En exitplan efter DORA skal vise, hvad I gør, hvis en IKT-tjeneste til en kritisk eller vigtig funktion svigter, leverer for dårligt eller ophører uventet, og hvordan tjenesten og data så kommer over til en anden udbyder eller tilbage i egen drift. Forordningerne stiller kravene til indholdet, men de giver ingen skabelon. Dispositionen nedenfor er derfor sitets egen, og hvert afsnit henviser til den bestemmelse, det bygger på.
Kravene gælder finansielle enheder. Andre kan bruge opbygningen som model. Teksten er forenklet efter forordningerne, som de lå 6. november 2026, og hvad en bestemt aftale kræver, er et spørgsmål til jeres compliance eller advokat. De generelle felter for alle systemer står i hvad en exit-plan skal indeholde. Her er felterne knyttet til reglen, så en kontrol kan følge sporet.
Forordning 2024/1773, art. 10, kræver en plan pr. kontraktlig ordning. Lav derfor ét dokument pr. aftale, også når flere aftaler ligger hos samme leverandør.
Afsnit 1: Aftale og funktion
Aftalens navn, leverandør, udløb og opsigelsesvarsel, og hvilken kritisk eller vigtig funktion tjenesten understøtter. Begreberne står i art. 3, nr. 22. Henvis til linjen i registret over IKT-aftaler efter art. 28, stk. 3, så de to dokumenter ikke siger noget forskelligt.
Afsnit 2: Scenarier
Art. 28, stk. 8, første afsnit, nævner et svigt hos udbyderen, en forringet kvalitet, forstyrrelser i driften, væsentlige risici ved fortsat brug og en opsigelse efter stk. 7. Forordning 2024/1773, art. 10, nævner uventet opsigelse, mislykket eller uhensigtsmæssig levering og driftsafbrydelser, der er uforudsete og vedvarende. Skriv for hvert scenarie, hvor meget tid I har, og hvad der virker imens. Scenarierne skal være plausible og antagelserne rimelige, så skriv antagelserne ud.
Afsnit 3: Udløsere og beslutning
Hvad der får planen i gang, og hvem der beslutter. Opsigelsesgrundene i art. 28, stk. 7, er et oplagt grundlag: en væsentlig overtrædelse, forhold, som ændrer leverancen, svagheder i leverandørens IKT-risikostyring, der er dokumenteret, og at myndigheden ikke længere er i stand til at føre tilsyn. Art. 6 i forordning 2025/532 giver mulighed for at aftale opsigelse ved visse ændringer i underentreprise. Finans Norges vejledning har i bilag 8.10 tolv eksempler på udløsere, som kan bruges som inspiration til jeres egne udløsere.
Afsnit 4: Alternativ
Art. 28, stk. 8, fjerde afsnit, kræver identificerede alternative løsninger. Skriv den konkrete løsning, og om den er en anden udbyder eller egen drift. Art. 1, litra i, i 2024/1773 nævner, om tjenesten kan overføres, også set i lyset af teknologiske forhold. Findes der ikke et alternativ på kort sigt, skal planen sige det. Finans Norge peger på, at planen så må sikre kontinuitet i længere tid.
Afsnit 5: Overgangsplan
Trin for trin, med rækkefølge, ansvarlige og tid, så tjenester og data “sikkert og fuldstændigt” kan overføres. Gennemførelsesplanen skal efter art. 10, andet afsnit, passe til udtrædelses- og opsigelsesvilkårene i aftalen. Læg derfor opsigelsesvarslet ved siden af jeres egen tid. Hvis de to ikke passer sammen, er det et fund.
Afsnit 6: Overgangsperioden
Art. 30, stk. 3, litra f, kræver en overgangsperiode, der er obligatorisk og passende. I den periode leverer udbyderen stadig, så I kan migrere eller skifte til interne løsninger, som tjenestens kompleksitet tilsiger. Forordningen sætter ingen længde. Skriv den aftalte periode, hvor den står i kontrakten, og hvorfor den er passende for netop denne tjeneste. Metoden står i overgangsperioden.
Afsnit 7: Data
Hvilke data, i hvilket format, og hvordan I får dem. Efter art. 30, stk. 2, litra d, skal I kunne tilgå data, genoprette dem og modtage dem igen i et format, der er lettilgængeligt, ved leverandørens insolvens, afvikling eller afbrydelse af forretningen og ved opsigelse. Tag også stilling til sletning og kontrol af fuldstændighed. Art. 29, stk. 2, om insolvensret ved underentreprise er værd at læse, hvis data ligger hos et led længere nede i kæden.
Afsnit 8: Drift undervejs
Art. 28, stk. 8, andet afsnit, kræver, at I kan opsige, mens forretningen kører videre, reglerne stadig efterleves, og kunderne ikke lider skade. Femte afsnit kræver passende beredskabsforanstaltninger. Skriv, hvordan funktionen holdes kørende, hvem der fortæller kunderne hvad, og hvilke regler der stadig skal opfyldes i overgangen.
Afsnit 9: Ansvar og godkendelse
Art. 28, stk. 1, litra a, placerer det fulde ansvar hos enheden. Navngiv planens ejer, stedfortræder, kontaktperson hos leverandøren og den, der har godkendt planen, i forretningen og i IKT.
Afsnit 10: Test og gennemgang
Art. 28, stk. 8, tredje afsnit, kræver test i tilstrækkeligt omfang og regelmæssig gennemgang. Art. 10 i 2024/1773 taler om periodisk gennemgang og test. Skriv testform, omfang, begrundelse for omfanget, dato, resultat, fund og næste dato. Formen er jeres valg, se test af exitplaner efter DORA. Kravene til aftalen set fra ledelsen står på ciso-as-a-service.dk.
Hvad det kræver, og hvad det koster at lade være
Den første plan tager længst tid, for her findes felterne. De næste går hurtigere, når dispositionen ligger fast. Forvent arbejde hos forretningens ejer af funktionen, IKT, kontraktansvarlig og compliance. Anfør for hver enkelt aftale en lav og en høj vurdering af timerne med dato, og læg den årlige gennemgang til.
Lader I være, står I med et lovkrav uden dokumentation. En kort plan uden sporbarhed koster også, for spørgsmålet “hvor står det?” skal så besvares på ny, hver gang en revisor, et tilsyn eller en ny medarbejder spørger. Prisen viser sig i timer, I ikke havde planlagt. Sammenhold det med jeres egne tal for, hvad et stop koster pr. dag, og med det, planen giver, selv om I aldrig bruger den.
Det skal I lade være med
- At lave én fælles plan for alle aftaler · art. 10 taler om hver kontraktlig ordning.
- At skrive “passende overgangsperiode” uden tal · det er forordningens ord, og planen skal sige, hvad det betyder hos jer.
- At bruge en skabelon uden henvisninger · sporet til bestemmelsen gør planen let at kontrollere.
- At udfylde afsnit 4 med et produktnavn alene · skriv også, hvad der skal til for at komme derhen.
Det skal planen kunne vise
- ☐ Ét dokument pr. aftale, med henvisning til registret.
- ☐ Scenarier og antagelser, skrevet ud.
- ☐ Identificeret alternativ og overgangsplan med tid.
- ☐ Overgangsperioden, og hvor den er aftalt.
- ☐ Datas format, adgang og sletning.
- ☐ Ejer, godkendelse, seneste test og næste dato.
Kilder
- Forordning (EU) 2022/2554 (DORA): art. 3, 28, 29 og 30.
- Delegeret forordning (EU) 2024/1773: art. 1 og 10.
- Delegeret forordning (EU) 2025/532: art. 6.
- Finans Norge: Veileder for styring av IKT-tredjepartsrisiko i finansnæringen, 2025: afsnit 4.5.1 og bilag 8.10. Norsk brancheoplæg.
Senest gennemgået: november 2026.
Næste skridt
Vælg den aftale, I er mest afhængige af, og udfyld de ti afsnit på ét møde med det, I ved i dag. Det tomme giver jer arbejdslisten, og den kan ledelsen tage stilling til. Vil I have hjælp udefra, er det en beslutning for sig. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Læs også: DORA og exitstrategien · Hvad er en bestået test?
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
