En exitplan viser først sit værd, når nogen har prøvet at hente data ud og bruge dem et andet sted. Afprøvningen bør derfor ske, mens aftalen løber og leverandøren stadig har pligt til at hjælpe, ikke den dag samarbejdet slutter.
Artiklen er til indkøberen og kontraktejeren hos kunden. Den handler om at kontrollere, at planen virker. Hvordan selve ophøret kontrolleres, står i audit ved kontraktophør, og selve overgangen til en ny leverandør i skift af leverandør.
Hvorfor en plan på papir ikke er nok
En plan kan se fuldstændig ud og alligevel hvile på antagelser. Data kan eksporteres, men i et format, ingen andre kan læse. Backuppen findes, men ingen har gendannet den uden for leverandørens eget miljø. Overgangsbistanden står i aftalen, men uden frister.
Statens vejledning om cybersikkerhed i leverandørforhold anbefaler, at ophørsbestemmelserne som minimum rummer en fuld fortegnelse over det, kunden har liggende hos leverandøren, backup medregnet, og en fremgangsmåde for at få det retur, overdraget eller destrueret. Fremgangsmåden bør tage stilling til format, fuldstændighed, dokumentation og verificering. Hvert af de ord kan prøves i praksis.
Hvad reglerne siger om afprøvning
DORA artikel 28, stk. 8, pålægger finansielle virksomheder at have exitstrategier, når en IKT-tjeneste bærer en kritisk eller vigtig funktion. Ordlyden kræver planer, der er omfattende og veldokumenterede, og som er testet i tilstrækkeligt omfang og gennemgås regelmæssigt. Virksomheden skal kunne opsige aftalen uden at afbryde forretningen, uden at begrænse efterlevelsen af reglerne og uden skade på kontinuitet og kvalitet over for kunderne.
Uden for finanssektoren gælder DORA ikke. Formuleringen kan alligevel bruges som målestok, når I selv skal beslutte, hvor grundigt en exitplan for en kritisk leverandør skal prøves.
Hvad dataforordningen gør kontrollerbart i cloudaftaler
Dataforordningen, forordning (EU) 2023/2854, finder anvendelse fra 12. september 2025. Kapitel VI handler om skift mellem databehandlingstjenester, dvs. cloud og lignende tjenester. Udbyderen skal fjerne hindringer for skift, og artikel 25 lister de punkter, kontrakten skal indeholde. Blandt dem er:
- kundens ret til efter anmodning at skifte til en anden udbyder eller flytte alle eksporterbare data og digitale aktiver til egen infrastruktur
- en maksimal opsigelsesfrist for at sætte skiftet i gang på højst to måneder
- en udtømmende specifikation af de kategorier af data og digitale aktiver, der kan flyttes
- en minimumsperiode for dataudtræk på mindst 30 kalenderdage efter overgangsperioden
- en bestemmelse om fuldstændig sletning af alle eksporterbare data og digitale aktiver
Overgangsperioden er som udgangspunkt højst 30 kalenderdage. Er det teknisk ugennemførligt, skal udbyderen give besked inden for 14 arbejdsdage og angive en alternativ periode på højst syv måneder. Kunden har ret til at forlænge overgangsperioden én gang. Efter artikel 26 skal udbyderen oplyse om procedurerne for skift og henvise til et ajourført onlineregister over datastrukturer og dataformater.
Artikel 29 udfaser skiftegebyrerne. Fra 12. januar 2027 må udbyderen ikke opkræve gebyr for skifteprocessen. Indtil da må gebyret ikke overstige de omkostninger, der er direkte forbundet med skiftet.
Der er undtagelser. Artikel 31 fritager blandt andet tjenester, der er bygget til én kundes særlige behov, fra dele af reglerne, og kapitlet gælder ikke for udgaver, der kun bruges til test og evaluering. Om jeres aftale er omfattet, er en vurdering af den konkrete tjeneste. Det er vores forenkling af reglerne, ikke juridisk rådgivning.
For kontrollen betyder det, at specifikationen af data, der kan flyttes, og registret over formater er dokumenter, I kan bede om og holde op mod det, I faktisk får ud.
Sådan prøver I planen
Det følgende er praksis. Ingen regel beskriver fremgangsmåden.
Eksport på prøve. Bed leverandøren om et udtræk af et afgrænset datasæt efter den procedure, aftalen beskriver. Mål tiden fra bestilling til levering, og kontrollér, at udtrækket svarer til specifikationen.
Gendannelse hos en anden part. Læs udtrækket eller en backup ind i et miljø, leverandøren ikke driver. Det kan være jeres eget testmiljø. Kan data bruges uden leverandørens værktøjer, er planen mere end en antagelse.
Overgangsbistanden. Gennemgå, hvad aftalen siger om bistand, frister og ressourcer i overgangen, og spørg leverandøren, hvem der udfører opgaven. Et navn og en frist er mere end en hensigt.
Aktivlisten. Hold listen over jeres aktiver hos leverandøren op mod det, I fandt ved eksporten. Mangler der noget, mangler det også i planen.
Hvor ofte afprøvningen gentages, fastsætter ingen regel uden for finanssektoren. En almindelig rytme er at prøve ved væsentlige ændringer hos leverandøren og med faste mellemrum for de mest kritiske. Se også hvornår fundene er alvorlige nok til et skifte.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at aftalen giver ret til at bestille et udtræk undervejs, og at nogen hos jer kan modtage og læse det. Det kræver også, at afprøvningen dokumenteres, så den kan gentages.
Uden afprøvning opdager I manglerne, når I har mest travlt: når leverandøren ophører, eller samarbejdet er gået i stå. Så er forhandlingspositionen svagest.
Det skal I lade være med
- At godkende en exitplan uden at have set et udtræk · formatet er det, der afgør, om data kan bruges.
- At gå ud fra, at backuppen kan gendannes andre steder · prøv det i et miljø uden leverandørens værktøjer.
- At læse dataforordningen som gældende for alle aftaler · den gælder databehandlingstjenester, og der er undtagelser.
Det skal auditten kunne vise
- ☐ En aktivliste med backup, holdt op mod det seneste udtræk.
- ☐ Et dokumenteret prøveudtræk med dato, tid og vurdering af formatet.
- ☐ En gendannelse i et miljø, leverandøren ikke driver.
- ☐ Aftalens punkter om overgangsbistand med frister og ansvarlige.
- ☐ For cloudaftaler: specifikationen af data, der kan flyttes, og frister efter artikel 25.
- ☐ For finansielle virksomheder: test og gennemgang efter DORA artikel 28, stk. 8.
Kilder
- Forordning (EU) 2023/2854 (dataforordningen), artikel 23, 25, 26, 29, 31 og 50, læst 13. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 8, læst 13. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 6.1, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg jeres mest kritiske leverandør, og bestil et prøveudtræk af ét afgrænset datasæt.
Læs også: Leverandørens backup af jeres data · Opkøb, ny underleverandør eller flyttet drift
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
