betalingsinstitutter og små arbejdsmarkedsrelaterede pensionskasser, og erstatter art. 5 til 15 med otte samlede krav. Mikrovirksomheden er en størrelsesbetegnelse. En mikrovirksomhed, som ikke står på listen i art. 16, har den fulde ramme i art. 5 til 15, men med de lempelser, der er skrevet ind i de enkelte artikler. Hvilken af de to situationer jeres virksomhed er i, bør stå i omfangsnotatet. Den forenklede ramme er beskrevet i artikel 16.
De lempelser, der findes
Lempelserne står som pligter, der kun gælder enheder, som ikke er mikrovirksomheder, eller som en særregel for mikrovirksomheder:
- Art. 5, stk. 3. Pligten til at have en funktion, der følger IKT-aftalerne, eller alternativt et ansvarligt medlem af den øverste ledelse, gælder ikke.
- Art. 6, stk. 4. Pligten til at overdrage styringen af og tilsynet med IKT-risikoen til en uafhængig kontrolfunktion gælder ikke.
- Art. 6, stk. 5. Rammen skal gennemgås regelmæssigt. For andre virksomheder er kravet mindst én gang om året.
- Art. 6, stk. 6. Kravet om regelmæssig intern revision af rammen gælder ikke.
- Art. 24. Kravet om et risikobaseret testprogram retter sig mod de øvrige finansielle enheder. Test er stadig et emne for mikrovirksomheden, og red-teaming.dk har en gennemgang af testkravene i mindre finansielle virksomheder.
- Art. 26. Trusselsbaseret penetrationstest gælder ikke mikrovirksomheder.
- Art. 28, stk. 2. Kravet om en strategi for IKT-tredjepartsrisiko gælder ikke.
- Art. 30, stk. 3. Mikrovirksomheden kan aftale med leverandøren, at adgangs- og revisionsretten delegeres til en uafhængig tredjepart, som leverandøren udpeger.
Art. 4 om proportionalitet gælder desuden for alle. Kravene gennemføres med hensyn til størrelse, risikoprofil og kompleksitet.
De lempelser, der ikke findes
Resten af forordningens krav til ledelse og risikostyring gælder fuldt ud. De vigtigste for ledelsen:
- Ledelsesorganets ansvar. Alle ni punkter i art. 5, stk. 2, gælder. Ledelsesorganet har det endelige ansvar, godkender strategien og politikken for brug af IKT-leverandører og tildeler budget. Listen er gennemgået i ledelsesorganets ansvar efter DORA.
- Ledelsens egen viden. Art. 5, stk. 4, om at holde viden og færdigheder om IKT-risiko ajour gælder alle medlemmer.
- Strategien. Art. 6, stk. 8, om strategien for digital operationel modstandsdygtighed indeholder ingen undtagelse for mikrovirksomheder.
- Beredskab og backup. Art. 11 og 12 om indsats, genopretning, backup og gendannelse.
- Kurser. Art. 13, stk. 6, om programmer for bevidstgørelse og kurser for medarbejdere og den øverste ledelse.
- Hændelser. Art. 17 til 19 om processen for hændelser, klassificeringen og meldingen til Finanstilsynet.
- Leverandører. Art. 28, stk. 3, om informationsregistret, stk. 4 om vurderingen før en ny aftale og art. 30, stk. 2, om de krav, alle IKT-aftaler skal indeholde.
Sat op mod hinanden er billedet tydeligt: lempelserne handler om organisering og om, hvor meget kontrol der skal bygges ovenpå. Selve indholdet af sikkerhedsarbejdet er det samme.
Revisionsretten via en tredjepart
Lempelsen i art. 30, stk. 3, er den eneste, der kræver en aktiv beslutning i aftalen. Den angår kun aftaler, hvor IKT-tjenesten understøtter en kritisk eller vigtig funktion. Vælger virksomheden at bruge den, bør ledelsen se på tre forhold:
- Hvem leverandøren udpeger, og hvordan tredjepartens uafhængighed er beskrevet.
- Hvilke rapporter virksomheden modtager, hvor ofte, og om de dækker de tjenester, I bruger.
- Hvem hos jer der læser rapporterne og følger op på forbehold.
En rapport fra en tredjepart erstatter ikke virksomhedens eget overblik over leverandøren. Hvordan en erklæring læses, er beskrevet i IT-leverandørens ISAE-erklæring.
Når virksomheden vokser
Krydser virksomheden grænsen i art. 3, nr. 60, bortfalder lempelserne. Fra da af skal der være en kontrolfunktion med passende uafhængighed, en intern revision af rammen, en årlig gennemgang, et testprogram og en funktion eller et ledelsesmedlem med tilsyn med IKT-aftalerne. Det tager tid at etablere, og det er en fordel at have planen klar, før grænsen passeres. Spørgsmålet om kontrolfunktionen er gennemgået i kontrolfunktionen efter DORA.
Ledelsen bør derfor følge antallet af ansatte og regnskabstallene og tage status op i forbindelse med årsregnskabet.
En ekstern CISO i en mikrovirksomhed
Med få ansatte ligger meget af arbejdet med rammen hos ledelsen selv. En ekstern CISO kan skrive udkastene til strategi, politikker og planer, holde informationsregistret og forberede ledelsens gennemgang. Efter art. 6, stk. 10, kan virksomheden lade en ekstern virksomhed udføre de opgaver, der handler om at efterprøve, om kravene til IKT-risikostyring er overholdt. Virksomheden bærer stadig det fulde ansvar for efterprøvningen. Godkendelserne i art. 5, stk. 2, bliver hos ledelsesorganet.
Det skal I lade være med
- At forveksle mikrovirksomhed med den forenklede ramme · de to har forskellige regler.
- At tro, at mikrovirksomheder kan springe strategien over · art. 6, stk. 8, har ingen undtagelse.
- At bruge revisionsretten via tredjepart uden at læse rapporterne · lempelsen flytter arbejdet, ansvaret bliver hos jer.
Det skal I kræve af den eksterne
- ☐ En oversigt over de lempelser, der gælder for jer, med artikelhenvisning.
- ☐ Udkast til strategi og politikker, som ledelsesorganet kan godkende.
- ☐ En vurdering af aftalerne, hvor revisionsretten er delegeret.
- ☐ En plan for det, der skal etableres, hvis virksomheden vokser forbi grænsen.
- ☐ En klar fordeling af, hvad den eksterne udfører, og hvad ledelsen selv godkender.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst på EUR-Lex: art. 3, nr. 60, om mikrovirksomheder, art. 4 om proportionalitet, art. 5, stk. 2 til 4, art. 6, stk. 4 til 6, 8 og 10, art. 11 til 13, art. 17 til 19, art. 24, art. 26, art. 28, stk. 2 til 4, og art. 30, stk. 2 og 3.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kontrolfunktionen efter DORA · Er vi omfattet af DORA?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
