Hvem skal gennemføre TLPT? Udpegningen i Danmark

Kravet om trusselsbaseret penetrationstest i DORA gælder ikke alle finansielle virksomheder. Det gælder dem, som myndigheden udpeger, og i Danmark er det Danmarks Nationalbank, der træffer den afgørelse. Svaret på, hvem der skal teste, hviler derfor på tre lag: forordningens generelle kriterier, de tekniske reguleringsstandarder, der gør kriterierne konkrete, og den danske udpegning af Nationalbanken som myndighed.

Kort sagt skal en virksomhed gennemføre TLPT, når Nationalbanken har vurderet, at den skal, ud fra dens betydning for den finansielle sektor, dens systemiske karakter og dens IKT-risikoprofil. For visse typer af store virksomheder er udgangspunktet, at de skal teste, medmindre vurderingen viser, at det ikke er berettiget. Gennemgangen er ikke juridisk rådgivning, og kun myndigheden kan svare på, om en bestemt virksomhed er omfattet.

Grundlaget i DORA

DORA artikel 26, stk. 1, pålægger de finansielle virksomheder, der er identificeret efter artiklens stk. 8, tredje afsnit, at gennemføre TLPT mindst hvert tredje år. Mikrovirksomheder og virksomheder, der er omfattet af den forenklede ramme for IKT-risikostyring i artikel 16, stk. 1, er ikke omfattet.

Efter stk. 8, tredje afsnit, identificerer de kompetente myndigheder virksomhederne på grundlag af en vurdering af tre forhold:

Indvirkning · i hvilket omfang virksomhedens tjenester og aktiviteter påvirker den finansielle sektor.
Finansiel stabilitet · eventuelle betænkeligheder, herunder virksomhedens systemiske karakter på EU-plan eller nationalt plan.
IKT-risikoprofil · virksomhedens specifikke IKT-risikoprofil, grad af IKT-modenhed og de teknologiske kendetegn.

→ DORA-TLPT forklaret

Nationalbanken som myndighed

DORA artikel 26, stk. 9, giver medlemsstaterne mulighed for at udpege én fælles offentlig myndighed for TLPT i den finansielle sektor. I Danmark blev der med lov nr. 481 af 22. maj 2024 indsat en bestemmelse i lov om finansiel virksomhed, § 344 f, der giver erhvervsministeren adgang til at fastsætte regler om, hvilken myndighed der varetager opgaven.

Ifølge Nationalbankens implementeringsdokument for TIBER-DK er Nationalbanken herefter udpeget som TLPT-myndighed ved en bekendtgørelse om henlæggelse af beføjelser til Danmarks Nationalbank. Nationalbanken har dermed kompetencerne og opgaverne vedrørende TLPT, herunder at udpege de virksomheder, der skal teste. Nationalbanken skriver på sin side om TIBER-DK, at den udpeger de virksomheder, som skal udføre test. Når TLPT-myndigheden er en anden end virksomhedens kompetente tilsynsmyndighed, skal de to myndigheder efter de tekniske standarders artikel 16, stk. 6, udveksle alle relevante oplysninger om TLPT, så hver af dem kan varetage sine opgaver.

Kriterierne i de tekniske standarder

Kommissionens delegerede forordning (EU) 2025/1190 uddyber vurderingen. Efter artikel 2, stk. 1, skal myndigheden se på to grupper af faktorer. Den første handler om indvirkning og systemisk betydning, fx virksomhedens størrelse, forbindelser til andre finansielle virksomheder, hvor vigtige og hvor erstattelige dens tjenester er, og hvor kompleks forretningsmodellen er. Den anden handler om IKT-risiko, fx trusselsbilledet, afhængigheden af IKT i kritiske eller vigtige funktioner, arkitekturens kompleksitet, brugen af tredjepartsudbydere, tidligere tilsynsresultater og modenheden i beredskab, overvågning og reaktion.

Artikel 2, stk. 2, opregner typer af virksomheder, som myndigheden skal kræve TLPT af, medmindre vurderingen viser, at det ikke er berettiget. Det gælder bl.a. kreditinstitutter, der er udpeget som globalt eller andre systemisk vigtige institutter, betalings- og e-pengeinstitutter over bestemte beløbsgrænser, værdipapircentraler, centrale modparter, markedspladser med en stor markedsandel og store forsikrings- og genforsikringsselskaber. Grænserne står i artiklen og bør læses dér. → De tekniske reguleringsstandarder for TLPT

Ifølge forordningens betragtninger kan myndigheden også fritage virksomheder i disse grupper ud fra en samlet vurdering og omvendt inddrage andre typer finansielle virksomheder, når en vurdering peger på det.

Koncerner og fælles systemer

Finansielle virksomheder kan indgå i koncerner med fælles IKT-systemer eller en fælles koncernintern IKT-udbyder. Efter artikel 2, stk. 3, skal myndighederne i så fald afgøre, om kravet om TLPT på individuelt grundlag er relevant for hver virksomhed, eller om testen skal ske samlet. Nationalbankens dokument nævner, at koncernstruktur og opsætningen af IKT-systemer i koncernen indgår i vurderingen af, om testen gennemføres for den enkelte virksomhed eller på koncernniveau. → Red teaming i en koncern

Operatører af finansiel digital infrastruktur

Udpegningen rækker i Danmark ud over de finansielle virksomheder i DORA’s forstand. Efter lov om finansiel virksomhed § 333 g, stk. 3, kan en operatør af finansiel digital infrastruktur pålægges at gennemgå trusselsbaserede penetrationstest efter de regler, der gælder for virksomheder omfattet af DORA’s kapitel IV. Nationalbankens dokument beskriver, at Nationalbanken udpeger de operatører, som Finanstilsynet har udpeget, til at gennemføre TLPT.

Fra udpegning til test

En udpegning er ikke en abstrakt status. Efter artikel 9, stk. 1, i de tekniske standarder indleder virksomheden testen efter en meddelelse fra myndigheden, og efter stk. 2 skal virksomheden senest tre måneder efter meddelelsen indsende de første dokumenter, bl.a. et projektcharter og kontaktoplysninger på lederen af kontrolteamet. Nationalbankens dokument beskriver, at der før den formelle meddelelse er en forberedende dialog med Nationalbankens TIBER Cyber Team.

TIBER-DK omfatter også virksomheder, der ikke er udpeget efter DORA, men som er vigtige for stabiliteten i det danske finansielle system og deltager frivilligt. Når en sådan virksomhed har sagt ja, betragtes aftalen ifølge dokumentet som bindende. → Før en kommende TLPT

Hvad udpegningen betyder for sikkerhedsfunktionen

For en CISO i en virksomhed, der kan forvente at blive udpeget, er det nyttigt at kende kriterierne, fordi de peger på de forhold, myndigheden lægger vægt på. Flere af dem handler om modenhed: overvågning, evnen til at opdage og analysere hændelser i realtid og evnen til at reagere rettidigt. Det er de samme evner, en test senere vil afprøve.

Udpegningen er også et ledelsesanliggende. Testen skal omfatte kritiske eller vigtige funktioner, ledelsesorganet skal godkende afgrænsningen, og forløbet kræver ressourcer over lang tid. Sørg derfor for, at direktionen kender kriterierne og ved, hvad en udpegning vil kræve, før meddelelsen kommer. → Kritiske eller vigtige funktioner

Det skal I lade være med

At gå ud fra, at størrelse alene afgør det · vurderingen omfatter også systemisk betydning og IKT-risikoprofil.
At læse beløbsgrænserne som det hele · myndigheden kan både fritage og inddrage ud fra en samlet vurdering.
At vente på meddelelsen med at forberede sig · fristerne i de tekniske standarder løber fra meddelelsen.
At tro, at en frivillig øvelse fritager for en udpegning · kun myndigheden afgør, hvem der skal teste.

Hvad kan og ikke kan konkluderes

Kriterierne giver en god idé om, hvilke virksomheder myndigheden vil se på, og hvilke forhold der tæller i vurderingen. De kan ikke bruges til selv at fastslå, at en virksomhed er eller ikke er omfattet. For virksomheder uden TLPT-krav gælder stadig DORA’s øvrige krav til test. → Finansielle virksomheder uden TLPT-krav

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 26, stk. 1, stk. 8, tredje afsnit, og stk. 9.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 2, stk. 1 til 3, om identifikation, betragtning 2 og 3 om fritagelse og inddragelse artikel 9, stk. 1 og 2, om indledning af testen og artikel 16, stk. 6, om udveksling af oplysninger mellem myndighederne.
Lov nr. 481 af 22. maj 2024: indsættelse af § 333 g og § 344 f i lov om finansiel virksomhed.
Danmarks Nationalbank, TIBER-DK Implementation Document: Nationalbanken som TLPT-myndighed (s. 6), frivillige deltagere (s. 7), forberedende dialog (s. 10) og udpegning af virksomheder og operatører (bilag 3).
Danmarks Nationalbank, TIBER-DK/TLPT: Nationalbanken udpeger de virksomheder, som skal udføre test.

Senest gennemgået: oktober 2026.