Finansielle virksomheder uden TLPT‑krav: hvad giver mening?

DORA omfatter en lang række typer af finansielle virksomheder, men kun en udvalgt kreds skal gennemføre trusselsbaseret penetrationstest. For CISO’en i en virksomhed uden for den kreds er spørgsmålet, hvad forordningen så kræver, og hvad der er værd at gøre ud over kravet. Svaret hviler på DORA artikel 24 til 26 og på de tekniske reguleringsstandarder for TLPT. Kort sagt: testprogrammet gælder stadig, og det skal være risikobaseret. Inden for programmet kan scenariebaserede øvelser, purple teaming og red teaming give mening, når modenheden og spørgsmålet passer til dem. Gennemgangen er ikke juridisk rådgivning.

Hvem der står uden for TLPT

Efter artikel 26, stk. 1, gælder kravet kun finansielle enheder, som myndigheden har identificeret efter stk. 8, og som hverken er mikrovirksomheder eller omfattet af den forenklede ramme i artikel 16, stk. 1. Myndigheden identificerer ud fra virkningen på den finansielle sektor, hensynet til finansiel stabilitet og virksomhedens IKT-risikoprofil og modenhed.

De tekniske standarder gør kriterierne mere konkrete. Artikel 2, stk. 2, opregner typer af virksomheder, som myndigheden skal stille krav til, medmindre dens vurdering viser, at testen ikke er berettiget, bl.a. kreditinstitutter udpeget som systemisk vigtige, værdipapircentraler, centrale modparter og visse betalingsinstitutter, e-pengeinstitutter, markedspladser og forsikringsselskaber over bestemte tærskler. I Danmark er Nationalbanken TLPT-myndighed, og ifølge implementeringsdokumentet kan den både udelade og medtage virksomheder ud fra en konkret vurdering. → Hvem skal gennemføre TLPT?

Fraværet af et krav er altså et resultat af en vurdering, ikke en fast status. Virksomhedens størrelse, rolle og IKT-profil kan ændre sig.

Det, DORA stadig kræver

For finansielle enheder, der ikke er mikrovirksomheder, kræver artikel 24 et forsvarligt og omfattende testprogram, der er en del af rammen for IKT-risikostyring. Programmet skal følge en risikobaseret tilgang, og efter stk. 6 skal alle IKT-systemer og applikationer, der understøtter kritiske eller vigtige funktioner, testes passende mindst én gang om året. Artikel 25, stk. 1, nævner en række test, programmet skal rumme bestemmelser om, fra sårbarhedsvurderinger og fysiske sikkerhedsgennemgange til scenariebaserede test, end-to-end-test og penetrationstest.

Testene skal efter artikel 24, stk. 4, gennemføres af uafhængige parter, og fundene skal efter stk. 5 prioriteres, klassificeres og afhjælpes. For virksomheder under den forenklede ramme kræver artikel 16, stk. 1, litra g, at planer for driftsstabilitet og kontrollernes effektivitet testes regelmæssigt. Artikel 4, stk. 2, knytter testkravene til virksomhedens størrelse, risikoprofil og kompleksitet. → DORA’s testprogram

Hvor red teaming passer ind

Forordningen kræver ikke red teaming uden for TLPT. Men en red team-øvelse er en måde at gennemføre en scenariebaseret test på, og den kan besvare et spørgsmål, som andre test ikke besvarer: opdager og stopper organisationen en målrettet modstander, før den når en kritisk funktion? Det spørgsmål giver kun mening, når de grundlæggende test er på plads, og der findes en overvågning og en beredskabsfunktion, der kan måles. → Er organisationen klar til red teaming?

En frivillig øvelse er ikke en TLPT og giver ingen erklæring. Den kan låne struktur fra TIBER-EU og de tekniske standarder, men den bør beskrives som det, den er. → Red teaming uden for TIBER-rammen

Fire mulige trin

Valget af øvelse afhænger af, hvor moden organisationen er, og hvilket spørgsmål ledelsen vil have besvaret. En mulig rækkefølge kan se sådan ud:

Tabletop og scenarieøvelser · ledelse og beredskab gennemspiller en hændelse mod en kritisk funktion uden teknisk test.
Purple teaming · testere og forsvar arbejder sammen om at afprøve, hvad overvågningen ser, og forbedrer den undervejs.
Afgrænset red team-øvelse · et enkelt scenarie mod én forretningsproces, fx betalinger eller kundedata, med skjult forsvar.
Bredere angrebssimulering · flere scenarier over længere tid, når de første øvelser har givet læring, der er fulgt op.

Trinene er ikke en trappe, alle skal op ad. En virksomhed med en moden overvågning kan begynde højere, og en virksomhed med åbne fund fra sidste pentest bør måske rette dem først. → Red teaming, tabletop og beredskabsøvelse

Koncern og fælles systemer

Virksomheder i en koncern bør se på koncernen som helhed. De tekniske standarder lader det indgå i vurderingen, om en finansiel enhed er en del af en koncern, der deler IKT-systemer, og artikel 2, stk. 3, beskriver, hvordan myndighederne afgør, om flere enheder i samme koncern skal teste hver for sig. Et selskab uden eget krav kan derfor blive berørt af en test i et andet selskab, hvis systemerne er fælles.

For CISO’en betyder det, at testprogrammet i datterselskabet bør koordineres med koncernens sikkerhedsfunktion. Aftal, hvem der ejer fælles systemer i en øvelse, og hvordan en frivillig øvelse i ét selskab undgår at forstyrre en planlagt test i et andet.

Gør øvelsen brugbar i testprogrammet

En frivillig øvelse giver mest, når den kan genfindes i programmet. Beskriv før start, hvilken kritisk eller vigtig funktion scenariet handler om, hvilket spørgsmål øvelsen skal besvare, og hvordan fundene føres ind i afhjælpningen. Efter øvelsen kan resultatet så bruges i rapporteringen om IKT-risiko og i planen for næste års test, i stedet for at blive en enkeltstående rapport.

Frivillig deltagelse i TIBER-DK

Nationalbankens implementeringsdokument nævner, at TIBER-DK ud over de virksomheder, der er omfattet af TLPT, omfatter virksomheder, som ikke er omfattet, men som er vigtige for stabiliteten i det danske finansielle system og deltager frivilligt. Når en sådan aftale er indgået, betragtes den som bindende. Deltagelse er altså knyttet til Nationalbankens program og vurdering af virksomhedens betydning. Den er ikke en ydelse, man bestiller hos en leverandør. → TIBER-DK forklaret

Det skal I lade være med

At læse fraværet af TLPT-krav som fravær af testkrav · artikel 24 og 25 gælder stadig for virksomheder, der ikke er mikrovirksomheder.
At springe direkte til en stor red team-øvelse · uden overvågning og beredskab er der ikke meget at måle.
At kopiere en TLPT i fuld skala · en frivillig øvelse skal dimensioneres efter jeres eget spørgsmål og jeres egen risiko.
At glemme afhjælpningen · testprogrammet skal også rumme opfølgning på fundene.
At antage, at status er permanent · myndighedens vurdering kan ændre sig, når virksomheden ændrer sig.

Hvad kan og ikke kan konkluderes

En finansiel virksomhed uden TLPT-krav skal stadig have et risikobaseret testprogram efter DORA, og frivillige øvelser kan være en del af det. Hvilke øvelser der giver mening, afhænger af modenhed, kritiske funktioner og trusselsbillede. Reglerne siger ikke, at virksomheder uden for TLPT skal gennemføre red teaming, og en frivillig øvelse kan ikke fremstilles som en TLPT.

☐ Testprogrammet efter artikel 24 er beskrevet og godkendt.
☐ Systemer, der understøtter kritiske eller vigtige funktioner, testes mindst én gang om året.
☐ Der er procedurer for at prioritere og afhjælpe fund.
☐ Spørgsmålet til en eventuel øvelse er formuleret af ledelsen.
☐ Overvågning og beredskab er modne nok til at blive målt.

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 4, stk. 2, om proportionalitet, artikel 16, stk. 1, om den forenklede ramme, artikel 24, stk. 1, 3, 4, 5 og 6, og artikel 25, stk. 1, om testprogrammet og artikel 26, stk. 1 og 8, om TLPT og identifikation.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 2, stk. 1 til 3, om identifikation af finansielle enheder, der skal gennemføre TLPT, herunder koncerner med fælles IKT-systemer.
Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: frivillige deltagere (s. 7) og Nationalbankens udpegning (bilag 3, s. 47).

Senest gennemgået: oktober 2026.