DORA giver finansielle virksomheder ret til uden indskrænkning at få adgang til, inspicere og revidere leverandører af IKT-tjenester til kritiske eller vigtige funktioner. For en virksomhed uden for finanssektoren er DORA ikke en pligt, men den er en god målestok, fordi den viser punkt for punkt, hvad en revisionsklausul kan indeholde.
Sammenligningen nedenfor er vores egen. Den holder DORA op mod tre almindelige grundlag: statens standardkontrakt for it-drift K04, Datatilsynets skabelon til databehandleraftale og EU-Kommissionens standardbestemmelser for databehandlere.
Hvem DORA gælder for
DORA, forordning 2022/2554, finder anvendelse fra den 17. januar 2025 og gælder finansielle enheder som banker og forsikringsselskaber. Ansvaret bliver hos den finansielle enhed, selv om en tredjepart leverer IKT-tjenesterne.
Kravene er delt i to niveauer. Artikel 30, stk. 2, gælder alle aftaler om IKT-tjenester, men indeholder ikke selve revisionsretten. Den vidtgående ret står i artikel 30, stk. 3, og gælder kun aftaler om tjenester, der understøtter kritiske eller vigtige funktioner. Den afgrænsning er vigtig. En bank har ikke den uindskrænkede ret over for alle sine leverandører.
Er I leverandør til en finansiel virksomhed, er retten en pligt for jeres kunde, og den lander i jeres kontrakt. Det er beskrevet under leverandør til en finansiel virksomhed.
Punkterne i DORA
Artikel 30, stk. 3, litra e, har fire elementer. Det første er selve retten. Enheden, en tredjepart, som enheden peger på, og den kompetente myndighed må uden indskrænkning få adgang, inspicere, revidere og kopiere relevant dokumentation hos leverandøren. Ingen anden aftale eller politik må stå i vejen for, at retten faktisk bruges. Det andet er hensynet til leverandørens øvrige kunder. Rammes deres rettigheder, kan parterne enes om et andet sikkerhedsniveau for kontrollen. Det tredje er leverandørens pligt til fuldt samarbejde, når der revideres og inspiceres på stedet. Det fjerde er pligten til at oplyse om omfang, procedurer og hyppighed.
Er den finansielle enhed en mikrovirksomhed, må den overlade retten til en uafhængig tredjepart, som leverandøren har peget på.
Artikel 28, stk. 6, tilføjer to ting. Hvor ofte der revideres, og hvilke områder revisionen dækker, bestemmes på forhånd og bygger på en vurdering af risikoen. Ved høj teknisk kompleksitet skal enheden efterprøve, at revisorerne har de nødvendige færdigheder, uanset om de er interne, eksterne eller en pulje.
Den delegerede forordning 2024/1773 beskriver metoderne. Enheden kan revidere selv eller via en tredjepart, gå sammen med andre kunder af samme leverandør om en fælles revision, bruge certificeringer udstedt af tredjepart eller læse leverandørens egne revisionsrapporter. Enheden må dog ikke over tid udelukkende forlade sig på certificeringer og rapporter. De må kun bruges, hvis bl.a. rapporternes anvendelsesområde dækker de relevante systemer og kontroller, og revisionerne rummer en afprøvning af, at de vigtigste kontroller fungerer i praksis.
Side om side
- Hvem udfører · DORA (kritiske eller vigtige funktioner): Enheden, udpeget tredjepart, myndigheden · K04 som model: Eksterne, uvildige auditører, ikke konkurrenter · Datatilsynets skabelon: Den dataansvarlige eller en bemyndiget revisor · EU’s standardbestemmelser: Den dataansvarlige selv eller en uafhængig revisor
- Omfang · DORA (kritiske eller vigtige funktioner): Adgang, inspektion, revision og kopier på stedet · K04 som model: Audit af ydelserne og adgang til alle data om systemet · Datatilsynets skabelon: Oplysninger til at påvise overholdelse, revision og inspektion · EU’s standardbestemmelser: Behandlingsaktiviteterne under bestemmelserne
- Hyppighed · DORA (kritiske eller vigtige funktioner): Fastsat på forhånd efter risiko · K04 som model: Ikke fastsat for kundens audit · Datatilsynets skabelon: Felt, parterne udfylder · EU’s standardbestemmelser: Rimelige mellemrum eller tegn på manglende overholdelse
- Varsel · DORA (kritiske eller vigtige funktioner): Ikke oplyst · K04 som model: Foreslået [30] dage, uden varsel ved underbygget mistanke · Datatilsynets skabelon: Ikke fastsat · EU’s standardbestemmelser: Rimeligt varsel, hvor det er relevant
- Andre kunder · DORA (kritiske eller vigtige funktioner): Alternative sikkerhedsniveauer kan aftales · K04 som model: Mindst mulig gene for driften · Datatilsynets skabelon: Ikke oplyst · EU’s standardbestemmelser: Ikke oplyst
- Certificeringer · DORA (kritiske eller vigtige funktioner): Må ikke stå alene over tid · K04 som model: Årlige erklæringer i bilag 4.e · Datatilsynets skabelon: Erklæring eller inspektionsrapport i C.7 · EU’s standardbestemmelser: Kan tages i betragtning
- Myndigheden · DORA (kritiske eller vigtige funktioner): Samme ret som enheden · K04 som model: Ikke oplyst · Datatilsynets skabelon: Adgang for tilsynsmyndigheder med lovhjemmel · EU’s standardbestemmelser: Resultater gives til tilsynsmyndigheden på anmodning
Tabellen forenkler. Den enkelte bestemmelse bør læses i sin helhed.
Hvad sammenligningen viser
Tre forskelle springer i øjnene. DORA forbyder, at andre aftaler indsnævrer retten. Det er netop den fælde, en almindelig aftale kan falde i, når leverandørens standardvilkår lægger sig oven på revisionsklausulen. Hvordan det ser ud for databehandlere, er beskrevet under leverandørens vilkår indsnævrer auditten.
DORA kræver også, at hyppighed og områder fastlægges på forhånd. I mange almindelige aftaler står hverken hyppighed eller omfang, og så skal begge forhandles, hver gang I vil bruge retten.
Og DORA accepterer ikke, at certifikater og rapporter alene bærer kontrollen i det lange løb. Det er en nyttig tanke for enhver kunde, der i årevis har nøjedes med den årlige erklæring.
Det, en mindre virksomhed kan låne
Ikke alle DORA’s punkter passer til en virksomhed, der køber en standardydelse. Tre af dem kan dog bruges næsten uændret. Det er vores udvalg.
Det første er forbuddet mod, at andre vilkår indsnævrer retten. En sætning om, at revisionsretten går forud for leverandørens øvrige vilkår, er en enkel ting at bede om.
Det andet er en forudgående plan. Står det i aftalen, at parterne hvert år aftaler, hvilke områder der kontrolleres, bliver auditten en fast begivenhed og ikke en konflikt.
Det tredje er kravet om, at rapporter skal dække de systemer, I bruger. Bed om, at leverandørens erklæringer omfatter jeres ydelse, og at I kan bede om et andet omfang, hvis de ikke gør.
Hvad det kræver, og hvad det koster at lade være
At bruge DORA som målestok kræver, at I læser jeres egen klausul ved siden af artikel 30 og noterer, hvad der mangler. Ikke alle punkter passer til en lille virksomhed, og det er et valg at udelade dem.
Uden en sammenligning ved I ikke, om jeres ret er bred eller smal, før I prøver at bruge den. Så er det for sent at forhandle.
Det skal I lade være med
- At skrive, at DORA gælder jer, hvis I ikke er en finansiel enhed · den er en målestok.
- At bruge den uindskrænkede ret om alle IKT-aftaler · den gælder kritiske eller vigtige funktioner.
- At kopiere DORA’s ordlyd ind i en aftale uden at tilpasse den · bestemmelserne forudsætter en finansiel tilsynsmyndighed.
Det skal auditten kunne vise
- ☐ Jeres revisionsklausul læst punkt for punkt mod artikel 30, stk. 3, litra e.
- ☐ Om andre vilkår i aftalen begrænser retten.
- ☐ Om hyppighed og områder er fastsat på forhånd.
- ☐ Hvordan hensynet til leverandørens andre kunder er håndteret.
- ☐ En begrundelse for de punkter, I har valgt ikke at kræve.
Kilder
- Forordning (EU) 2022/2554 (DORA), artikel 28, 30 og 64, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 8, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 15 og 16, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 12 og bilag C.7, læst 12. november 2026.
- Kommissionens gennemførelsesafgørelse (EU) 2021/915, bestemmelse 7.6, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg jeres vigtigste revisionsklausul ved siden af tabellen, og markér de rækker, hvor jeres aftale er tom.
Læs også: Kæden under DORA · Fælles audit
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
