DORA og Finanstilsynet

Er I en finansiel enhed, er planen et lovkrav. DORA, forordning (EU) 2022/2554, kræver exitstrategier for IT-tjenester bag kritiske eller vigtige funktioner, og exitplanerne skal være testet. Beslutningen handler derfor om, hvor langt proportionaliteten rækker, hvilke tjenester der er omfattet, og hvor meget test der er tilstrækkeligt. Siden her samler artiklerne til de virksomheder, reglerne gælder for, og til deres leverandører. For alle andre er DORA en model, og det står i teksten, hvor den bruges sådan.

Kravene i korte træk

Art. 28, stk. 8. Strategierne skal dække en udbyder, der svigter, en leverance, der forringes, driftsforstyrrelser og opsigelse. Planerne beskrives som “omfattende, veldokumenterede” og kræver test “i tilstrækkeligt omfang” samt faste gennemgange. Enheden finder alternative løsninger og laver overgangsplaner, og forordningen nævner selv egen drift som en vej.

Art. 30, stk. 3, litra f. Aftaler om kritiske eller vigtige funktioner skal rumme en obligatorisk passende overgangsperiode. Forordningen sætter ingen længde.

Forordning 2024/1773, art. 10. Her kræves en dokumenteret plan pr. kontraktlig ordning med periodisk gennemgang og test. Den skal være realistisk og bygge på plausible scenarier.

Det, der ikke står

Forordningerne nævner ingen testform og ingen hyppighed for exitplaner. Kravet om test mindst én gang om året i art. 11, stk. 6, gælder planer for driftsstabilitet og genopretning og rækker ikke længere. Finans Norge læser reglerne sådan, at bord- og skrivebordsøvelser kan bruges. Det er et norsk brancheoplæg, og dansk tilsynspraksis kender vi ikke. Art. 28, stk. 8, har ingen undtagelse for små enheder i ordlyden, og hvor meget bestemmelsen reelt kræver af dem, kan vores kilder ikke afgøre. Finanstilsynet har en side om, hvilke virksomheder der er omfattet, og om den forenklede ramme, og det er stedet at begynde.

Det, enheden skal have

DORA og exitstrategien: det, finansielle virksomheder skal have Kravene brugt som tjekliste for det, der skal ligge klar.
Exitplan efter DORA: indholdet, afsnit for afsnit En egen disposition med bestemmelsen bag hvert felt.
Test af exitplaner efter DORA: hvad er tilstrækkeligt? Sådan begrunder I jeres valg, og hvad der ikke vides om praksis.

Mindre enheder og leverandører

Mindre finansiel virksomhed: hvor meget exit kræver DORA af jer? Art. 16-rammen og mikrovirksomheder, kun om exit.
Leverandør til en bank: exit-kravet lander hos jer Det, I skal kunne levere gennem kontrakten, og hvordan I prøver det af.

Sådan tager I stilling

Begynd med registeret over aftaler og jeres liste over kritiske eller vigtige funktioner. Hver aftale, der understøtter en sådan funktion, skal have sin plan. Afgør derefter, hvad art. 4, stk. 2, om proportionalitet betyder hos jer, og skriv begrundelsen ned. Ansvaret bliver hos enheden efter art. 28, stk. 1, litra a, også når leverandøren hjælper. Er I leverandør, kommer kravene gennem kontrakten, og spørgsmålet er, hvad I kan love.

Hvad det kræver, og hvad det koster at lade være

For en omfattet enhed er planen en pligt, og valget handler om, hvordan arbejdet tilrettelægges. Det kræver tid fra den, der ejer funktionen, fra IT, fra den, der ejer kontrakten, og fra ledelsen, der godkender. Opgør det som timer pr. rolle og pr. aftale. Art. 29 lader enheden afveje fordele og omkostninger ved alternative løsninger, og den tanke kan bruges som metode i en business case, også af virksomheder uden for finans. Hvad der sker over for en enhed, der mangler planen, er et spørgsmål til advokat, og sitet nævner ingen bøder. Et stop opgøres i jeres egne tal.

Det skal I lade være med

At blande exitplaner sammen med planer for driftsstabilitet · test og hyppighed følger forskellige regler.
At skrive, at DORA tillader skrivebordsøvelser · forordningen fastlægger ingen form.
At bruge DORA som krav uden for finans · dér er den en model.
At overlade planen til leverandøren · ansvaret bliver hos jer.

Det skal planen kunne vise

☐ Hvilken kritisk eller vigtig funktion aftalen understøtter.
☐ Scenarierne bag planen, og hvornår den skal i brug.
☐ Overgangsperioden, og hvordan længden er begrundet.
☐ Alternative løsninger, herunder egen drift.
☐ Hvordan planen er testet og gennemgået, med begrundelse for omfanget.

Kilder

Forordning (EU) 2022/2554 (DORA): art. 4, 11, 28, 29 og 30.
Delegeret forordning (EU) 2024/1773: art. 10.
Finanstilsynet: Virksomheder omfattet af DORA.
Finans Norge: Veileder for styring av IKT-tredjepartsrisiko i finansnæringen, 2025: brancheoplæg.

Senest gennemgået: november 2026.

Næste skridt

Læg listen over kritiske eller vigtige funktioner ved siden af jeres aftaler, og markér de aftaler, der mangler en plan. Tag resultatet op i ledelsen.

Læs også: Test af eksport og gendannelse · Kontrakten · Spørgsmål om exit-planer

→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT

Skal I have en plan B?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad der sætter arbejdet i gang. Så vender jeg tilbage. Rådgivningen er uvildig og uafhængig, og Nielco IT har ikke indgået forhandleraftaler med leverandører.