Leverer I IT-tjenester til en finansiel virksomhed, vil kunden bede om en aftale med bestemte punkter om adgang, inspektion og revision. Kravene står i DORA, forordning 2022/2554, og gælder den finansielle virksomhed. De når jer gennem kontrakten, fordi kunden ikke kan opfylde sine egne pligter uden dem.
Artiklen er skrevet til leverandøren. DORA retter sig mod finansielle enheder, og en finansiel kunde kan ikke indgå aftalen uden punkterne. At pligterne på den måde lander hos jer, er vores læsning af, hvordan reglerne virker i praksis.
Hvem kunden er, og hvornår reglerne gælder
DORA anvendes fra 17. januar 2025 og gælder umiddelbart i alle medlemsstater (artikel 64). Den finansielle virksomhed har efter artikel 28, stk. 1, litra a, til enhver tid det fulde ansvar for sine forpligtelser, også når en leverandør udfører opgaven. Det er grunden til, at kunden kræver indsigt.
Reglerne skelner mellem tjenester i almindelighed og tjenester, der understøtter kritiske eller vigtige funktioner hos kunden. Spørg tidligt, hvilken kategori jeres ydelse er placeret i. Svaret afgør, hvor mange af punkterne herunder der kommer i aftalen.
Punkterne i alle aftaler
Artikel 30, stk. 2, siger, at aftaler om IKT-tjenester som minimum skal indeholde:
- en beskrivelse af funktioner og tjenester, og om underentreprise er tilladt
- de lande, hvor tjenesten leveres og data behandles, og forudgående varsel ved ændringer
- bestemmelser om tilgængelighed, autenticitet, integritet og fortrolighed
- adgang til data, genopretning og tilbagelevering ved insolvens, afvikling eller opsigelse
- serviceniveauer
- bistand ved IKT-hændelser
- fuldt samarbejde med de kompetente myndigheder og afviklingsmyndigheder
- opsigelsesrettigheder og minimumsfrister
- jeres deltagelse i kundens programmer for bevidstgørelse og kurser
De ekstra punkter ved kritiske eller vigtige funktioner
Understøtter jeres tjeneste en kritisk eller vigtig funktion, kommer artikel 30, stk. 3, oveni. Aftalen skal så også rumme præcise præstationsmål, pligt til at varsle udvikling, der kan påvirke leverancen, test af beredskabsplaner og sikkerhedsforanstaltninger, jeres medvirken i kundens trusselsbaserede penetrationstest og en exitstrategi med en obligatorisk overgangsperiode.
Kernen for en leverandøraudit står i litra e. Kunden, en tredjepart udpeget af kunden og den kompetente myndighed skal have en uindskrænket ret til adgang, inspektion og revision og til at tage kopier af relevant dokumentation på stedet. Den ret må ikke hindres eller begrænses af andre aftaler. I har pligt til fuldt samarbejde under inspektioner og revisioner på stedet, og aftalen skal oplyse omfang, procedurer og hyppighed.
Hvor der er plads til at aftale noget
Retten er bred. Tre steder giver alligevel plads til tilpasning.
Andre kunders rettigheder. Artikel 30, stk. 3, litra e, ii, åbner for, at parterne aftaler et andet sikkerhedsniveau, når en revision ellers ville gribe ind i andre kunders rettigheder. Har I mange kunder i samme miljø, er det her, I kan foreslå, hvordan en revision foregår uden at åbne for andres data.
Mikrovirksomheder. Er kunden en mikrovirksomhed efter DORA’s definition i artikel 3, nr. 60, kan parterne lade en uafhængig tredjepart, som leverandøren udpeger, udøve kundens ret til adgang, inspektion og revision. Bemærk, at det er kunden, der skal være mikrovirksomhed. Jeres egen størrelse ændrer ikke noget.
Fælles revisioner. Den delegerede forordning 2024/1773 lader kunden bruge egen intern revision, en udpeget tredjepart, fælles revisioner og test med andre kunder, certificeringer og jeres egne revisionsrapporter (artikel 8, stk. 2). Har I flere finansielle kunder, kan en fælles revision spare jer for gentagne besøg.
Jeres erklæring er ikke nok over tid
Mange leverandører håber, at en revisorerklæring kan dække alle kunder. RTS 2024/1773 artikel 8, stk. 3, siger, at kunden på længere sigt ikke kan nøjes med certificeringer og revisionsrapporter alene. Kunden må kun bruge dem, hvis bl.a. anvendelsesområdet dækker de centrale systemer og kontroller, rapporten ikke er forældet, den omfatter en test af den operationelle effektivitet af de centrale kontroller, og kunden har kontraktlig ret til at kræve omfanget udvidet og til at gennemføre individuelle og fælles revisioner.
Det giver jer en klar opgave. Jo bedre jeres erklæring passer på de kriterier, jo længere kan kunden bygge på den mellem egne revisioner.
Det praktiske for en mindre leverandør
Det følgende er praksis og vores tolkning, ikke krav fra forordningen.
- Udpeg én kontaktperson for revisioner fra finansielle kunder.
- Beskriv på forhånd, hvordan I tager imod en revision på stedet, også fra en myndighed.
- Saml dokumentationen, så den kan kopieres uden at blande andre kunders oplysninger ind.
- Hold styr på, hvilke af jeres underleverandører der rører tjenesten, og hvor de ligger.
Kunden fastsætter efter artikel 28, stk. 6, på forhånd hyppigheden af revisionerne og de områder, der revideres. Spørg efter planen, så I kan forberede jer.
Særskilt tilsyn med kritiske tredjepartsudbydere efter artikel 31 findes også. De europæiske tilsynsmyndigheder offentliggjorde 18. november 2025 den første liste over udbydere, de har udpeget. Hvad en sådan udpegning betyder for kundens revisionsret, står i artiklen om leverandøren udpeget som kritisk IKT-tredjepartsudbyder.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I accepterer en revisionsret, der er bredere end i de fleste andre aftaler, og at I har en proces for at tage imod den. Det kræver også, at jeres erklæring er skrevet, så den kan bruges efter forordningens kriterier.
Uden punkterne kan en finansiel kunde ikke indgå aftalen. Har I dem i aftalen uden at kunne leve op til dem, bliver første revision et problem for begge parter.
Det skal I lade være med
- At forsøge at begrænse revisionsretten i et bilag · den må ikke begrænses af andre aftaler.
- At gå ud fra, at mikroundtagelsen gælder, fordi I selv er små · det er kunden, der skal være mikrovirksomhed.
- At tilbyde erklæringen som eneste bevis · kunden må ikke over tid udelukkende bygge på den.
Det skal auditten kunne vise
- ☐ Aftalens punkter efter artikel 30, stk. 2, og ved kritiske funktioner stk. 3.
- ☐ En aftalt procedure for adgang, inspektion og revision med omfang og hyppighed.
- ☐ En løsning for andre kunders data under revision på stedet.
- ☐ En erklæring, der dækker de centrale systemer og tester kontrollernes effektivitet.
- ☐ En oversigt over underleverandører og lande for levering og databehandling.
Kilder
- Forordning (EU) 2022/2554 (DORA), artikel 3, nr. 60, artikel 28, 30 og 64, læst 12. november 2026.
- Delegeret forordning (EU) 2024/1773, artikel 8, læst 12. november 2026.
- ESA’erne: European Supervisory Authorities designate critical ICT third-party providers, 18. november 2025, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spørg kunden, om jeres tjeneste understøtter en kritisk eller vigtig funktion, og læs aftaleudkastet mod artikel 30.
Læs også: Kunden har varslet audit · Finanskundens informationsregister
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
