Leverandør til en bank: exit‑kravet lander hos jer

Leverer I IKT-tjenester til en finansiel virksomhed, møder I DORA’s krav om exit gennem kontrakten. Kunden skal have en exitplan og en aftale, der gør den mulig, så I bliver bedt om en overgangsperiode, udlevering af data i et lettilgængeligt format, opsigelsesvilkår og hjælp til test. Forpligtelsen til at have planen ligger hos kunden, og det, I selv binder jer til, står i aftalen.

Artiklen er til leverandører af drift, hosting, support, integration og lignende. Softwarehuse med eget SaaS-produkt finder produktsiden på cto-as-a-service.dk. Teksten er forenklet efter DORA, som forordningen lå 6. november 2026, og hvad I konkret skal skrive under på, er et spørgsmål til advokat.

Ordlyden i korte træk

Art. 28, stk. 1, litra a: den finansielle enhed har til enhver tid det fulde ansvar for at opfylde forordningen. Derfor presser den kravene videre til jer.

Art. 3, nr. 21: IKT-tjenester er digitale tjenester og datatjenester, der løbende leveres. Det rækker bredere end cloud.

Art. 30, stk. 2 (alle IKT-aftaler): litra d kræver, at kunden har adgang til sine data og kan genoprette dem og få dem tilbage i et lettilgængeligt format. Det gælder ved jeres insolvens, afvikling eller afbrudte forretning og ved opsigelse. Litra h kræver opsigelsesrettigheder og minimumsfrister.

Art. 30, stk. 3 (kritiske eller vigtige funktioner): litra f kræver exitstrategier, navnlig en obligatorisk passende overgangsperiode, hvor I fortsat leverer, så kunden kan migrere eller skifte til interne løsninger. Forordningen sætter ingen længde. Litra c handler om jeres egne beredskabsplaner og sikkerhedsforanstaltninger, som skal testes.

Art. 28, stk. 7: kunden skal bl.a. kunne opsige aftalen, hvis I begår en væsentlig overtrædelse, hvis forhold ændrer leverancen, hvis jeres IKT-risikostyring har dokumenterede svagheder, og hvis myndigheden mister muligheden for at føre tilsyn.

Forordning 2025/532, art. 6: kunden har ret til at aftale opsigelse, når I gennemfører væsentlige ændringer i underentreprise trods indsigelse eller uden godkendelse før fristen, eller når I giver opgaver i underentreprise uden udtrykkelig tilladelse. Det rammer jer, hvis noget af leverancen ligger hos andre.

Spørg først, hvad I leverer til

Art. 30, stk. 3, gælder kun tjenester, der understøtter en kritisk eller vigtig funktion hos kunden. Den vurdering er kundens. Bed om svaret skriftligt, for det afgør, hvor meget I skal levere. Et system til intern kantinebestilling og driften af et kernesystem kræver ikke det samme, selv om de ligger i samme rammeaftale.

Spørg også, om kunden er omfattet af den forenklede ramme, og hvordan kunden selv læser kravene til sig, se exit i den forenklede ramme.

Det, kunden vil bede om

Listen er vores sammenfatning af, hvad kravene typisk fører til. Spørgsmålene varierer fra kunde til kunde.

1. En beskrivelse af data. Hvilke data ligger hos jer, i hvilket format, og hvordan kommer de ud?
2. En overgangsperiode. Med en længde, der passer til tjenestens kompleksitet, og som står i kontrakten.
3. Bistand ved ophør. Hvad I gør, hvad det kræver af jer, og hvordan det afregnes.
4. Dokumentation. Konfiguration, driftsvejledninger og den viden, der ikke står i en eksport.
5. Oplysninger om underleverandører. Hvem, hvor, og hvad der sker, hvis de skiftes ud.
6. Medvirken til test. Kunden skal teste sin plan, og den kræver ofte noget af jer.

Sådan prøver I jeres del af

Kunden ejer planen. I kan stadig gøre den mere troværdig ved at have prøvet jeres egen del, før spørgsmålet kommer. Trinene er generel viden og et forslag.

• Lav en udlevering for en lille del af én kundes data med kundens accept, og mål tiden. Det giver et tal til kundens tidsplan. Se test en eksport nu.
• Kontrollér, at formatet kan læses uden jeres systemer.
• Gennemgå på papir, hvem hos jer der gør hvad i en overgangsperiode, også hvis opgaven kommer samtidig med andre.
• Skriv ned, hvad I ikke kan: en bestemt type data, et system uden eksport, en underleverandør, der ikke vil medvirke. Kendte begrænsninger er bedre end en overraskelse.
• Gem resultatet som et kort notat, I kan dele med kunden.

Hvis I også selv har brug for en plan

I bliver ikke en finansiel enhed af at levere til en. Forordningen nævner dog tredjepartsudbydere i art. 2, stk. 1, litra u, og kritiske udbydere kan udpeges efter art. 31. For de fleste er DORA et krav fra kunden og et salgsmæssigt punkt. Har kunden skrevet det ind i aftalen, er det en kontraktlig pligt. Er I omfattet af NIS2, eller kommer kravet fra andre kunder, skal det også kunne besvares, se kunden kræver en exit-plan. Jeres egne leverandører bør indgå, for kundens plan hviler i sidste ende på dem. Kontrakten med dem skal kunne bære det, I lover videre.

Hvad det kræver, og hvad det koster at lade være

Svarene kræver tid hos drift, kontrakt og salg. Den første kunde koster mest, for materialet skal laves. Bagefter kan det genbruges. Overgangsperioden binder folk og maskiner, efter kunden har sagt op, så giv en typisk overgang en lav og en høj vurdering af tidsforbruget og en dato. Regn det selv om til jeres prissætning, og afklar i aftalen, hvordan arbejdet afregnes.

Lader I være, kan I tabe opgaven eller skrive under på noget, I ikke kan levere. Det sidste er det dyreste: en forpligtelse uden plan bag sig bliver først synlig, når kunden opsiger, og når motivationen er lavest. Sammenhold det med det, materialet giver alle andre steder: et hurtigere svar på næste spørgeskema, bedre dokumentation og færre afhængigheder af enkeltpersoner.

Det skal I lade være med

• At love en overgangsperiode uden at have regnet på den · den binder også jeres folk.
• At sende et generelt notat om backup · spørgsmålet handler om at kunne forlade jer.
• At afvise testen som et sikkerhedsproblem uden at foreslå en anden form · kunden har et krav at opfylde.

Det skal planen kunne vise

• ☐ Hvilke kunder der er finansielle, og om tjenesten er kritisk eller vigtig.
• ☐ Data, format og udleveringsmåde pr. tjeneste.
• ☐ Overgangsperiode, bemanding og afregning.
• ☐ Underleverandører og det, de har lovet.
• ☐ Resultat af jeres egen prøve.
• ☐ Kendte begrænsninger.

Kilder

• Forordning (EU) 2022/2554 (DORA): art. 3, nr. 21, art. 28 og art. 30.
• Delegeret forordning (EU) 2025/532: art. 6.

Senest gennemgået: november 2026.

Næste skridt

Find ud af, hvilke kunder der er finansielle, og spørg, om jeres tjeneste understøtter en kritisk eller vigtig funktion. Tag derefter den vigtigste tjeneste, og lav den lille prøve. Så kan ledelsen beslutte, hvad I vil love fremover.

• DORA og Finanstilsynet
• Hvad kræver en exit-plan af jer?

Læs også: Overgangsperioden · Efter opsigelsen

→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT