Under DORA er det klassificeringen, der afgør, om en hændelse skal indberettes til Finanstilsynet, og den sætter også uret i gang. Fra det øjeblik, hændelsen klassificeres som større, har virksomheden højst 4 timer til den indledende underretning. Derfor er spørgsmålet om, hvem der må klassificere, og hvem der gør det en lørdag nat, en beslutning, ledelsen bør træffe på forhånd. Kriterierne står i artikel 18 og i den delegerede forordning (EU) 2024/1772. Denne artikel forklarer opbygningen og de beslutninger, der hører til. Gennemgangen er ikke juridisk rådgivning.
Definitionen
Artikel 3, nr. 10, definerer en større IKT-relateret hændelse som en hændelse, der har en stor negativ indvirkning på de net- og informationssystemer, der understøtter kritiske eller vigtige funktioner i virksomheden. To ting fremgår allerede her. Hændelsen skal ramme systemer bag de funktioner, virksomheden har klassificeret som kritiske eller vigtige, og påvirkningen skal være stor. Er funktionerne aldrig blevet klassificeret, mangler klassificeringen af hændelser et udgangspunkt, se kritiske eller vigtige funktioner.
Kriterierne i artikel 18
Artikel 18, stk. 1, lister seks kriterier, som virksomheden bruger til at vurdere en hændelse:
- antallet eller relevansen af berørte kunder og finansielle modparter, omfanget af berørte transaktioner og påvirkningen af omdømmet,
- hvor længe hændelsen varer, og hvor længe tjenesterne er nede,
- den geografiske udbredelse,
- datatab,
- hvor kritiske de berørte tjenester er,
- de økonomiske virkninger.
Kriterierne er bevidst brede. Hvordan de omsættes til en afgørelse, står i den delegerede forordning.
Reglen i RTS 2024/1772, artikel 8
Den delegerede forordning (EU) 2024/1772 fastsætter tærskler for hvert kriterium og en regel for, hvordan de kombineres. Efter artikel 8 er en hændelse større, når den har påvirket kritiske tjenester, og når mindst én af to betingelser derudover er opfyldt:
- tærsklen for datatab er nået som følge af ondsindet, uautoriseret adgang til net- og informationssystemer, eller
- to af de øvrige tærskler er nået.
Påvirkningen af kritiske tjenester er altså en forudsætning i alle tilfælde. Herefter afgør datatab ved et angreb alene, at hændelsen er større, mens de øvrige kriterier skal nå deres tærskler to ad gangen. Tærsklerne for de enkelte kriterier står i forordningen og bør gengives i virksomhedens egen procedure, så den, der klassificerer, ikke skal slå op i EU-teksten under pres.
Forordningen tager også højde for hændelser, der vender tilbage. Gentagne hændelser, som hver for sig ligger under tærsklerne, kan lægges sammen og samlet blive en større hændelse. Det kræver, at virksomheden registrerer de små hændelser på en måde, så sammenhængen kan ses.
Hvem der klassificerer
Artikel 17 kræver en proces for styring af IKT-relaterede hændelser. Alle hændelser og væsentlige cybertrusler skal registreres, årsagerne findes, og processen skal fastlægge roller, klassificering, kommunikationsplaner og rapportering til den øverste ledelse. Efter artikel 17, stk. 3, litra e, skal den øverste ledelse som minimum informeres om større hændelser.
Hvem i virksomheden der træffer selve afgørelsen, fastlægges i processen, som ledelsesorganet efter artikel 5 har det endelige ansvar for. I en mindre virksomhed uden egen sikkerhedschef er en brugbar fordeling ofte:
- den, der opdager eller modtager meldingen, registrerer hændelsen og vurderer den mod tærsklerne,
- en navngiven person med mandat afgør, om hændelsen er større, og noterer tidspunktet,
- direktionen informeres straks ved en større hændelse og godkender den indledende underretning, hvis tiden tillader det.
Tidspunktet for klassificeringen skal kunne dokumenteres. Det er fra det tidspunkt, de 4 timer løber, og senere kan myndigheden spørge, hvorfor klassificeringen tog den tid, den tog.
Mandatet uden for arbejdstid
Hændelser respekterer ikke kontortid. Har kun direktøren mandat til at klassificere, og er direktøren på et fly, ligger afgørelsen stille. Fristreglen giver heller ikke ubegrænset tid til at vente. Den indledende underretning skal ske senest 24 timer efter, at virksomheden blev opmærksom på hændelsen, også selv om klassificeringen trækker ud.
Ledelsen bør derfor beslutte tre ting og skrive dem ind i proceduren:
- Hvem der har mandatet, med mindst én stedfortræder, og hvordan de kan nås hele døgnet.
- Hvornår IT-leverandøren skal ringe, fx ved alle hændelser, der påvirker de systemer, som understøtter kritiske eller vigtige funktioner. Mange hændelser opdages først hos leverandøren.
- Hvad der gælder ved tvivl. En regel om, at tvivl tæller som en større hændelse, indtil andet er afklaret, giver den vagthavende et klart udgangspunkt.
Mandatet skal også være kendt af dem, der skal bruge det. En procedure, som kun ligger i et dokumentsystem, der måske er ramt af hændelsen, hjælper ikke. Ledelsens rolle under selve forløbet er beskrevet i bestyrelsen under en hændelse.
Fra klassificering til indberetning
Når hændelsen er klassificeret som større, følger indberetningen til Finanstilsynet med frister i timer og dage. Rækkefølgen og indholdet af meldingerne er gennemgået i indberetning til Finanstilsynet. Har hændelsen indflydelse på kundernes finansielle interesser, skal kunderne også have besked uden unødigt ophold, se kunderne ved en IKT-hændelse.
Er virksomheden samtidig omfattet af andre regler om hændelser, kan samme hændelse udløse flere meldinger. Hvordan DORA og NIS2 forholder sig til hinanden for en finansiel virksomhed, står i DORA eller NIS2.
Det skal I lade være med
- At give én person eneret på klassificeringen. Fraværet bliver en forsinkelse, som fristen ikke tager hensyn til.
- At slette små hændelser fra registreringen. Gentagne hændelser kan tilsammen blive en større hændelse.
- At vente på fuld klarhed, før I klassificerer. Fristen på 24 timer fra kendskabet løber imens.
- At lade tidspunktet for klassificeringen stå udokumenteret. Det er udgangspunktet for fristen på 4 timer.
Det skal I kræve af den eksterne
- ☐ En procedure for klassificering med tærsklerne fra RTS 2024/1772 gengivet på dansk.
- ☐ En vagt- og mandatliste med stedfortrædere, som ledelsen godkender.
- ☐ En aftale med IT-leverandøren om, hvornår den skal ringe, og til hvem.
- ☐ Et hændelsesregister, der gør det muligt at se gentagne hændelser.
- ☐ En øvelse, hvor klassificeringen afprøves uden for normal arbejdstid.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (EUR-Lex): art. 3, nr. 10, art. 5, stk. 2, art. 17, herunder stk. 3, litra e, og art. 18, stk. 1.
- Delegeret forordning (EU) 2024/1772 (EUR-Lex): kriterier og tærskler for klassificering, art. 8 om større hændelser og om tilbagevendende hændelser.
- Delegeret forordning (EU) 2025/301 (EUR-Lex): art. 5, stk. 1, om fristen for den indledende underretning.
Senest gennemgået: november 2026.
Næste skridt
Læs også: IKT-driftsstabilitet og genopretning · Beredskab og hændelser set fra ledelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
