DORA og tredjeparts­udbydere af IKT-tjenester: hvad finansielle virksomheder har brug for fra deres leverandører

01Status i begyndelsen af november 2026

Forordningen om digital operationel modstandsdygtighed (åbner et eksternt websted), forordning (EU) 2022/2554 (DORA), har gældt siden 17. januar 2025. Som forordning gælder den direkte i alle medlemsstater; national lov udpeger især de kompetente myndigheder og fastsætter sanktionerne. Detaljerne står i tekniske standarder vedtaget af Kommissionen om rammen for IKT-risikostyring, klassifikation og indberetning af hændelser, registret over oplysninger, kontraktpolitikker, underleverancer og trusselsbaseret penetrationstest.

For finansielle enheder er DORA den sektorspecifikke retsakt der træder i stedet for NIS 2-reglerne om IKT-risikostyring, indberetning af hændelser og tilsyn. Den 18. november 2025 offentliggjorde (åbner et eksternt websted) de tre europæiske tilsynsmyndigheder (EBA, EIOPA og ESMA) den første liste over kritiske tredjepartsudbydere af IKT-tjenester som de fører direkte tilsyn med.

02Finansielle enheder og deres IKT-udbydere

DORA omfatter tyve typer finansielle enheder, fra kreditinstitutter, betalingsinstitutter, e-pengeinstitutter og investeringsselskaber til udbydere af kryptoaktivtjenester, markedspladser, forvaltere af investeringsfonde, forsikringsselskaber, forsikringsformidlere, arbejdsmarkedsrelaterede pensionskasser, kreditvurderingsbureauer og crowdfundingplatforme. I Danmark rammer det typisk banker, realkreditinstitutter, pensionskasser og forsikringsselskaber. Proportionalitet er bygget ind: artikel 4 skalerer kravene efter størrelse, risikoprofil og kompleksitet, og artikel 16 fastsætter en forenklet ramme for visse mindre enheder.

En tredjepartsudbyder af IKT-tjenester er enhver virksomhed der leverer IKT-tjenester, og DORA definerer dem bredt: digitale tjenester og datatjenester der løbende leveres gennem IKT-systemer til interne eller eksterne brugere. Hosting, administrerede tjenester, software as a service, vedligeholdelse og support af applikationer og datatjenester falder typisk ind under definitionen. Leverandører er ikke under tilsyn efter DORA, medmindre de udpeges som kritiske, men deres kunder bærer pligterne ind i hver kontrakt.

03Ledelsesorganet bærer IKT-risikoen

Artikel 5 giver ledelsesorganet det endelige ansvar for IKT-risikoen. Det fastlægger, godkender og fører tilsyn med rammen for IKT-risikostyring, fastsætter strategien for digital operationel modstandsdygtighed og risikotolerancen, godkender politikken for driftskontinuitet og planerne for reaktion og reetablering og godkender og gennemgår politikken for brug af IKT-tjenester fra tredjepartsudbydere. Medlemmerne skal holde deres viden ajour, blandt andet gennem regelmæssig uddannelse.

04Større hændelser: 4 timer, 72 timer, en måned

Finansielle enheder klassificerer IKT-relaterede hændelser efter kriterierne i artikel 18, uddybet i delegeret forordning (EU) 2024/1772 (åbner et eksternt websted): berørte kunder og transaktioner, varighed og nedetid, geografisk udbredelse, datatab, kritikaliteten af de berørte tjenester og økonomisk virkning. En større hændelse indberettes til den kompetente myndighed i tre trin med frister fastsat i delegeret forordning (EU) 2025/301 (åbner et eksternt websted):

Kunder hvis økonomiske interesser berøres, skal informeres uden unødigt ophold. En finansiel enhed kan outsource selve indberetningen til en tredjepart, men den har stadig det fulde ansvar for den (artikel 19, stk. 5).

For leverandører er det konkret. Hver IKT-kontrakt skal indeholde udbyderens pligt til at hjælpe, når der sker en hændelse i forbindelse med dens tjeneste, uden ekstra omkostninger eller til en pris aftalt på forhånd (artikel 30, stk. 2, litra f). Kundens vindue på fire timer virker kun, hvis leverandørens overvågning, logge og kontaktpersoner er på plads, før hændelsen sker.

05Test, helt op til trusselsbaserede penetrationstest

Artikel 24 kræver et risikobaseret testprogram, udført af uafhængige interne eller eksterne testere, med passende test mindst én gang om året af alle IKT-systemer og applikationer der understøtter kritiske eller vigtige funktioner. Enheder som den kompetente myndighed udpeger, skal desuden gennemføre trusselsbaseret penetrationstest mindst hvert tredje år på systemer i drift efter delegeret forordning (EU) 2025/1190 (åbner et eksternt websted), der følger rammen TIBER-EU.

Når en leverandørs tjenester er omfattet af en TLPT, skal den finansielle enhed sikre at leverandøren deltager (artikel 26, stk. 3), og kontrakter for kritiske eller vigtige funktioner skal indeholde den pligt (artikel 30, stk. 3, litra d). Kan leverandørens deltagelse skade dens andre kunder, tillader DORA samlet test, hvor leverandøren direkte hyrer en ekstern tester på vegne af flere finansielle enheder (artikel 26, stk. 4).

06IKT-tredjeparts­risiko: strategi, register og exit

Artikel 28 gør IKT-tredjeparts­risiko til en del af rammen for IKT-risikostyring, og den finansielle enhed har stadig det fulde ansvar for at reglerne overholdes, uanset hvad den outsourcer. De vigtigste pligter:

• En strategi for IKT-tredjeparts­risiko, herunder en politik for IKT-tjenester der understøtter kritiske eller vigtige funktioner, som ledelsesorganet gennemgår regelmæssigt.
• Et register over oplysninger om alle kontraktlige aftaler om IKT-tjenester, på enheds- og koncernniveau, der skelner de aftaler ud som understøtter kritiske eller vigtige funktioner. Skabelonerne er fastsat i gennemførelsesforordning (EU) 2024/2956 (åbner et eksternt websted). Enhederne rapporterer om registret til deres kompetente myndighed mindst én gang om året og udleverer hele registret på anmodning.
• Due diligence før underskrift: om tjenesten understøtter en kritisk eller vigtig funktion, risiciene inklusive koncentrationsrisiko, leverandørens egnethed og eventuelle interessekonflikter. Leverandører skal anvende passende standarder for informationssikkerhed, og for kritiske eller vigtige funktioner de mest ajourførte standarder af højeste kvalitet.
• Ret til opsigelse, blandt andet ved væsentlig misligholdelse fra leverandørens side, dokumenterede svagheder i leverandørens IKT-risikostyring eller forhold der forhindrer effektivt tilsyn.
• Exitstrategier for IKT-tjenester der understøtter kritiske eller vigtige funktioner, dokumenteret og testet, så enheden kan komme ud uden at forstyrre sin forretning, begrænse sin regeloverholdelse eller skade tjenesterne til sine kunder.

Hvad kontrakten skal indeholde

Artikel 30 fastsætter minimumsvilkårene. Hver IKT-kontrakt skal være skriftlig, samlet i ét dokument der omfatter serviceniveauerne, og som minimum dække:

• en fuldstændig beskrivelse af funktioner og tjenester, og om og på hvilke betingelser underleverancer er tilladt;
• de steder hvor tjenesterne leveres, og hvor data behandles og opbevares, med varsel om enhver ændring;
• tilgængelighed, autenticitet, integritet og fortrolighed af data, herunder personoplysninger;
• adgang til, gendannelse og tilbagelevering af data i et let tilgængeligt format ved insolvens, ophør eller opsigelse;
• beskrivelser af serviceniveauer;
• hjælp ved IKT-hændelser i forbindelse med tjenesten, uden ekstra omkostninger eller til en pris aftalt på forhånd;
• fuldt samarbejde med de kompetente myndigheder og afviklingsmyndighederne;
• ret til opsigelse og minimale opsigelsesfrister;
• deltagelse i enhedens programmer for bevidsthed om IKT-sikkerhed og træning i digital operationel modstandsdygtighed.

For tjenester der understøtter kritiske eller vigtige funktioner, tilføjer artikel 30, stk. 3, præcise kvantitative og kvalitative præstationsmål, pligter til varsling og rapportering, beredskabsplaner som leverandøren gennemfører og tester, deltagelse i TLPT, ubegrænset ret til adgang, inspektion og audit for enheden og dens tilsynsmyndighed og en exitstrategi med en obligatorisk overgangsperiode. Delegeret forordning (EU) 2025/532 (åbner et eksternt websted) fastsætter hvad enheden skal vurdere, når sådanne tjenester gives i underleverance.

07Kritiske tredjeparts­udbydere af IKT-tjenester

Efter artikel 31 udpeger de europæiske tilsynsmyndigheder IKT-udbydere der er kritiske for den finansielle sektor, ud fra deres systemiske betydning, betydningen af de finansielle enheder der er afhængige af dem, deres rolle i kritiske eller vigtige funktioner og hvor let de kan erstattes. Hver kritisk udbyder får en ledende tilsynsførende, en af de tre myndigheder, der kan anmode om oplysninger, gennemføre undersøgelser og inspektioner og udstede henstillinger.

Den første liste (åbner et eksternt websted), offentliggjort 18. november 2025, udpegede 19 udbydere, fra operatører af cloud og datacentre til teleselskaber, it-servicevirksomheder, udbydere af markedsdata og virksomheder inden for forretningssoftware. Udpegningen fritager ikke den finansielle enhed for nogen pligt: den skal stadig føre registret, have kontraktvilkårene og en exitstrategi for hver af disse udbydere.

08Hvad en IKT-udbyder skal have klar

De fleste leverandører til finansielle enheder bliver aldrig udpeget som kritiske, men alle møder DORA gennem kontrakter, due diligence og audits. En leverandør der har følgende på plads, forkorter udbudsprocessen og gør kundens dialog med tilsynsmyndigheden lettere:

• Registerdata. Det kunden har brug for til sit register over oplysninger: juridisk enhed og identifikatorer, de leverede tjenester og de funktioner de understøtter, placeringer og underleverandørerne i kæden.
• Kontraktvilkår der matcher artikel 30. Helst et standardtillæg om DORA der dækker begge lister, i stedet for at forhandle hver klausul fra bunden.
• Dokumentation ved hændelser. Overvågning, logge med pålidelige tidsstempler og en procedure for underretning der lader kunden klassificere og indberette inden for få timer.
• Testet kontinuitet. Beredskabsplaner og genskabelsestest med datoer og resultater.
• Sikkerhed du kan vise. Standarder for informationssikkerhed, adgangskontrol, en sikker udviklingsproces og håndtering af sårbarheder, med uafhængig dokumentation hvor det er muligt.
• Klar til audit og test. En brugbar måde at modtage audits og inspektioner på og at deltage i TLPT, inklusive samlet test hvor det passer.
• En exitplan. Tilbagelevering af data i brugbare formater, dokumentation og hjælp til overgangen i en aftalt periode.

Sådan arbejder vi som IKT-leverandør til finansielle enheder: vi aftaler de kontraktvilkår DORA kræver, underretter om hændelser gennem den aftalte kanal, dokumenterer exitplaner, deltager i test af modstandsdygtighed og leverer de oplysninger dit register har brug for. Vores side om tillid og compliance beskriver hvordan vi arbejder, herunder vores ledelsessystem for informationssikkerhed, certificeret efter ISO/IEC 27001.

09En praktisk plan for begge parter

1. 01Gør registret færdigt. Kobl hver IKT-kontrakt til de funktioner den understøtter, og markér de kritiske eller vigtige.
2. 02Luk hullerne i kontrakterne. Sammenlign hver kontrakt med artikel 30, og aftal et tillæg, hvor vilkår mangler.
3. 03Afstem håndteringen af hændelser. Aftal input til klassifikation, kontaktpersoner og underretningstider med hver kritisk leverandør, og test dem.
4. 04Planlæg test med leverandørerne. Tag dem med i testprogrammet og, hvor det er relevant, i afgrænsningen af en TLPT.
5. 05Skriv og test exitstrategier. For hver kritisk eller vigtig funktion: alternativer, tilbagelevering af data og overgangsperiode.
6. 06Hold øje med koncentration. Flere kritiske funktioner hos samme udbyder er en risiko der skal dokumenteres og styres (artikel 29).

10Din kompetente myndighed

DORA er den samme tekst overalt, men tilsynet er nationalt for de fleste finansielle enheder: centralbanken, tilsynsmyndigheden eller markedsmyndigheden afhængigt af typen af enhed, og ECB for signifikante banker. I Danmark fører Finanstilsynet tilsyn med at DORA overholdes. Formatet og kanalen for registret over oplysninger og for indberetning af hændelser og den myndighed der har ansvaret for TLPT, fastlægges nationalt. Tjek vejledningen fra din egen myndighed.

11Hvad du skal holde øje med de kommende måneder

• Din kompetente myndigheds prioriteter og konstateringer om registret over oplysninger og indberetning af hændelser.
• De ledende tilsynsførendes tilsyn med kritiske tredjepartsudbydere af IKT-tjenester og eventuelle henstillinger der berører tjenester du bruger.
• Kommissionens forslag om en digital omnibus (åbner et eksternt websted), COM(2025) 837, der vil sende indberetninger af større hændelser efter DORA gennem ét fælles indgangspunkt drevet af ENISA. I oktober 2026 lå forslaget stadig hos Europa-Parlamentet; indtil det er vedtaget og finder anvendelse, gælder de nuværende kanaler og frister.

Organisationer uden for den finansielle sektor møder lignende krav til forsyningskæden efter NIS 2-loven; se vores artikel om NIS 2-loven og softwareleverandører. De europæiske tilsynsmyndigheder har en oversigt over de tekniske standarder og tilsynsrammen på deres sider om DORA (åbner et eksternt websted) (på engelsk).