En finansiel virksomhed må kun lade sin IT-leverandør give en tjeneste, der understøtter en kritisk eller vigtig funktion, i underentreprise, hvis ti betingelser er vurderet opfyldt på forhånd. Leverandøren skal også varsle væsentlige ændringer i kæden, så kunden kan gøre indsigelse. Reglerne står i Kommissionens delegerede forordning 2025/532.
Forordningen gælder kun finansielle enheder under DORA. For andre virksomheder er den en model. Den er efter vores vurdering det mest detaljerede officielle regelsæt om kontrol af en leverandørkæde, og den kan bruges som tjekliste uden for finanssektoren. Den brug er en anbefaling fra denne artikel.
Forordningen og dens rækkevidde
Forordning 2025/532 er vedtaget den 24. marts 2025, offentliggjort i EU-Tidende den 2. juli 2025 og trådt i kraft i juli 2025. Den handler om underentreprise, når IKT-tjenesten bærer en kritisk eller vigtig funktion hos kunden eller en væsentlig del af den.
Artikel 1 lægger op til forholdsmæssighed. Kravene skal ses i forhold til bl.a. kædens længde og kompleksitet, hvilke data der er tale om, hvor underleverandøren og dens moderselskab er beliggende, om data behandles i EU eller i et tredjeland, koncerntilhørsforhold, tilsyn med underleverandøren, koncentration og hvor let tjenesten kan overføres til en anden.
De ti betingelser før aftalen
Efter artikel 3, stk. 1, skal den finansielle enhed før aftalen afgøre, om tjenesten må gives i underentreprise. Aftalen må kun indgås, hvis enheden har vurderet, at alle ti betingelser er opfyldt:
- Leverandøren har procedurer for udvælgelse og vurdering af underleverandørernes operationelle og finansielle evne, herunder deltagelse i test, når enheden kræver det.
- Leverandøren kan identificere alle underleverandører til kritiske funktioner og give de nødvendige oplysninger.
- Underkontrakterne gør det muligt for enheden at opfylde sine egne forpligtelser.
- Underleverandøren giver enheden og myndighederne de samme kontraktlige adgangs- og inspektionsrettigheder som leverandøren.
- Leverandøren har kapacitet og ressourcer til at overvåge underleverandørernes IKT-risici.
- Enheden har selv kapacitet til at overvåge.
- Enheden har vurderet virkningen af et svigt hos en underleverandør.
- Risici ved underleverandørernes hjemsted er vurderet.
- Koncentrationsrisiko efter DORA artikel 29 er vurderet.
- Hindringer for revisions-, inspektions- og adgangsrettigheder er vurderet.
Vurderingen i de sidste fem punkter gentages regelmæssigt, når forholdene ændrer sig (stk. 2). Bruger enheden leverandørens egen vurdering af underleverandørerne, må det ikke begrænse enhedens endelige ansvar (stk. 3).
Det, kontrakten skal sige om kæden
Artikel 4, stk. 1, kræver, at kontrakten angiver, hvilke tjenester der må gives i underentreprise og på hvilke betingelser. Kontrakten skal bl.a. omfatte leverandørens ansvar for underleverandørerne, pligten til at overvåge alle underentrepriser, indberetning til enheden, datas placering, kontinuitet i hele kæden, beredskabsplaner og serviceniveauer hos underleverandørerne, sikkerhedsstandarder, de samme adgangs-, inspektions- og revisionsrettigheder hos underleverandøren, underretning om væsentlige ændringer og ret til at opsige.
For en leverandøraudit er punktet om samme revisionsrettigheder det vigtigste. Uden det stopper kontrollen ved første led, og ingen kan efterprøve, om betingelserne stadig holder længere nede i kæden.
Væsentlige ændringer og fristen for indsigelse
Artikel 5 regulerer ændringer i kæden. Leverandøren skal underrette om planlagte væsentlige ændringer i så god tid, at enheden kan vurdere risiciene og leverandørens evne. Kontrakten skal indeholde en rimelig frist for indsigelse (forordningen kalder den opsigelsesfrist), inden for hvilken enheden godkender ændringen eller gør indsigelse.
Ændringen må først gennemføres efter godkendelse, eller når fristen er udløbet uden indsigelse. Overskrider ændringen enhedens risikotolerance, underretter enheden leverandøren, gør indsigelse og beder om ændringer, inden fristen udløber.
Opsigelse, når leverandøren ikke respekterer kæden
Artikel 6 lader enheden skrive opsigelse ind i kontrakten for tre situationer. Leverandøren gennemfører en væsentlig ændring, selv om enheden har gjort indsigelse. Leverandøren gennemfører den, før fristen er udløbet, og uden godkendelse. Eller leverandøren overlader en tjeneste til en underleverandør, som enheden ikke udtrykkeligt har tilladt.
Brug uden for finanssektoren
En virksomhed, der ikke er omfattet, kan låne strukturen. Det følgende er praksis og vores anbefaling.
- Brug de ti betingelser som spørgsmål til leverandøren, før I accepterer en ny underleverandør.
- Skriv en frist for indsigelse ind i aftalen, og kræv varsel om væsentlige ændringer.
- Kræv, at jeres revisionsret gælder hos underleverandøren på samme vilkår.
- Gentag vurderingen af hjemsted, koncentration og hindringer for revision, når kæden ændrer sig.
Hvad det kræver, og hvad det koster at lade være
For en finansiel enhed kræver det en dokumenteret vurdering af de ti betingelser for hver underentreprise til en kritisk funktion og en kontrakt med punkterne i artikel 4. For andre kræver det, at kæden bliver et fast punkt i aftalen.
Uden fristen for indsigelse opdager I ændringer i kæden, efter de er gennemført. Uden samme revisionsret hos underleverandøren kan auditten ikke nå derned.
Det skal I lade være med
- At lade leverandørens vurdering af underleverandørerne stå alene · den må ikke begrænse jeres ansvar.
- At acceptere varsel uden en frist for indsigelse · så er varslet kun en meddelelse.
- At skrive reglerne som krav til virksomheder uden for finanssektoren · for dem er forordningen en model.
Det skal auditten kunne vise
- ☐ En vurdering af de ti betingelser for hver underentreprise til en kritisk eller vigtig funktion.
- ☐ Kontraktpunkter efter artikel 4, herunder samme revisionsret hos underleverandøren.
- ☐ En aftalt frist for indsigelse mod væsentlige ændringer.
- ☐ Underretninger om ændringer og jeres stillingtagen til dem.
- ☐ En gentaget vurdering, når kæden er ændret.
Kilder
- Delegeret forordning (EU) 2025/532 om underentreprise af IKT-tjenester, artikel 1 til 7, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 29, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de aftaler, hvor leverandøren bruger underleverandører til en vigtig funktion, og se, om de rummer en frist for indsigelse.
Læs også: Leverandør til en finansiel virksomhed · Opkøb, ny underleverandør eller flyttet drift
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
