Kundens TLPT omfatter jeres tjeneste: det, en IKT‑tredjepartsudbyder skal vide

En bank, et forsikringsselskab eller en anden finansiel kunde fortæller jer, at den skal gennemføre en trusselsbaseret penetrationstest, TLPT, og at jeres tjeneste ligger inden for testens rammer. Hvad I er forpligtet til, og hvad I selv kan kræve, følger af DORA artikel 26 og 30 og af de tekniske reguleringsstandarder i Kommissionens delegerede forordning (EU) 2025/1190.

Det korte svar: pligten til at gennemføre testen ligger hos kunden, men kunden skal sikre jeres deltagelse, og jeres kontrakt kan forpligte jer til at deltage og samarbejde fuldt ud. Jeres medarbejdere kan blive en del af det forsvar, der måles, og nogle få af dem kan blive indviet. Kan deltagelsen skade jeres andre kunder, findes der en særlig model. Teksten er ikke juridisk rådgivning, og kontraktspørgsmål bør afklares med jeres egen rådgiver.

Hvorfor jeres tjeneste kommer med

Efter DORA artikel 26, stk. 2, skal hver TLPT omfatte flere eller samtlige kritiske eller vigtige funktioner hos kunden og foregå på de live-produktionssystemer, der understøtter dem. Kunden skal identificere alle relevante systemer, processer og teknologier bag funktionerne, også tjenester, der er outsourcet eller udliciteret til tredjepartsudbydere af IKT-tjenester.

Driver I kernesystemet, betalingsplatformen eller overvågningen bag en sådan funktion, er det derfor ikke et valg for kunden at lade jer være uden for. Projektcharteret efter standardernes bilag I skal angive, hvilke kritiske eller vigtige funktioner der understøttes af tredjepartsudbydere og af hvem, og afgrænsningsdokumentet efter bilag II skal for hvert system oplyse, om det er outsourcet, og i givet fald udbyderens navn. → Kritiske eller vigtige funktioner

Kundens pligt og jeres kontrakt

Artikel 26, stk. 3, siger, at kunden skal træffe de nødvendige foranstaltninger og sikkerhedsforanstaltninger for at sikre jeres deltagelse, når I er medtaget, og at kunden til enhver tid har det fulde ansvar for at overholde forordningen. Bestemmelsen er rettet mod kunden. For jer går forpligtelsen gennem aftalen: artikel 30, stk. 3, litra d, kræver, at kontrakter om IKT-tjenester, der understøtter kritiske eller vigtige funktioner, indeholder udbyderens forpligtelse til at deltage i og fuldt ud samarbejde om kundens TLPT.

Læs derfor jeres kontrakt med kunden, før I svarer. Står bestemmelsen der, er spørgsmålet ikke om, men hvordan I deltager. Står den der ikke, kan kunden forventes at bede om den, fordi DORA kræver den. Hvordan en red team-klausul i en kontrakt læses mere generelt, er beskrevet særskilt. → Kravet om red teaming står i kontrakten

Jeres folk i testen

Standarderne giver jeres medarbejdere en plads på to sider. Kontrolteamet, som styrer testen og kender til den, kan efter artikel 1, nr. 1, omfatte personale hos kundens tredjepartsudbyder, når testens omfang gør det relevant. Det blå team, som forsvarer systemerne uden at vide, at en test foregår, kan efter artikel 1, nr. 3, også omfatte jeres folk.

Nationalbankens implementeringsdokument for TIBER-DK nævner, at kontrolteamet kan udvides med centrale kontaktpersoner hos kritiske leverandører. I praksis betyder det, at en eller to personer hos jer kan blive indviet, mens jeres driftsfolk, servicedesk og overvågning forbliver uvidende. Vælg en kontaktperson, der har mandat til at træffe beslutninger, men som ikke selv sidder i den daglige overvågning af kundens miljø. → Fortrolighed i TIBER-DK

Fortrolighed og opdagelse

Artikel 4, stk. 2, i standarderne kræver ordninger for testens fortrolighed, der gælder for kundens personale, for personalet hos de berørte IKT-udbydere, for testerne og for leverandøren af trusselsefterretning. Kundens kontrolteam skal desuden underrettes, hvis medarbejdere hos kunden eller hos udbyderen opdager testen, og bringe en eventuel eskalering under kontrol.

For jer rejser det to praktiske spørgsmål. Hvordan når en opdagelse fra jeres SOC frem til jeres indviede kontaktperson, uden at resten af organisationen får besked? Og hvad gør jeres procedure, hvis den foreskriver, at andre kunder skal varsles ved en hændelse på fælles infrastruktur? Efter artikel 11, stk. 9, skal kontrolteamet foreslå tiltag, så testen kan fortsætte, hvis nogen hos udbyderen opdager aktiviteterne. Planen skal være aftalt, før den aktive fase begynder. → SOC- og MDR-leverandøren og kundens øvelse

Risiko for jeres drift og andre kunder

DORA artikel 26, stk. 5, kræver, at kunden i samarbejde med IKT-udbydere og testere anvender effektive risikostyringskontroller, så påvirkning af data, skade på aktiver og forstyrrelser begrænses. Standardernes artikel 7, stk. 1, litra i, forbyder testerne bl.a. uautoriseret destruktion af udstyr, der tilhører kunden og dens IKT-udbydere, ukontrolleret ændring af oplysninger og tjenester hos dem og uautoriseret inddragelse af systemer uden for anvendelsesområdet. Under ekstraordinære omstændigheder, der truer driften hos kunden eller hos jer, kan kontrolteamet efter artikel 11, stk. 10, sætte testen på pause.

Det giver jer et grundlag for at stille spørgsmål til afgrænsningen: hvilke af jeres systemer der er med, hvor grænsen til andre kunders miljøer går, og hvem der kan stoppe testen, hvis noget går galt. Kontrakten med testerne indgår kunden, men I bør vide, hvem de er, og hvilke regler de arbejder under.

Når deltagelsen kan skade andre kunder

Hvis jeres deltagelse i kundens test med rimelighed kan forventes at påvirke kvaliteten eller sikkerheden af de tjenester, I leverer til kunder uden for DORA, eller fortroligheden af data i de tjenester, åbner artikel 26, stk. 4, for en samlet test. Den aftales skriftligt mellem kunden og jer, og I indgår selv kontrakt med en ekstern tester. Modellen har egne betingelser og er beskrevet for sig. → Samlet TLPT set fra IKT-udbyderen

Er kunden ikke finansiel, eller er øvelsen frivillig, gælder disse regler ikke. Så er det en almindelig aftale om en red team-øvelse, hvor I er med som leverandør. → Kunden vil have jer med i sin red team-øvelse

Det skal I lade være med

At svare, før kontrakten er læst · artikel 30, stk. 3, litra d, kan allerede have afgjort spørgsmålet.
At advare jeres overvågning · jeres folk kan være en del af det forsvar, testen skal måle.
At give kundens tilladelse virkning for andre kunders data · den dækker kun kundens egen del af jeres platform.
At udpege en kontaktperson uden mandat · eskaleringer skal kunne standses hurtigt og diskret.
At kalde jer TLPT-testet bagefter · erklæringen udstedes til den finansielle kunde, ikke til jer.

Hvad kan og ikke kan konkluderes

Når en finansiel kunde varsler TLPT med jeres tjeneste i scope, er I en del af testens genstand, og kontrakten kan forpligte jer til at deltage fuldt ud. Reglerne gør jer ikke ansvarlige for kundens test, og de gør ikke kundens erklæring til en vurdering af jeres sikkerhed. Hvad I selv må dele af resultatet, afhænger af aftalen med kunden.

Tjekliste, når varslingen kommer

☐ Kontrakten · indeholder den pligt til at deltage i og samarbejde om kundens TLPT?
☐ Kontaktperson · hvem hos jer kan indgå i kontrolteamet uden at sidde i den daglige drift?
☐ Fælles infrastruktur · hvilke af jeres systemer deles med kunder uden for DORA?
☐ Eskalering · hvordan standses en eskalering til andre kunder, hvis jeres SOC opdager testen?
☐ Underleverandører · bygger tjenesten på cloud eller andre leverandører, hvis regler også gælder?
☐ Rådgivning · har jeres egen jurist læst kontrakten og den tilladelse, I giver?

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 26, stk. 2 til 5, og artikel 30, stk. 3, litra d.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 1, nr. 1 og 3, artikel 4, stk. 2, litra c og d, artikel 7, stk. 1, litra i, artikel 11, stk. 9 og 10, og bilag I og II.
Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: kontrolteamet kan udvides med kontaktpersoner hos kritiske leverandører, og initieringsdokumenterne skal give overblik over IKT-udbydere (s. 14).

Senest gennemgået: oktober 2026.