Forordning (EU) 2022/2554 undtager i art. 2, stk. 3, seks grupper fra sine regler, fx visse forsikringsselskaber, små pensionskasser og formidlere af en vis størrelse. For en af grupperne er der stadig en dansk regel at forholde sig til. Bekendtgørelse nr. 1405 af 5. december 2024 om ledelse og styring af forsikringsselskaber m.v. fastslår i § 1, stk. 5, at bilag 4 om IT-sikkerhed alene gælder for gruppe 2-forsikringsselskaber. Bilaget kræver, at bestyrelsen vedtager en IT-sikkerhedspolitik og vurderer den mindst én gang om året, at direktionen fastsætter procedurer, og at der er en IT-beredskabsplan, som testes. Dertil kommer krav fra persondatareglerne, fra kunderne og fra samarbejdspartnere. Artiklen gennemgår, hvad det betyder for bestyrelse og direktion. Den er ikke juridisk rådgivning.
Hvem der står uden for DORA
Undtagelserne i art. 2, stk. 3, kan sammenfattes i seks punkter:
- litra a: de små forvaltere af alternative investeringsfonde,
- litra b: de forsikrings- og genforsikringsselskaber, som art. 4 i Solvens II omhandler,
- litra c: pensionskasser med en meget lille medlemskreds, se grænsen i bestemmelsen,
- litra d: de personer, MiFID II undtager i art. 2 og 3,
- litra e: formidlere af forsikring og genforsikring under grænsen for store virksomheder,
- litra f: postgirokontorer.
Undtagelsen skal kunne begrundes. Notatet om, hvorfor virksomheden står uden for, bygges op på samme måde som omfangsnotatet i er vi omfattet af DORA?. Formidlerne har deres egen gennemgang i forsikringsformidlere og DORA.
Gruppe 2-forsikringsselskaber og bilag 4
§ 1, stk. 5, i bekendtgørelse nr. 1405 lyder: “Bilag 4 om it-sikkerhed finder alene anvendelse for gruppe 2-forsikringsselskaber”. Hvordan gruppe 2 forholder sig til undtagelsen i DORA art. 2, stk. 3, litra b, gennemgås ikke her. Et selskab, der mener at høre til gruppe 2, bør derfor have den status bekræftet og skrive i sit notat, hvordan det har konstateret den. Når status er på plads, gælder bilag 4.
Bilagets krav kan samles i fire ledelsesopgaver.
Bestyrelsens IT-sikkerhedspolitik
Det er bestyrelsen, der vedtager IT-sikkerhedspolitikken. Politikken er dermed bestyrelsens eget dokument, og den skal kunne forklares af bestyrelsens medlemmer. Det er en fordel at holde den kort og overordnet: hvad selskabet vil beskytte, hvilken risiko bestyrelsen vil acceptere, hvem der har ansvaret, og hvordan bestyrelsen bliver orienteret. De tekniske detaljer hører hjemme i direktionens procedurer.
Opbygningen af en politik på ledelsesniveau er beskrevet i sikkerhedspolitikken, og spørgsmålet om, hvor meget risiko der kan accepteres, i risikovillighed.
Den årlige vurdering
Bestyrelsen skal vurdere politikken mindst én gang om året. Vurderingen bliver mest brugbar, når den bygger på et fast materiale:
- ændringer i selskabets forretning, systemer og leverandører siden sidste vurdering,
- hændelser og nærved-hændelser i perioden,
- resultatet af den seneste test af beredskabsplanen,
- status på de procedurer, direktionen har fastsat,
- et forslag til ændringer i politikken eller en begrundelse for at lade den stå.
Vurderingen og konklusionen skal stå i bestyrelsens referat. Placér den på samme tidspunkt hvert år i årshjulet for sikkerhed, så den ikke glider.
Direktionens procedurer
Efter bilag 4 fastsætter direktionen procedurerne. Det er dem, der omsætter politikken til hverdag: adgange, opdateringer, backup, logning, brug af IT-leverandører og håndtering af hændelser. I et mindre selskab ligger meget af driften hos en leverandør, og procedurerne skal derfor kunne genfindes i driftsaftalen. Direktionen bør også have en oversigt over, hvilke procedurer der findes, hvem der ejer dem, og hvornår de sidst blev gennemgået. Hvordan dokumenterne hænger sammen, er vist i sikkerhedsdokumenternes hierarki.
Beredskabsplanen, der testes
Bilag 4 kræver en IT-beredskabsplan, og planen skal testes. En plan, der aldrig er afprøvet, giver sjældent det overblik, den lover. Testen kan have flere former, fra en gennemgang ved bordet med direktion og nøglepersoner til en reel gendannelse af et system fra backup. Det vigtige er, at testen er planlagt, at resultatet er skrevet ned, og at manglerne bliver rettet. Beredskabet set fra ledelsen er samlet under beredskab, og en øvelse for ledelsen er beskrevet i øvelse for ledelsen.
Andre krav, der stadig gælder
Et selskab uden for DORA har stadig andre regler og forventninger at leve op til:
- Persondata. Databeskyttelsesforordningen gælder for kundernes oplysninger, og et sikkerhedsbrud, der rammer dem, følger forordningens egne regler for anmeldelse.
- Samarbejdspartnere under DORA. Pengeinstitutter, genforsikringsselskaber og andre partnere, som selv er omfattet, kan stille krav i aftalerne, hvis I indgår i deres leverandørkæde.
- Kunder. Erhvervskunder kan sende spørgeskemaer om IT-sikkerhed. Svarene skal hvile på det, der faktisk er på plads, se kundekrav.
- Andre regler. Om andre lovkrav til IT-sikkerhed gælder, afhænger af selskabets aktiviteter og skal vurderes for sig.
For de øvrige undtagne grupper i art. 2, stk. 3, gennemgår artiklen ingen særskilte danske IT-regler. Er I i en af dem, kan I spørge Finanstilsynet, hvad der gælder for jeres tilladelse.
Hvad en ekstern CISO kan udføre
En ekstern CISO kan skrive udkastet til bestyrelsens IT-sikkerhedspolitik, opbygge direktionens procedurer sammen med driftsleverandøren og forberede materialet til den årlige vurdering. Han eller hun kan også planlægge og lede testen af beredskabsplanen og samle resultatet til bestyrelsen. Vedtagelsen af politikken og den årlige vurdering er bestyrelsens.
Det skal I lade være med
- At læse undtagelsen fra DORA som en undtagelse fra IT-krav · bilag 4 og andre regler gælder stadig.
- At lade direktionen vedtage politikken · bilag 4 lægger den opgave hos bestyrelsen.
- At lade beredskabsplanen ligge utestet · kravet er, at den testes.
Det skal I kræve af den eksterne
- ☐ Et udkast til IT-sikkerhedspolitik, som bestyrelsen kan vedtage.
- ☐ Et fast materiale til den årlige vurdering.
- ☐ En oversigt over direktionens procedurer med ejer og dato.
- ☐ En testplan for beredskabsplanen og en rapport efter hver test.
- ☐ En vurdering af, hvilke krav fra samarbejdspartnere der rammer selskabet.
Kilder
- Bekendtgørelse nr. 1405 af 5. december 2024 om ledelse og styring af forsikringsselskaber m.v. (retsinformation.dk): § 1, stk. 5, og bilag 4 om IT-sikkerhed.
- Forordning (EU) 2022/2554 (DORA), dansk tekst på EUR-Lex: art. 2, stk. 3, om undtagelserne.
- Finanstilsynet: Virksomheder omfattet af DORA: listen over omfattede typer.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad skete der med Finanstilsynets IT-regler? · Forsikringsformidlere og DORA
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
