En finansiel virksomhed under DORA skal have en exitstrategi for hver IKT-tjeneste, der understøtter en kritisk eller vigtig funktion, og en dokumenteret exitplan for hver af de aftaler. Planen skal testes i det omfang, der er tilstrækkeligt, og gennemgås regelmæssigt, og kontrakten skal rumme de vilkår, der gør den mulig at bruge. Det er lovkrav for finansielle enheder og ingen andre.
Reglerne har gældt siden 17. januar 2025. Gengivelsen nedenfor er forenklet efter teksten, som den lå 6. november 2026, og den erstatter ikke en juridisk vurdering. Artiklen handler om, hvad der skal kunne lægges på bordet. Baggrunden for reglerne og det, andre sektorer kan låne, står på digital-suveraenitet.dk, og det samlede DORA-arbejde for ledelsen på ciso-as-a-service.dk.
Ordlyden i korte træk
Art. 28, stk. 8 er kernen i DORA artikel 28 om tredjepartsrisiko. Strategien skal tage højde for svigt hos udbyderen, forringet kvalitet, driftsforstyrrelser, væsentlige risici ved fortsat brug og opsigelse af de grunde, der står i stk. 7.
Virksomheden skal kunne opsige aftalen, uden at forretningen afbrydes, uden at efterlevelsen af reglerne begrænses, og uden at kunderne lider skade. Exitplanerne skal være “omfattende, veldokumenterede” og “testet i tilstrækkeligt omfang samt gennemgået regelmæssigt”, vurderet efter proportionalitetskriterierne i art. 4, stk. 2.
Samme stykke kræver, at I finder alternative løsninger og laver overgangsplaner, så både tjenester og data sikkert og fuldstændigt kan flyttes til en anden udbyder eller tages tilbage i egen drift. Dertil kommer passende beredskabsforanstaltninger.
Art. 30 sætter kravene i kontrakten. Alle IKT-aftaler skal efter stk. 2, litra d, sikre, at data kan tilgås, genoprettes og leveres tilbage i et lettilgængeligt format. Det gælder, hvis udbyderen bliver insolvent, afvikles eller afbryder sin forretning, og ved opsigelse. Aftaler om kritiske eller vigtige funktioner skal efter stk. 3, litra f, have exitstrategier med en overgangsperiode, der er passende og obligatorisk, og hvor udbyderen bliver ved med at levere.
Delegeret forordning 2024/1773, art. 10, kræver, at politikken for kontrakter indeholder “en dokumenteret exitplan for hver kontraktlig ordning” og “periodisk gennemgang og test”. Der skal tages højde for uforudsete og vedvarende driftsafbrydelser, uhensigtsmæssig eller mislykket levering og uventet opsigelse. Planen skal være realistisk, gennemførlig og bygge på plausible scenarier og rimelige antagelser, og gennemførelsesplanen skal passe til aftalens opsigelsesvilkår.
Art. 29, stk. 1, hører med. Før en aftale om en kritisk eller vigtig funktion vurderer I, om den fører til en udbyder, “som ikke er let at erstatte”, og I afvejer fordele og omkostninger ved alternativer.
Det, der skal ligge klar
Opdelingen her er vores egen læsning af reglerne. Forordningen opstiller ingen sådan mappe. Når nogen spørger, bør I kunne finde syv ting uden at lede:
- En liste over IKT-tjenester til kritiske eller vigtige funktioner, med begrundelsen for hver.
- Exitstrategien for hver af dem, med de risici, art. 28, stk. 8, nævner.
- En exitplan pr. aftale, se indholdet afsnit for afsnit.
- Det identificerede alternativ, herunder om det er egen drift.
- Kontraktens vilkår om data, opsigelse og overgangsperiode, med henvisning til punkterne i aftalen.
- Resultatet af seneste test, med fund og opfølgning.
- Dato for seneste gennemgang og for den næste.
Finans Norges vejledning fra 2025 skelner mellem strategien som den overordnede plan frem til beslutningen og planen som det detaljerede, der træder i kraft bagefter. Det er et norsk brancheoplæg og ingen dansk regel, men sondringen gør det lettere at holde dokumenterne fra hinanden.
Det, reglerne ikke siger
Tre ting skaber ofte tvivl. Forordningerne fastsætter ingen hyppighed for test af exitplaner og nævner ingen bestemt testform. Art. 30, stk. 3, litra f, sætter ingen længde på overgangsperioden. Og testkravet i art. 11, stk. 6, der lyder på mindst én gang om året, retter sig mod andre planer, nemlig dem for driftsstabilitet og for indsats og genopretning. Se test af exitplaner efter DORA.
Ansvaret kan heller ikke lægges ud. Efter art. 28, stk. 1, litra a, bliver det fulde ansvar hos den finansielle virksomhed, også når leverandøren har skrevet det meste af planen. Proportionalitet efter litra b betyder, at omfanget skal passe til karakter, omfang, kompleksitet og betydning af afhængigheden. For små enheder er billedet mere uklart, se exit i den forenklede ramme.
Hvis I ikke er en finansiel virksomhed
Så gælder intet af dette som krav. Bruger I DORA, er det som model, og det bør stå i jeres dokumenter. Har I en kunde i finanssektoren, kan kravene nå jer gennem aftalen, se leverandør til en finansiel virksomhed.
Hvad det kræver, og hvad det koster at lade være
Arbejdet består af klassificering, en plan pr. aftale, kontraktgennemgang, test og opfølgning. Tiden afhænger af antallet af aftaler og af, hvor meget der allerede ligger i registret over IKT-aftaler. Giv hver aftale en lav og en høj vurdering i timer og en dato. Beløbene hører til i jeres eget regneark.
Mangler planerne, er der tale om et lovkrav, der ikke er opfyldt, med den opfølgning fra tilsynet, det kan give. Dertil kommer det forretningsmæssige. Skal I ud af en aftale uden plan, betaler I med tid, hasteindkøb og forstyrret drift, og tabet pr. dag kan opgøres i jeres egne tal.
Sammenhold det med det, arbejdet giver, selv om intet flytter sig. I får overblik over afhængighederne, bedre svar i tilsynsdialogen og et grundlag for art. 29-vurderingen, næste gang en aftale er på vej.
Det skal I lade være med
- At kalde en beredskabsplan for en exitplan · de to har forskellige formål og forskellige regler.
- At lade leverandørens standardbilag stå som jeres plan · ansvaret ligger hos jer, og planen skal passe til jeres funktioner.
- At pege på “markedet” som alternativ · art. 28, stk. 8, kræver, at alternativer identificeres.
Det skal planen kunne vise
- ☐ Hvilken kritisk eller vigtig funktion tjenesten understøtter.
- ☐ Risici og scenarier efter art. 28, stk. 8, og 2024/1773, art. 10.
- ☐ Alternativ og overgangsplan, også for data.
- ☐ Hvor i kontrakten vilkårene står.
- ☐ Seneste test, gennemgang og næste dato.
- ☐ Hvem i virksomheden der ejer planen.
Kilder
- Forordning (EU) 2022/2554 (DORA): art. 4, 11, 28, 29 og 30.
- Delegeret forordning (EU) 2024/1773: art. 1 og 10.
- Finans Norge: Veileder for styring av IKT-tredjepartsrisiko i finansnæringen, 2025: afsnit 4.5.1. Norsk brancheoplæg.
Senest gennemgået: november 2026.
Næste skridt
Tag listen over kritiske eller vigtige funktioner, og sæt et kryds ud for hver af de syv ting ovenfor. Det, der mangler, er jeres arbejdsliste, og den kan lægges frem for ledelsen som en beslutning om rækkefølge.
Læs også: Exitplan efter DORA · Overgangsperioden
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
