En lille kapitalforvalter, en betalingsvirksomhed med få ansatte eller et mindre pengeinstitut kan let læse DORA’s testkapitel som noget, der er skrevet til de store banker. Det er kun halvt rigtigt. Svaret hviler på forordningens egen opdeling: mikrovirksomheder, virksomheder under den forenklede ramme i artikel 16 og øvrige finansielle virksomheder har forskellige testregler, og ingen af de tre grupper er fritaget for at teste. Trusselsbaseret penetrationstest, TLPT, rammer derimod ikke mikrovirksomheder og virksomheder under den forenklede ramme. Teksten er ikke juridisk rådgivning.
Ifølge Finanstilsynet har forordningen gældt for de omfattede virksomheder siden den 17. januar 2025.
Tre slags mindre virksomheder
Det første spørgsmål er, hvilken gruppe virksomheden tilhører:
- Mikrovirksomhed · defineret i artikel 3, nr. 60, ud fra antal ansatte og årlig omsætning eller balance. Markedspladser, centrale modparter, transaktionsregistre og værdipapircentraler kan ikke være mikrovirksomheder.
- Forenklet ramme · artikel 16, stk. 1, nævner bl.a. små og ikke-forbundne investeringsselskaber, betalingsinstitutter og e-pengeinstitutter, der er undtaget efter de respektive direktiver, og små arbejdsmarkedsrelaterede pensionskasser.
- Øvrige · virksomheder, der hverken er mikrovirksomheder eller under den forenklede ramme, også selv om de opfatter sig selv som små.
Placeringen afgør, hvilke bestemmelser der er udgangspunktet. Er den uklar, er det et spørgsmål til compliance og eventuelt til Finanstilsynet, før testplanen lægges.
Mikrovirksomheder: artikel 25, stk. 3
Artikel 24’s krav om et forsvarligt og omfattende testprogram er i stk. 1 formuleret for finansielle enheder, der ikke er mikrovirksomheder. Det samme gælder kravene om uafhængige testere, procedurer for afhjælpning og den årlige test af systemer bag kritiske eller vigtige funktioner i stk. 4 til 6.
Mikrovirksomheder er alligevel ikke uden testkrav. Efter artikel 25, stk. 3, skal de gennemføre de test, der er nævnt i stk. 1, ved at kombinere en risikobaseret tilgang med en strategisk planlægning af IKT-test. Bestemmelsen beder virksomheden afveje de ressourcer og den tid, testen kræver, mod hastende behov, risikotype, hvor kritiske aktiverne og tjenesterne er, og evnen til at tage kalkulerede risici. Det er en ramme for prioritering, ikke en tilladelse til at lade være.
Den forenklede ramme: artikel 16
For virksomhederne i artikel 16, stk. 1, gælder artikel 5 til 15 ikke. I stedet skal de have en enklere, dokumenteret ramme for IKT-risikostyring. Litra g kræver, at planer for driftsstabilitet og reaktion og genopretning testes regelmæssigt, og at effektiviteten af kontrollerne testes. Litra h kræver, at konklusioner fra test og analyser efter hændelser føres ind i risikovurderingen.
Hvordan bestemmelsen spiller sammen med testkapitlet i den enkelte virksomhed, er et spørgsmål, der bør afklares skriftligt, ikke antages. Det sikre udgangspunkt er, at der skal være en testplan, og at resultaterne skal bruges. Efter stk. 2 skal rammen desuden dokumenteres og gennemgås med jævne mellemrum og efter større IKT-relaterede hændelser, og en rapport om gennemgangen skal kunne sendes til tilsynet, hvis det beder om den. Testresultaterne er en naturlig del af det materiale.
Mindre, men fuldt omfattet
En virksomhed, der hverken er mikrovirksomhed eller under den forenklede ramme, har artikel 24 og 25 fuldt ud, uanset hvor få ansatte den har. Det betyder et testprogram, uafhængige testere, interne eller eksterne, procedurer for at prioritere og afhjælpe fund og passende test mindst én gang om året af alle IKT-systemer og applikationer, der understøtter kritiske eller vigtige funktioner. Artikel 4, stk. 2, giver plads til at tilpasse indholdet til størrelse, risikoprofil og kompleksitet. → DORA’s testprogram
Udgangspunktet for planen er listen over funktioner. → Kritiske eller vigtige funktioner
TLPT ligger uden for
Artikel 26 om TLPT gælder kun virksomheder, som myndigheden har identificeret, og aldrig mikrovirksomheder eller virksomheder under artikel 16. Artikel 27 stiller krav til de testere, der udfører TLPT. For de fleste mindre virksomheder er de to artikler derfor baggrundsviden. → DORA-TLPT forklaret
Det kan ændre sig. Hvis virksomheden vokser, skifter tilladelse eller bliver en del af en koncern med fælles IKT-systemer, kan placeringen i forordningen ændre sig, og så skal testplanen ses efter igen.
Pas på med tilbud, der bruger TLPT-sprog om almindelige test. En test, der ikke er gennemført inden for rammen, er ikke en TLPT, og den kan ikke give den dokumentation, rammen giver.
En proportional testplan med få folk
I en mindre virksomhed ligger meget af driften ofte hos en datacentral eller en driftsleverandør. Testplanen skal derfor skelne mellem det, leverandøren tester og kan dokumentere, og det, virksomheden selv skal have testet: egne systemer, egne opsætninger, adgangen for medarbejdere og forbindelserne til leverandøren.
En plan kan for eksempel bestå af løbende sårbarhedsscanning, en penetrationstest af kundeportalen og fjernadgangen, en årlig test af genopretning og en øvelse i, hvordan ledelsen håndterer en hændelse. Uafhængigheden kan sikres med en ekstern tester, når der ikke er folk nok til en intern, der ikke selv har bygget systemerne.
Gem dokumentationen samlet: planen med begrundelsen for valget af test, rapporterne, status på fundene og beslutninger om fund, der accepteres i stedet for at blive rettet. I en lille organisation er det ofte den samme person, der bestiller testen og følger op, og så er et skriftligt spor den bedste måde at vise, at testprogrammet faktisk bliver brugt.
Phishing-test, social engineering-test og en afgrænset red team-øvelse kan være scenariebaserede test i den forstand, artikel 25 nævner, men de bør kun komme, når de grundlæggende test er på plads. Nielco IT udfører red teaming og phishing-test uden for TIBER-rammen og tilbyder ikke TLPT. → For små til red teaming?
Det skal I lade være med
- At antage, at små virksomheder er fritaget · alle tre grupper har testkrav.
- At gætte på gruppen · placeringen som mikrovirksomhed eller under artikel 16 skal kunne begrundes.
- At lade datacentralens test dække alt · jeres egne opsætninger og adgange er jeres ansvar.
- At købe en test med TLPT-betegnelse · uden for rammen er det ikke en TLPT.
- At teste uden at bruge resultatet · både artikel 16 og 24 forudsætter, at fund følges op.
Hvad kan og ikke kan konkluderes
Forordningen giver mindre finansielle virksomheder lempeligere og mere fleksible testregler, men ikke fritagelse. TLPT gælder ikke for mikrovirksomheder og virksomheder under den forenklede ramme. Teksten fastlægger ikke, hvilke konkrete test den enkelte virksomhed skal vælge, og hvad tilsynet forventer i et bestemt tilfælde, må afklares med tilsynet. → Finansielle virksomheder uden TLPT-krav
- ☐ Er virksomhedens gruppe i DORA fastlagt og begrundet?
- ☐ Er kritiske eller vigtige funktioner beskrevet?
- ☐ Er det aftalt, hvad driftsleverandøren tester og dokumenterer?
- ☐ Er testerne uafhængige af de systemer, de tester?
- ☐ Er der en fast vej fra fund til afhjælpning og risikovurdering?
Kilder
- Forordning (EU) 2022/2554 (DORA): artikel 3, nr. 60 (mikrovirksomhed), artikel 4, stk. 2 (proportionalitet), artikel 16, stk. 1, litra g og h (forenklet ramme), artikel 24, stk. 1 og 4 til 6, artikel 25, stk. 1 og 3, artikel 26, stk. 1, og artikel 27.
- Finanstilsynet: Forordning om digital operationel modstandsdygtighed (DORA): anvendelse fra 17. januar 2025 og testkravene i kapitel IV.
Senest gennemgået: november 2026.
Næste skridt
Del af: Artikler om red teaming
Læs også: Hvem skal gennemføre TLPT? · Phishing: red team eller kampagne
→ Kontakt · Tlf. 70 13 63 23 · Red teaming hos Nielco IT
