Krav til testere i DORA artikel 27

Når en finansiel virksomhed skal gennemføre en trusselsbaseret penetrationstest, TLPT, er valget af testere ikke frit. DORA artikel 27 opregner, hvad testerne skal opfylde, og de tekniske reguleringsstandarder, Kommissionens delegerede forordning (EU) 2025/1190, gør kravene konkrete. Gennemgangen bygger på den danske tekst af begge forordninger og på Nationalbankens implementeringsdokument for TIBER-DK.

Kort fortalt må virksomheden kun bruge testere, der er egnede og har godt omdømme, har dokumenteret ekspertise i trusselsefterretning, penetrationstest og red teaming, er certificerede eller følger etiske regler, kan dokumentere forsvarlig risikostyring og er forsikrede. Myndigheden skal se dokumentationen, før kontrakten underskrives. Teksten er ikke juridisk rådgivning, og den gengiver reglerne forsigtigt.

De fem krav i artikel 27, stk. 1

Efter artikel 27, stk. 1, må finansielle virksomheder kun anvende testere, der:

er de mest egnede og har det bedste omdømme
har tekniske og organisatoriske kapaciteter og specifik ekspertise i trusselsefterretning, penetrationstest og red team-test
er certificeret af et akkrediteringsorgan i en medlemsstat eller har overholdt formelle adfærdskodekser eller etiske rammer
afgiver en uafhængig garanti for eller en revisionsrapport om forsvarlig risikostyring ved gennemførelsen, herunder beskyttelse af virksomhedens fortrolige oplysninger og afhjælpning af forretningsrisici
er fuldt dækket af relevante erhvervsansvarsforsikringer, også mod risici for forseelser og forsømmelighed

Kravene gælder både eksterne og interne testere. For interne testere kommer ekstra betingelser oveni i stk. 2. → Interne testere i TLPT

Kontrakten med eksterne testere

Artikel 27, stk. 3, handler om resultaterne. Virksomheden skal sikre, at kontrakten med eksterne testere kræver en forsvarlig forvaltning af resultaterne, og at ingen form for behandling af dem, fra de opstår og gemmes til de rapporteres og destrueres, skaber risici for virksomheden. For en CISO er det et krav om at skrive opbevaring, kommunikation og sletning ind i aftalen og ikke kun tillid til leverandørens gode vilje. → Kontrakten om en red team-øvelse

Det, de tekniske standarder lægger oveni

Artikel 7 i de tekniske standarder gør kravene målbare. Kontrolteamet skal for hver test sikre, at leverandøren af trusselsefterretning og de eksterne testere afleverer udførlige CV’er og kopier af relevante certificeringer, og at de er dækket af de rette forsikringer. Leverandøren af trusselsefterretning skal give mindst tre referencer fra tidligere opgaver med penetrationstest og red teaming, mens de eksterne testere skal give mindst fem.

Standarderne stiller også krav til holdets sammensætning:

Red team · mindst én leder med mindst fem års erfaring i penetrationstest og red teaming og mindst to testere med mindst to års erfaring hver; samlet mindst fem tidligere opgaver af den slags.
Efterretning · mindst én leder med mindst fem års erfaring i trusselsefterretning og mindst ét medlem med mindst to års erfaring; samlet mindst tre tidligere opgaver.
Bredde · holdet skal dække viden om virksomhedens aktiviteter, risikostyring, fysisk indtrængning og social manipulation og kunne formidle resultatet klart.
Uafhængighed · ingen samtidige blue team-opgaver, der giver interessekonflikt, og adskillelse mellem efterretning og test, hvis samme leverandør leverer begge.

Standarderne kræver desuden, at testere og efterretningsleverandør rydder op efter testen, herunder sikker sletning af kompromitterede adgangsoplysninger og sikker håndtering af indsamlede data, og de opregner aktiviteter, der er forbudt, fx uautoriseret ødelæggelse af udstyr, forsætlig skade på kritiske funktioner og uautoriseret videregivelse af resultater. → Oprydning efter øvelsen

Hvorfor red team-erfaring og ikke kun pentest

Betragtning 12 i de tekniske standarder forklarer forskellen. En almindelig penetrationstest giver en grundig vurdering af tekniske svagheder og konfiguration, typisk i ét system eller miljø ad gangen. Den vurderer ikke et målrettet angreb mod hele virksomheden med dens personer, processer og teknologier. Derfor skal virksomheden sikre, at leverandøren kan gennemføre efterretningsbaserede red team-test og ikke kun penetrationstest.

Nationalbankens implementeringsdokument peger i samme retning. Fordi testen foregår på produktion, bør kun erfarne leverandører vælges, med høje faglige kvalifikationer, en stærk etisk adfærd og relevant erfaring fra finanssektoren. Dokumentet lægger desuden ansvaret for at holde scenarierne inden for love, regler og etiske grænser hos testerne selv.

Myndighedens rolle i valget

Kontrolteamet skal vurdere, om de påtænkte testere og efterretningsleverandører opfylder artikel 27 og standardernes artikel 7, og dokumentere vurderingen. Inden kontrakten underskrives, skal dokumentationen forelægges testlederne. Mener myndigheden, at kravene ikke er opfyldt, må kontrakten ikke indgås. Kontrolteamet skal også føre register over den dokumentation, leverandørerne har afleveret.

I TIBER-DK sker det gennem to tjeklister, én for efterretningsleverandøren og én for testerne. Nationalbankens team svarer med en ikke-indsigelse eller en indsigelse med begrundelse, og først efter en ikke-indsigelse kan kontrakterne underskrives. Selve kontrakterne deles ikke med myndigheden. → Roller i TIBER-DK

Når kravene ikke kan opfyldes

Standarderne åbner for, at en virksomhed under ekstraordinære omstændigheder kan bruge eksterne testere eller efterretningsleverandører, der ikke opfylder et eller flere af de målbare krav. Det forudsætter, at virksomheden træffer passende foranstaltninger mod de risici, det medfører, og registrerer dem. Undtagelsen er ikke en genvej. Myndigheden skal stadig vurdere valget, og betragtningerne knytter undtagelsen til tilfælde, hvor det kan dokumenteres, at egnede leverandører ikke er til rådighed.

Hvad det betyder for indkøbet

Kravene gør indkøbet til en del af risikostyringen. Nationalbanken anbefaler at begynde indkøbet tidligt, og det giver mening, fordi dokumentation, referencer og forsikringsbeviser tager tid at samle, og fordi myndigheden skal nå at vurdere den.

☐ Dokumentation · bed om CV’er, certificeringer, referencer og forsikringsbevis i tilbuddet.
☐ Holdet · få navngivet leder og testere, så erfaringskravene kan kontrolleres for de personer, der faktisk deltager.
☐ Konflikter · afklar, om leverandøren leverer overvågning eller andre ydelser til jer eller jeres IKT-udbydere.
☐ Resultater · skriv krav om opbevaring, kommunikation og sletning ind i kontrakten.
☐ Register · gem vurderingen og dokumentationen, så den kan forelægges testlederne.

Generelle spørgsmål til en red team-leverandør er beskrevet for sig. → Valg af leverandør til red teaming

Det skal I lade være med

At vælge ud fra pris og tilgængelighed alene · myndigheden kan afvise testere, der ikke opfylder kravene.
At acceptere et hold uden navne · erfaringskravene gælder de personer, der udfører testen.
At glemme efterretningsleverandøren · den har sine egne krav og skal altid være ekstern.
At lade resultaterne ligge hos leverandøren uden aftale · forordningen kræver, at kontrakten regulerer håndteringen.

Hvad kan og ikke kan konkluderes

Artikel 27 og standarderne beskriver mindstekrav til de testere, der må gennemføre en TLPT, og giver myndigheden mulighed for at stoppe et valg. De siger ikke, at en tester, der opfylder kravene, er den rigtige til netop jeres scenarier, og de gør ikke en leverandør til godkendt udbyder i generel forstand. Kravene gælder for TLPT og ikke for frivillige øvelser. Den samlede regelramme er beskrevet for sig. → De tekniske reguleringsstandarder for TLPT

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 27, stk. 1 til 3, om krav til testere og kontrakter med eksterne testere.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 7, stk. 1 og 2, om udvælgelse af TLPT-udbydere, artikel 9, stk. 11, om myndighedens vurdering før kontrakt og betragtning 12 og 13.
Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: krav til erfaring og etik hos leverandører (s. 8), indkøb, tjeklister og ikke-indsigelse (s. 17 og 18).

Senest gennemgået: oktober 2026.