Leverandør til finanssektoren: DORA og ikke NIS 2‑loven

Et pengeinstitut, et forsikringsselskab eller en betalingsvirksomhed kan sende jer et krav om sikkerhedstest, der ligner et NIS2-krav, men bygger på en anden tekst. For finansielle enheder er det som udgangspunkt EU-forordningen om digital operationel modstandsdygtighed, DORA (forordning (EU) 2022/2554), der sætter rammen. NIS 2-lovens § 1, stk. 2, holder enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed uden for den danske NIS 2-lov, og DORA har siden 17. januar 2025 fundet anvendelse efter artikel 64.

Som IKT-leverandør er det jeres kontrakt med kunden, der binder jer. Men DORA bestemmer i høj grad, hvad kunden skal have med i den kontrakt. Teksten er ikke juridisk rådgivning.

Hvem DORA kalder jer

DORA bruger betegnelsen tredjepartsudbyder af IKT-tjenester. Artikel 3, nr. 19, definerer den bredt som en virksomhed, der leverer IKT-tjenester, og nr. 21 definerer IKT-tjenester som digitale tjenester og datatjenester, der løbende leveres gennem IKT-systemer, herunder hardware som en tjeneste. Driftsleverandøren, softwarehuset med en hostet løsning og cloududbyderen kan alle falde ind under betegnelsen.

Artikel 2, stk. 1, litra u, nævner tredjepartsudbydere af IKT-tjenester blandt dem, forordningen gælder for. Forordningens pligter retter sig dog især mod de finansielle enheder. For en lille udvalgt gruppe leverandører, som de europæiske tilsynsmyndigheder udpeger som kritiske efter artikel 31, er der en særlig tilsynsramme. Er I ikke udpeget, er det gennem kunden, at kravene når jer. → Energi, tele og finans uden for NIS 2-loven

Markedspladser og centrale modparter. NIS 2-lovens bilag 1, pkt. 4, nævner finansielle markedsinfrastrukturer: operatører af markedspladser og centrale modparter. Begge er også finansielle enheder efter DORA’s artikel 2, stk. 1, litra h og i, og DORA’s artikel 1, stk. 2, gør forordningen til en sektorspecifik EU-retsakt i forhold til NIS2. NIS 2-lovens § 1, stk. 3, holder loven uden for, hvor en sådan retsakt har mindst samme virkning. Leverer I til en markedsplads eller en central modpart, er det derfor som udgangspunkt DORA’s krav, I møder.

Det afgørende spørgsmål: understøtter I en kritisk eller vigtig funktion?

DORA skelner skarpt mellem tjenester, der understøtter en kritisk eller vigtig funktion hos kunden, og alle andre. Artikel 3, nr. 22, beskriver en kritisk eller vigtig funktion som en funktion, hvis forstyrrelse i væsentlig grad kan forringe kundens finansielle resultater eller robustheden og kontinuiteten af dens tjenester.

Det er kunden, der vurderer, om jeres tjeneste understøtter sådan en funktion. Efter artikel 28, stk. 4, litra a, skal vurderingen ske, før aftalen indgås. Spørg kunden om resultatet. Svaret afgør, hvilke kontraktbestemmelser I kan forvente, og dermed hvor meget testdokumentation og adgang kunden kan bede om. → Kritisk leverandør

Kontraktbestemmelserne, der handler om test

Artikel 30, stk. 2, opregner de elementer, alle aftaler om IKT-tjenester mindst skal indeholde. Her står blandt andet pligten til at bistå kunden ved en IKT-hændelse og til at samarbejde med kundens kompetente myndigheder. Artikel 30, stk. 3, lægger ekstra elementer oven i, når tjenesten understøtter en kritisk eller vigtig funktion. Tre af dem rører direkte ved test:

Litra c · krav om, at I gennemfører og afprøver beredskabsplaner og har IKT-sikkerhedsforanstaltninger, der giver kunden et passende sikkerhedsniveau.
Litra d · pligt til at deltage og samarbejde fuldt ud, hvis kunden gennemfører trusselsbaseret penetrationstest efter artikel 26 og 27.
Litra e · kundens, en udpeget tredjeparts og myndighedens ret til adgang, inspektion og revision, og en ret til at aftale alternative sikkerhedsniveauer, hvis andre kunders rettigheder påvirkes.

Bruger I selv underleverandører til den tjeneste, kunden køber, så læg mærke til artikel 30, stk. 2, litra a. Aftalen skal angive, om underentreprise af en IKT-tjeneste, der understøtter en kritisk eller vigtig funktion, er tilladt, og på hvilke betingelser. Det kan betyde, at kunden vil vide, hvordan jeres egne leverandører er testet, og om jeres testdokumentation dækker de dele, de leverer. → Krav til egne underleverandører

Det sidste punkt i listen er værd at kende for en leverandør med mange kunder. En inspektion hos jer kan berøre andre kunders data og drift, og forordningen giver plads til at aftale, hvordan det håndteres. → Ret til revision

Kundens eget testprogram og jeres rolle

Artikel 24 pålægger finansielle enheder, der ikke er mikrovirksomheder, at have et program for test af digital operationel modstandsdygtighed. Efter stk. 6 skal der mindst én gang om året gennemføres passende test af alle IKT-systemer og applikationer, der understøtter kritiske eller vigtige funktioner. Efter stk. 4 skal test udføres af uafhængige parter, interne eller eksterne. Artikel 25, stk. 1, nævner penetrationstest som én af flere testformer i programmet.

Kravet påhviler kunden, men hvis jeres tjeneste understøtter en kritisk funktion, kan den ikke holdes uden for programmet. Kunden kan derfor bede jer om testdokumentation, om lov til at teste selv eller om begge dele. Afklar på forhånd, hvem der må teste hvad, og hvordan resultatet deles. → Kunden vil selv teste

Trusselsbaseret penetrationstest forklaret kort

Visse finansielle enheder skal efter artikel 26 gennemføre avancerede test ved hjælp af trusselsbaseret penetrationstest, TLPT, som udføres på produktionssystemer. Inddrages en IKT-leverandør i testens omfang, skal kunden efter stk. 3 sikre leverandørens deltagelse. Stk. 4 åbner for en samlet test: hvis deltagelse kan skade leverandørens tjenester til kunder uden for forordningen, kan leverandøren efter skriftlig aftale selv indgå kontrakt med en ekstern tester, der under ledelse af en udpeget finansiel enhed tester for flere finansielle kunder på én gang.

Artikel 27 stiller særlige krav til testerne. Rammen er en anden end en almindelig penetrationstest og forklares nærmere på red-teaming.dk. Nielco IT tilbyder hverken TIBER-test eller TLPT.

Det skal I lade være med

At svare en bank med NIS2-dokumentation alene · kunden måler jer mod DORA’s begreber.
At gætte på, om I understøtter en kritisk funktion · det er kundens vurdering, og den bør stå i aftalen.
At sige ja til ubegrænset adgang uden at tænke på andre kunder · forordningen giver plads til alternative sikkerhedsniveauer.
At love deltagelse i en trusselsbaseret test uden en særskilt aftale · tilladelse, omfang og fortrolighed skal på plads først.
At antage, at kundens årlige test dækker jeres systemer · spørg, hvad kundens program omfatter.

Hvad kan og ikke kan konkluderes

DORA’s tekst viser, hvilke elementer en finansiel kunde skal have i aftalen med jer, og hvilke test kunden selv skal gennemføre. Den viser ikke, hvordan en bestemt kunde har vurderet jeres tjeneste, og den gør jer ikke til en finansiel enhed. En test af jeres leverance kan give kunden dokumentation til sit program, men den afgør ikke, om kunden opfylder forordningen. → Hvilken tekst gælder for jeres kunde?

Tjekliste før I svarer en finansiel kunde

☐ Har kunden oplyst, at kravet bygger på DORA, og hvilke artikler?
☐ Ved I, om jeres tjeneste understøtter en kritisk eller vigtig funktion?
☐ Er retten til adgang, inspektion og revision afgrænset, så andre kunder er beskyttet?
☐ Er det aftalt, hvordan kundens egne test af jeres systemer gennemføres?
☐ Er det beskrevet, hvad en eventuel deltagelse i en trusselsbaseret test kræver af jer?
☐ Kan jeres testdokumentation vises til kundens myndighed, hvis kunden beder om det?

Kilder

DORA, forordning (EU) 2022/2554: artikel 1, stk. 2, artikel 2, stk. 1, litra h, i og u, artikel 3, nr. 19, 21 og 22, artikel 24, stk. 4 og 6, artikel 25, stk. 1, artikel 26, stk. 3 og 4, artikel 27, artikel 28, stk. 4, artikel 30, stk. 2 og 3, artikel 31 og artikel 64.
NIS 2-loven, lov nr. 434 af 6. maj 2025: § 1, stk. 2 og 3, og bilag 1, pkt. 4.

Senest gennemgået: oktober 2026.