Er jeres leverandør udpeget som kritisk IKT-tredjepartsudbyder under DORA, får den et direkte tilsyn fra de europæiske tilsynsmyndigheder. Jeres eget ansvar som finansiel virksomhed ændres ikke af det. I skal stadig have revisionsret i aftalen, følge op på leverandøren og have en exitplan, der kan bruges.
Artiklen er skrevet til den finansielle kunde og til de leverandører, der leverer til den. Den gennemgår reglerne i forordning (EU) 2022/2554 (DORA) og siger, hvad udpegningen kan og ikke kan bruges til i en leverandøraudit. Hvor vi tolker, står det.
Hvad udpegningen er
De tre europæiske tilsynsmyndigheder, EBA, EIOPA og ESMA (ESA’erne), udpeger gennem deres fælles udvalg de udbydere, der er kritiske for finansielle enheder (artikel 31, stk. 1, litra a). Vurderingen bygger blandt andet på udbyderens systemiske indvirkning på finansielle tjenesteydelser, hvor mange og hvor vigtige finansielle enheder der er afhængige af den, og i hvilket omfang udbyderen kan erstattes (artikel 31, stk. 2).
Den 18. november 2025 offentliggjorde ESA’erne den første liste over udpegede udbydere. Listen ajourføres årligt (artikel 31, stk. 9). En udbyder, der ikke er på listen, kan selv anmode om at blive udpeget (artikel 31, stk. 11).
For hver udpeget udbyder udnævnes en af de tre myndigheder som ledende tilsynsførende (artikel 31, stk. 1, litra b).
Hvad EU-tilsynet gør
Den ledende tilsynsførende vurderer, om udbyderen har regler, procedurer og ordninger til at styre den IKT-risiko, den kan påføre de finansielle enheder (artikel 33, stk. 2). Den kan kræve oplysninger og dokumentation, foretage generelle undersøgelser og inspektioner og udstede henstillinger (artikel 35, stk. 1, og artikel 37 til 39). Et fælles undersøgelsesteam for hver udbyder bistår med arbejdet (artikel 40).
Tilsynet ser altså på udbyderens styring af risikoen over for hele finanssektoren. Det ser ikke på jeres konkrete aftale, jeres opsætning eller jeres data.
Det, der ikke ændres
DORA siger det direkte. Den finansielle enhed har til enhver tid det fulde ansvar for at overholde forordningen, også når en leverandør udfører opgaven (artikel 28, stk. 1, litra a). Betragtning 92 tilføjer, at tilsynsrammen ikke bør erstatte kravene til de finansielle enheders egen styring af IKT-tredjepartsrisiko, og at den ikke berører deres fulde ansvar. Betragtning 64 siger det samme om ansvaret.
Det har tre følger for jeres leverandøraudit:
- Kravene til aftalen i artikel 30 gælder uændret. Ved kritiske eller vigtige funktioner skal aftalen stadig give jer, en tredjepart udpeget af jer og den kompetente myndighed ret til adgang, inspektion og revision.
- I skal stadig selv fastsætte hyppighed og områder for jeres revisioner ud fra risikoen (artikel 28, stk. 6).
- EU-tilsynets arbejde kan ikke bruges som jeres revisionsrapport. Det er vores læsning, at I kan tage det med som baggrund, men jeres egen vurdering af aftalen og leverancen skal stå selvstændigt.
Møder I det argument, at udbyderen allerede er under EU-tilsyn og derfor kan begrænse kundernes egne kontrolrettigheder, så hold det op mod artikel 30. Forordningen giver ikke den undtagelse.
Hvorfor exit vejer tungere
Udpegningen gør exitplanen vigtigere, ikke mindre vigtig. Den kompetente myndighed kan som en sidste udvej kræve, at finansielle enheder midlertidigt suspenderer brugen af en tjeneste helt eller delvist, eller at de opsiger aftalen helt eller delvist (artikel 42, stk. 6). Det kan ske, hvis udbyderen ikke følger op på den ledende tilsynsførendes henstillinger.
Efter artikel 28, stk. 8, skal I have exitstrategier, når tjenesten bærer en kritisk eller vigtig funktion, og planerne skal afprøves i et omfang, der passer til risikoen. Er udbyderen udpeget, fordi den er svær at erstatte, er det netop dén plan, der er sværest at gøre realistisk.
Udbydere fra et tredjeland skal desuden have en dattervirksomhed i EU senest 12 måneder efter udpegningen, hvis finansielle enheder skal kunne bruge dem (artikel 31, stk. 12). Pligten er formuleret som en pligt for jer som kunde. Spørg derfor til selskabsstrukturen, hvis udbyderen har hjemsted uden for EU.
Fra leverandørens side
Er I selv leverandør til finansielle kunder uden at være udpeget, ændrer listen ikke jeres aftaler. Bruger I en udpeget udbyder som underleverandør, kan kunderne spørge til det i informationsregistret og i kravene til kæden. Kunden skal stadig kunne revidere jeres del. De regler, der gælder for leddene i kæden, står i artiklen om kæden under DORA, og de punkter, kunden kræver i aftalen, står i artiklen om leverandører til finansielle virksomheder.
Hvad det kræver, og hvad det koster at lade være
Første skridt er at vide, hvilke af jeres leverandører og underleverandører der står på ESA’ernes liste, og at I holder fast i jeres revisionsret og egen opfølgning over for dem. Det kræver også en exitplan, der er afprøvet, selv om leverandøren er stor.
Lader I EU-tilsynet erstatte jeres egen kontrol, kan I ikke vise Finanstilsynet, at I opfylder artikel 28. Kræver myndigheden suspension, og har I ingen plan, står jeres kritiske funktion uden leverandør.
Det skal I lade være med
- At skrive revisionsretten ud af aftalen, fordi udbyderen er under EU-tilsyn · artikel 30 gælder uændret.
- At bruge udpegningen som bevis for leverandørens sikkerhed · tilsynet vurderer ikke jeres aftale eller opsætning.
- At udskyde exitplanen, fordi udbyderen er svær at erstatte · det er netop her, myndigheden kan kræve suspension.
Det skal auditten kunne vise
- ☐ En oversigt over, hvilke leverandører og underleverandører der står på ESA’ernes liste, med dato for seneste tjek.
- ☐ Aftaler med revisionsret efter artikel 30, også over for udpegede udbydere.
- ☐ En risikobaseret plan for jeres egne revisioner af dem.
- ☐ En exitplan for hver kritisk eller vigtig funktion, med dato og resultat for seneste test.
- ☐ For udbydere uden for EU: oplysning om dattervirksomhed i EU.
Kilder
- Forordning (EU) 2022/2554 (DORA), betragtning 64 og 92, artikel 28, 30, 31, 33, 35, 37 til 40 og 42, læst 13. november 2026.
- ESA’erne: European Supervisory Authorities designate critical ICT third-party providers, 18. november 2025, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sammenhold ESA’ernes liste med jeres informationsregister, og tjek exitplanen for hver udbyder, der står på begge.
Læs også: DORA’s revisionsret holdt op mod en almindelig klausul · Audit ved kontraktophør
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
