Har I en finansiel virksomhed som kunde, skal den føre et register over alle sine aftaler om IKT-tjenester, og en del af oplysningerne skal komme fra jer. Registret bestemmer derfor mange af de spørgsmål, kunden stiller: om jeres identifikation, jeres underleverandører, landene for databehandling og datoen for den seneste audit.
Artiklen er skrevet til leverandøren. Registret er kundens pligt efter DORA. Hvilke felter kunden konkret beder jer om, afhænger af kunden, og beskrivelsen af “jeres side” er vores tolkning af reglerne.
Registret i DORA
DORA artikel 28, stk. 3, siger, at finansielle enheder fører et register over oplysninger om alle kontraktlige ordninger om IKT-tjenester fra tredjepartsudbydere. Registret skelner mellem ordninger, der understøtter kritiske eller vigtige funktioner, og andre. Det stilles til rådighed for myndigheden efter anmodning, og myndigheden underrettes om planlagte ordninger for kritiske eller vigtige funktioner.
Standardmodellerne for registret står i Kommissionens gennemførelsesforordning 2024/2956 af 29. november 2024. Den er en gennemførelsesforordning, ofte forkortet ITS.
Indberetningen i Danmark
En dansk finansiel kunde sender registret til Finanstilsynet gennem indberetningssystemet e-Reg. Finanstilsynet oplyser, at første referencedato i e-Reg var 31. december 2025, og at registret skulle være indsendt senest 31. marts 2026. Virksomheder omfattet af DORA skal derefter indsende oplysningerne årligt, og en koncern indberetter på det højeste konsoliderede niveau. Finanstilsynet skriver selv, at datoerne kan ændre sig, så tjek siden før næste runde.
For jer betyder det, at kundens spørgsmål om kæden og identifikationen kommer igen hvert år i ugerne før fristen. At spørgsmålene kommer i den rytme, er vores læsning af fristerne.
Hvem der skal med: jer og jeres underleverandører
Registret skal indeholde oplysninger om alle tjenester fra direkte tredjepartsudbydere. Det skal også indeholde alle underleverandører, der reelt leverer support til IKT-tjenester, som understøtter kritiske eller vigtige funktioner (artikel 3, stk. 2).
Hver udbyder får en rang i forsyningskæden. Den direkte udbyder har altid rang 1, og underleverandører får højere rang (artikel 1 og 2). Leverer I en tjeneste til en kritisk funktion, skal kunden altså kende jeres underleverandører og deres plads i kæden. Den oplysning kan kun komme fra jer.
Identifikation: LEI og EUID
Udbydere, der er juridiske personer, identificeres med en gyldig og aktiv LEI eller EUID, og når det er muligt med begge (artikel 3, stk. 5).
For kritiske eller vigtige funktioner skal kunden gennem jer sikre, at jeres underleverandører bruger en LEI eller oplyser deres EUID, medmindre de er enkeltpersoner (artikel 3, stk. 6). Udbydere i tredjelande identificeres efter forordningens betragtninger kun med LEI.
For en mindre leverandør er det et praktisk spørgsmål. Har I eller jeres underleverandører ingen LEI, kan kunden bede jer skaffe en. Det er bedre at vide det, før kontrakten skal underskrives.
Felterne, I skal kunne levere oplysninger til
Bilag I i forordningen fastlægger felterne. De, der typisk kræver oplysninger fra leverandøren, er:
- kontraktens start- og udløbsdato og opsigelsesfrister for begge parter
- lovvalg
- det land, hvorfra tjenesten leveres
- om der lagres data, og i hvilket land data lagres og behandles
- datas følsomhed
- persontype, hovedsædets land og det øverste moderselskab
- kædens led og rang
Ved kritiske eller vigtige funktioner vurderer kunden desuden jeres substituerbarhed på en skala fra kan ikke erstattes til let, begrunder vurderingen og registrerer, om der findes en exitplan, om tjenesten kan tages tilbage, hvilken virkning en afbrydelse har, og om der er alternative udbydere. De vurderinger er kundens, men kunden vil ofte spørge jer om fakta til dem.
Registret har også et felt om udgifter. Det er en sag mellem jer og kunden og behandles ikke her.
Datoen for seneste audit
Et felt er særligt interessant for en leverandør: datoen for den seneste audit af jer. Feltet omfatter audits udført af kundens interne auditfunktion eller andet kvalificeret personale, af et fælles hold med andre kunder eller af en tredjepart, kunden har udpeget.
Feltet omfatter ikke datoen for modtagelse af tredjepartscertificeringer eller jeres egne interne auditrapporter. Er der ingen audit, angives “9999-12-31”. En kunde, der kun har jeres erklæring, kan altså ikke udfylde feltet med en reel dato. Det kan være en af grundene til, at kunden beder om en egentlig audit.
Med flere finansielle kunder kan en fælles audit være en løsning. Feltet tæller audits udført af et fælles hold med andre kunder, så én fælles gennemgang kan give en reel dato i flere kunders registre på samme tid.
Sådan gør I det let for kunden
Det følgende er praksis.
- Hav en LEI, og kend jeres EUID.
- Hold en oversigt over underleverandører med land, rolle og identifikation.
- Notér landene for levering, lagring og behandling for hver tjeneste.
- Oplys straks, når en underleverandør skifter, så kundens register kan holdes ajour.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ajourført oversigt over jeres egen kæde og identifikationsoplysninger for jer og jeres underleverandører. Det kræver også, at nogen hos jer svarer på kundens spørgsmål, når registret opdateres.
Kan I ikke levere oplysningerne, har kunden et hul i et register, myndigheden kan bede om. Det kan svække jeres position, når aftalen skal fornyes.
Det skal I lade være med
- At gå ud fra, at underleverandørerne er jeres private sag · ved kritiske funktioner skal de stå i kundens register.
- At regne med, at en erklæring tæller som audit i registret · feltet for seneste audit omfatter ikke modtagne erklæringer.
- At vente med at skaffe en LEI til kontraktens sidste dag · kunden kan have brug for den før.
Det skal auditten kunne vise
- ☐ En LEI eller EUID for jer og for underleverandører til kritiske funktioner.
- ☐ En oversigt over kæden med rang, land og rolle.
- ☐ Lande for levering, lagring og behandling pr. tjeneste.
- ☐ En procedure for at oplyse kunden om ændringer i kæden.
- ☐ Datoen for seneste audit udført af eller for kunden.
Kilder
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 3, læst 12. november 2026.
- Gennemførelsesforordning (EU) 2024/2956 om standardmodeller for registret over oplysninger, artikel 1 til 3 og bilag I (B_02.02, B_05.01, B_05.02, B_07.01), læst 12. november 2026.
- Finanstilsynet: Indsendelse af register over IKT-tredjepartsudbydere i henhold til DORA, læst 13. november 2026.
- Finanstilsynet: Disse indberetninger flyttes til e-Reg, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en oversigt over jeres underleverandører med land og identifikation, før kunden beder om den.
Læs også: I er underleverandør · Kæden under DORA
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
