Svaret er ikke helt afklaret. Art. 16-enheder og mikrovirksomheder er fritaget for strategien om IKT-tredjepartsrisiko efter art. 28, stk. 2, men stk. 8 om exitstrategier har ingen tilsvarende undtagelse i ordlyden. Hvor meget stk. 8 reelt kræver af de små, står ikke i de kilder, vi har læst. Det sikre valg er at behandle exit som et krav i rimeligt forhold til jeres størrelse og at spørge Finanstilsynet, hvis jeres tilladelse eller opgaver gør spørgsmålet vigtigt.
Teksten bygger på forordningerne, som de lå 6. november 2026. Læsningerne er vores og er markeret. Vi har ikke fundet dansk praksis om emnet, så en konkret vurdering er et spørgsmål til advokat eller til tilsynet.
Først skal I vide, hvilken ramme I hører under. De almindelige regler om DORA og de små enheder står på ciso-as-a-service.dk om den forenklede ramme og om mikrovirksomheder. Her handler det alene om exit.
Ordlyden i korte træk
Art. 16, stk. 1, giver bestemte mindre enheder en forenklet ramme for IKT-risikostyring i stedet for art. 5 til 15. Exit nævnes ikke. Tre punkter ligger tæt på. Litra e: at konstatere stor afhængighed af udbydere. Litra f: planer for kontinuitet af kritiske eller vigtige funktioner. Litra g: regelmæssig test af dem.
Art. 28, stk. 2: strategien for IKT-tredjepartsrisiko gælder ikke art. 16-enheder og mikrovirksomheder.
Art. 28, stk. 8: exitstrategier for IKT-tjenester til kritiske eller vigtige funktioner. Bestemmelsen nævner ingen undtagelse for de to grupper.
Art. 4, stk. 2, og art. 28, stk. 1, litra b: proportionalitet efter størrelse, risikoprofil og afhængighedens betydning. Testen efter stk. 8 skal følge de kriterier.
Art. 30: kontraktkravene. Stk. 2, litra d, om adgang og tilbagesendelse af data gælder alle IKT-aftaler. Stk. 3, litra f, om exitstrategier og overgangsperiode gælder aftaler om kritiske eller vigtige funktioner. Mikrovirksomheder har en lempelse om delegering af adgangs- og revisionsret, og vi har ikke set en lempelse for litra f.
Forordning 2024/1773, art. 10, om en dokumenteret exitplan for hver kontraktlig ordning, er en del af politikken, der hviler på art. 28, stk. 2. Vores læsning er derfor, at art. 10 ikke uden videre rammer art. 16-enheder og mikrovirksomheder. Det er en tolkning, og forordningen siger det ikke direkte.
Forordning 2024/1774, art. 39: planer for driftsstabilitet i den forenklede ramme godkendes af ledelsesorganet, angiver genopretningsniveauer og tidsrammer, også for eksterne afhængigheder, og testes.
Sådan læser vi det samlet
Reglerne kan samles i tre lag. Inddelingen er vores og er ingen officiel oversigt.
- Klart: kontinuitetsplaner og test af dem i den forenklede ramme, og kontraktkrav om data efter art. 30, stk. 2, litra d.
- Står i ordlyden, men rækkevidden er uklar: exitstrategier efter art. 28, stk. 8, og overgangsperioden i art. 30, stk. 3, litra f, når tjenesten understøtter en kritisk eller vigtig funktion.
- Formentlig uden for, efter vores læsning: den detaljerede politik med en plan for hver ordning efter 2024/1773, art. 10.
Forskellen på lag 2 og lag 3 gør arbejdet håndterligt. I kan dokumentere, at I har forholdt jer til exit, uden at bygge samme apparat som en stor bank.
En rimelig plan for en lille enhed
Dette er et forslag og ingen standard. Mange små finansielle virksomheder har få systemer og er tæt knyttet til én leverandør, og det er netop dér, spørgsmålet betyder noget.
- Find de tjenester, der understøtter kritiske eller vigtige funktioner. Ofte er det ganske få.
- Skriv en kort exit-plan for hver, gerne to sider, med scenarier, alternativ, data, overgang og ansvarlig. Dispositionen i ti afsnit kan skæres ned.
- Læs kontrakten mod art. 30. Standardvilkår kan ofte ikke ændres, se standardvilkår, I ikke kan forhandle. Skriv hullet ned, og kompensér med en egen kopi af data eller en anden foranstaltning.
- Test i det omfang, I kan begrunde, jf. test af exitplaner efter DORA. Enhver test af en eksport er bedre end ingen.
- Lad ledelsen tage stilling og notere begrundelsen.
Er der ingen realistisk alternativ, er det også et svar, der kan stå i planen, sammen med det, I gør i stedet. Se der findes ikke noget alternativ.
Hvad det kræver, og hvad det koster at lade være
For en lille enhed handler arbejdet om få dage fordelt på ledelse, IKT-ansvarlig eller leverandør og compliance. Angiv pr. tjeneste en lav og en høj vurdering målt i timer og en dato, og læg den årlige gennemgang til. Tag også tiden til eventuel afklaring hos en advokat med.
Lader I være, hviler I på en tolkning, ingen har prøvet. I værste fald står I uden svar på et krav i ordlyden, og det er sværere at forklare end en kort plan med en begrundelse. Det forretningsmæssige vejer tungt for en lille virksomhed med få leverandører. Opgør, hvad en uge uden tjenesten koster i jeres egne tal, og sammenhold det med de få dages arbejde. Planen giver desuden overblik og bedre svar til bestyrelse og tilsyn.
Det skal I lade være med
- At skrive, at I er undtaget fra exit · det står ikke i art. 28, stk. 8.
- At kopiere en storbanks plan · proportionaliteten gælder netop jer.
- At blande kontinuitetsplanen og exit-planen sammen · den første holder jer kørende, den anden får jer ud.
Det skal planen kunne vise
- ☐ Hvilken ramme I er under, og hvorfor.
- ☐ Tjenester, der understøtter kritiske eller vigtige funktioner.
- ☐ Jeres vurdering af art. 28, stk. 8, med dato.
- ☐ En kort exit-plan pr. tjeneste.
- ☐ Kontrakthuller og det, der kompenserer.
- ☐ Ledelsens stillingtagen.
Kilder
- Forordning (EU) 2022/2554 (DORA): art. 4, 16, 28 og 30.
- Delegeret forordning (EU) 2024/1773: art. 1 og 10.
- Delegeret forordning (EU) 2024/1774: art. 39.
- Finanstilsynet: Virksomheder omfattet af DORA.
Senest gennemgået: november 2026.
Næste skridt
Afklar først, om I er art. 16-enhed eller mikrovirksomhed. Skriv derefter en kort vurdering af art. 28, stk. 8, for jeres vigtigste tjeneste, og lad ledelsen tage stilling til, hvor langt I vil gå.
Læs også: DORA og exitstrategien · Hvornår er en exit-plan spild af tid?
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
