DORA, forordningen om digital operationel modstandsdygtighed i den finansielle sektor, indeholder et særligt krav om avanceret test for de virksomheder, myndighederne udpeger. Testen hedder TLPT, trusselsbaseret penetrationstest, og den minder mere om en red team-øvelse end om en almindelig penetrationstest. Forklaringen bygger på forordningens artikel 26 og 27 i den danske udgave og på de tekniske reguleringsstandarder, der uddyber dem.
Kort fortalt skal de udpegede finansielle virksomheder mindst hvert tredje år gennemføre en TLPT, der omfatter flere eller alle kritiske eller vigtige funktioner og foregår på produktionssystemer. Myndigheden validerer omfanget, testerne skal opfylde særlige krav, og forløbet afsluttes med en erklæring fra myndigheden. Gennemgangen er ikke juridisk rådgivning.
Hvor TLPT står i DORA
DORA’s kapitel IV handler om test af digital operationel modstandsdygtighed. Artikel 24 kræver et testprogram hos finansielle virksomheder, der ikke er mikrovirksomheder, og artikel 25 nævner en række testformer, som programmet kan indeholde, herunder penetrationstest. Artikel 26 og 27 beskriver den avancerede test, TLPT, som kun gælder for en udvalgt kreds. → DORA’s testprogram
Efter artikel 26, stk. 1, gælder kravet finansielle virksomheder, der er identificeret efter artiklens stk. 8, tredje afsnit, og som hverken er mikrovirksomheder eller omfattet af den forenklede ramme i artikel 16, stk. 1. Testen skal gennemføres mindst hvert tredje år, men den kompetente myndighed kan ud fra risikoprofil og operationelle forhold bede virksomheden om at gennemføre den oftere eller sjældnere.
Hvad testen skal omfatte
Artikel 26, stk. 2, bestemmer, at hver test omfatter flere eller samtlige kritiske eller vigtige funktioner og foretages på live-produktionssystemer, der understøtter dem. Virksomheden skal identificere de underliggende systemer, processer og teknologier, herunder tjenester, der er outsourcet til tredjepartsudbydere.
Virksomheden vurderer selv, hvilke kritiske eller vigtige funktioner der skal med. Resultatet af vurderingen bestemmer testens nøjagtige omfang og valideres af myndighederne. For en CISO betyder det, at afgrænsningen ikke kan besluttes alene i sikkerhedsfunktionen. De tekniske standarder nævner i artikel 9, stk. 7, de kriterier, virksomheden skal tage hensyn til, når funktionerne vælges, bl.a. funktionens betydning for den finansielle sektor og for den daglige forretning, om den kan erstattes, hvordan den hænger sammen med andre funktioner, og hvad trusselsefterretningen siger om den. → Kritiske eller vigtige funktioner
Leverandører og samlet test
Hvis tredjepartsudbydere af IKT-tjenester indgår i testen, skal virksomheden efter stk. 3 sikre deres deltagelse og har til enhver tid det fulde ansvar for at overholde forordningen. Stk. 4 åbner for en samlet test, hvor en udbyder selv indgår kontrakt med en ekstern tester og testes på vegne af flere finansielle virksomheder, når en deltagelse i hver enkelt virksomheds test kan skade udbyderens øvrige kunder eller fortroligheden af deres data. Den samlede test betragtes som en TLPT for de deltagende virksomheder. → IKT-tredjepartsudbydere i TLPT
Risikostyring
Efter stk. 5 skal virksomheden sammen med udbydere og testere bruge effektive risikostyringskontroller, så risikoen for påvirkning af data, skade på aktiver og forstyrrelser af kritiske eller vigtige funktioner begrænses. Det gælder både i virksomheden selv, hos dens modparter og i den finansielle sektor. Testen foregår på produktion, og derfor er risikostyringen ikke en formalitet, men en forudsætning.
De tekniske reguleringsstandarder uddyber kravet. Efter artikel 5 skal kontrolteamet allerede i forberedelsen vurdere risikoen ved testen, også for den finansielle sektor og den finansielle stabilitet, og som minimum se på risici ved at give eksterne parter adgang til følsomme oplysninger, ved eskalering af kriser og hændelser, ved både red teams og blue teams aktiviteter og ved ufuldstændig gendannelse af berørte systemer.
Testerne
Virksomheden indgår efter stk. 8 kontrakt med testere i overensstemmelse med artikel 27. Interne testere er mulige, men så skal der bruges eksterne testere ved hver tredje test. Kreditinstitutter, der er klassificeret som signifikante efter forordning (EU) nr. 1024/2013 om tilsyn med kreditinstitutter, må kun bruge eksterne testere.
Artikel 27, stk. 1, opregner kravene til alle testere: de skal være de mest egnede og have det bedste omdømme, have specifik ekspertise i trusselsefterretning, penetrationstest og red team-test, være certificerede eller følge formelle adfærdskodekser eller etiske rammer, afgive en uafhængig garanti eller en revisionsrapport om forsvarlig risikostyring og være dækket af relevante erhvervsansvarsforsikringer. Stk. 2 stiller ekstra betingelser for interne testere, bl.a. myndighedens godkendelse og en ekstern formidler af trusselsefterretninger. Stk. 3 kræver, at kontrakter med eksterne testere sikrer en forsvarlig håndtering af resultaterne. → Krav til testere i DORA artikel 27
Afslutning og erklæring
Når testen er afsluttet, og der er enighed om rapporter og udbedringsplaner, skal virksomheden efter stk. 6 forelægge myndigheden en sammenfatning af de relevante resultater, udbedringsplanerne og dokumentation for, at testen er gennemført efter kravene. Efter stk. 7 udsteder myndigheden en erklæring om, at testen er gennemført efter kravene, så den kan anerkendes af andre myndigheder. Virksomheden har fortsat det fulde ansvar for virkningen af testen.
Erklæringen bekræfter, at processen er fulgt. Den siger ikke, at virksomheden er sikker, og den lukker ikke fundene. Det sker gennem udbedringsplanen og opfølgningen bagefter. Efter de tekniske standarders artikel 13 skal planen for hvert resultat bl.a. beskrive manglen, de foreslåede tiltag med prioritet, en analyse af de grundlæggende årsager og de medarbejdere eller funktioner, der har ansvaret. → Opsummering, afhjælpningsplan og attestation
Myndigheden og de tekniske standarder
Medlemsstaterne kan efter stk. 9 udpege en fælles offentlig myndighed for TLPT i den finansielle sektor. I Danmark er det Danmarks Nationalbank, som gennemfører testene efter rammen TIBER-DK. Stk. 11 pålægger de europæiske tilsynsmyndigheder at udarbejde tekniske reguleringsstandarder i overensstemmelse med TIBER-EU. De er vedtaget som Kommissionens delegerede forordning (EU) 2025/1190, der bl.a. fastsætter kriterierne for udpegning, faserne i testen og en aktiv testfase på mindst tolv uger. → De tekniske reguleringsstandarder for TLPT
Det skal I lade være med
- At kalde en frivillig red team-øvelse for TLPT · betegnelsen hører til forordningens ramme med myndighedens deltagelse og erklæring.
- At afgrænse testen uden ledelsen · ledelsesorganet skal efter de tekniske standarder godkende afgrænsningen.
- At gå ud fra, at leverandøren selv sørger for sin deltagelse · ansvaret ligger hos den finansielle virksomhed.
- At læse erklæringen som en sikkerhedsgodkendelse · den bekræfter, at kravene til testen er fulgt.
Hvad kan og ikke kan konkluderes
DORA-TLPT er en lovbestemt, efterretningsbaseret test med faste krav til omfang, testere, risikostyring og afslutning for de virksomheder, myndigheden udpeger. Reglerne siger ikke, at andre finansielle virksomheder skal gennemføre red teaming, og de gør ikke en frivillig øvelse til en TLPT. Om en virksomhed er omfattet, afgør myndigheden. → Hvem skal gennemføre TLPT?
Kilder
- Forordning (EU) 2022/2554 (DORA): artikel 24 og 25 om testprogrammet, artikel 26, stk. 1 til 11, om TLPT og artikel 27 om krav til testere.
- Kommissionens delegerede forordning (EU) 2025/1190: artikel 5 om risikostyring, artikel 9, stk. 6 og 7, om ledelsesorganets godkendelse af afgrænsningen og kriterierne for valg af funktioner, artikel 11, stk. 5, om den aktive testfase på mindst tolv uger og artikel 13, stk. 2, om udbedringsplanens indhold.
- Danmarks Nationalbank, TIBER-DK/TLPT: Nationalbanken som TLPT-myndighed i Danmark.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om red teaming
Læs også: Interne testere i TLPT · Finansielle virksomheder uden TLPT-krav · Ledelsesansvar og red teaming
→ Kontakt · Tlf. 70 13 63 23 · Red teaming hos Nielco IT
