En finansiel virksomhed, der vælger et europæisk alternativ, skal behandle den nye leverandør efter de samme DORA-regler som den gamle. Understøtter systemet en kritisk eller vigtig funktion, betyder det en vurdering før aftalen, bestemte punkter i kontrakten og en exitstrategi for den nye leverandør, også selv om grunden til skiftet var at mindske afhængigheden.
DORA, forordning (EU) 2022/2554, regulerer den digitale modstandskraft hos banker, forsikringsselskaber og andre finansielle enheder og har gældt siden 17. januar 2025. Den gælder kun for finansielle enheder. Artiklen gengiver forordningen i korte træk og markerer, hvor der er tale om vores læsning. Ingen advokat har læst teksten, og den kan ikke bruges som juridisk rådgivning. Er I i tvivl om en konkret forpligtelse, så spørg en advokat eller Finanstilsynet.
Først: er systemet kritisk eller vigtigt?
De strengeste krav gælder IKT-tjenester bag kritiske eller vigtige funktioner. Om en kontorpakke, et mailsystem eller et CRM gør det, afhænger af jeres egen klassificering. Forordningen definerer begrebet, men den siger ikke, hvilke systemer der falder ind under det. Har I allerede klassificeret det system, I vil erstatte, er udgangspunktet, at afløseren får samme klassificering, medmindre funktionen ændrer sig.
Alle IKT-aftaler skal i øvrigt opfylde de grundlæggende krav i art. 30, stk. 2, og alle aftaler skal i registret over kontraktlige ordninger efter art. 28, stk. 3.
Det, et nyt system udløser
Vurdering før aftalen. Efter art. 29, stk. 1, skal I, inden I indgår aftalen, se på, om den binder jer til en udbyder, der vanskeligt kan udskiftes, eller samler for meget hos én udbyder. Fordele og omkostninger ved andre løsninger skal vejes. For et europæisk alternativ betyder det, at også den nye leverandør skal vurderes for, hvor let den er at erstatte. En lille europæisk leverandør kan være sværere at erstatte end en stor.
Underleverandører og tredjelande. Kører alternativet på en anden udbyders cloud, er det underentreprise. Art. 29, stk. 2, kræver, at I afvejer fordele og risici, herunder insolvensreglerne, hvis udbyderen går konkurs, og begrænsninger ved hastende genopretning af data. Ligger noget i et tredjeland, skal I også se på databeskyttelse og håndhævelse af retten dér. Et alternativ med europæisk ejer og amerikansk drift skal altså vurderes på begge led. Hvordan I finder ud af, hvem der driver hvad, står i europæisk ejer, amerikansk drift.
Kontraktens indhold. Ifølge art. 30, stk. 2, litra d, skal aftalen sikre jer adgang til data, genopretning og tilbagelevering i et lettilgængeligt format, hvis leverandøren går konkurs, afvikler eller ophører, eller hvis aftalen opsiges. For kritiske eller vigtige funktioner kræver art. 30, stk. 3, litra f, exitstrategier i aftalen, herunder en obligatorisk passende overgangsperiode, hvor leverandøren fortsat leverer. Forordningen sætter ingen længde på perioden.
En exitstrategi for den nye leverandør. Efter art. 28, stk. 8, skal der være exitstrategier for tjenester bag kritiske eller vigtige funktioner, og det gælder også den nye leverandør fra første dag. Hvad den skal indeholde, er gennemgået på DORA og exitstrategien.
Hvad det betyder for valget af alternativ
Kravene gør nogle alternativer sværere at vælge end andre. Det er vores læsning, at følgende spørgsmål bør stilles tidligt, før I bruger tid på en pilot:
- Vil leverandøren skrive de punkter ind i aftalen, art. 30 kræver, eller tilbyder den kun standardvilkår?
- Kan leverandøren oplyse sine underleverandører og hvor data behandles, så I kan vurdere dem efter art. 29, stk. 2?
- Kan data hentes ud i et lettilgængeligt format, og er det afprøvet?
- Er leverandøren stor nok til at levere i en overgangsperiode, og hvad sker der, hvis den bliver opkøbt?
En leverandør, der ikke kan svare, kan være et godt produkt og et dårligt valg for jer. Den vurdering hører til, før I sammenligner funktioner.
Mindre finansielle virksomheder
Mikrovirksomheder og virksomheder under den forenklede ramme i art. 16 er undtaget fra nogle af kravene, fx strategien for tredjepartsrisiko i art. 28, stk. 2. Ordlyden af art. 28, stk. 8, om exitstrategier undtager dem ikke. Hvor langt kravet rækker for de mindste, har vi ikke kunnet afklare i kilderne. Finanstilsynet beskriver på sin side, hvilke virksomheder forordningen gælder for, og hvad den forenklede ramme indebærer.
Danske regler og bogføring
Danske regler om outsourcing for finansielle virksomheder har ændret sig, og de gældende regler kontrolleres hos Finanstilsynet. For bogføring gælder en særlig undtagelse. Finansielle virksomheder er undtaget fra kravet om, at sikkerhedskopien af et ikke-registreret bogføringssystem skal ligge hos en tredjepart i EU eller EØS, fordi de har egne regler. Undtagelsen omfatter også datterselskaber, der bruger koncernens system og følger moderselskabets regler.
Hvad det kræver, og hvad det koster at lade være
Et skifte i en finansiel virksomhed kræver mere forarbejde end andre steder. Regn med tid til klassificering, til vurderingen efter art. 29, til at forhandle aftalen på plads og til at skrive exitstrategien for den nye leverandør. Regn også med tid til at opdatere registret og til den løbende opfølgning. Skøn hver af dem i timer, både forsigtigt og rummeligt. Prisen for at leve op til kravene er en post i regnestykket, som ingen offentlig kilde sætter tal på.
Lader I være med at tage kravene med fra start, vælger I måske en leverandør, der ikke kan eller vil indgå den aftale, I skal have. Så står I med en pilot, der virker, og et valg, der ikke kan gennemføres.
Det skal I lade være med
- At gå ud fra, at europæisk betyder mindre DORA-arbejde · den nye leverandør skal vurderes efter samme regler.
- At vælge før kontraktkravene er afklaret · en leverandør med faste standardvilkår kan ende som et blindt spor.
- At glemme underleverandørerne · driften hos en anden udbyder skal også vurderes.
Det skal valget kunne vise
- ☐ Klassificering af den funktion, alternativet skal understøtte.
- ☐ Vurdering efter art. 29 af, hvor let den nye leverandør er at erstatte.
- ☐ Underleverandører og behandlingssteder for alternativet, med dato.
- ☐ Leverandørens svar på kontraktkravene i art. 30.
- ☐ Et udkast til exitstrategi for den nye leverandør.
Kilder
- Forordning (EU) 2022/2554 (DORA): art. 16, 28, 29 og 30.
- Finanstilsynet, Virksomheder omfattet af DORA.
- Bekendtgørelse nr. 303 af 20/3 2025: ændring af § 4, stk. 3, i bekendtgørelse nr. 205 af 29/2 2024.
Senest gennemgået: november 2026.
Næste skridt
Tag det system, I overvejer at erstatte, og find dets klassificering i jeres register. Den afgør, hvor tungt resten bliver.
Læs også: Europæisk ejer, amerikansk drift · Den lille europæiske leverandør
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
