De tekniske reguleringsstandarder for TLPT: forordning 2025/1190

DORA artikel 26 og 27 fastlægger, at udpegede finansielle virksomheder skal gennemføre trusselsbaseret penetrationstest, TLPT, men de siger ikke, hvordan testen skal forløbe i detaljer. Det gør de tekniske reguleringsstandarder, på engelsk forkortet RTS, som er vedtaget som Kommissionens delegerede forordning (EU) 2025/1190 af 13. februar 2025. Gennemgangen bygger på den danske tekst i EU-Tidende fra 18. juni 2025.

Kort fortalt er forordningen en køreplan for TLPT. Den fastsætter, hvem der skal testes, hvordan virksomheden og myndigheden organiserer sig, hvordan risikoen styres, hvilke krav leverandørerne skal opfylde, hvad der sker i hver fase, og hvad rapporter, afhjælpningsplan og erklæring skal indeholde. Den er bindende og gælder umiddelbart i alle medlemsstater. Gennemgangen er ikke juridisk rådgivning.

Grundlaget i DORA og TIBER-EU

Forordningen er udstedt efter DORA artikel 26, stk. 11, som pålagde de europæiske tilsynsmyndigheder at udarbejde standarderne efter aftale med Den Europæiske Centralbank og i overensstemmelse med TIBER-EU-rammen. Første betragtning siger, at forordningen afspejler metode, proces og struktur fra TIBER-EU, og at virksomheder kan bruge TIBER-EU eller en national implementering, så længe den er i overensstemmelse med DORA og standarderne. → TIBER-EU

Det er derfor, Nationalbankens implementeringsdokument for TIBER-DK kan sige, at en TIBER-DK-test også er en DORA-TLPT. Dokumentet nævner samtidig, at nogle frister er gjort kortere i TIBER-DK end i standarderne.

Opbygningen

Forordningen har 17 artikler og otte bilag. Artiklerne kan læses i fem grupper:

Begreber og udpegning · definitioner i artikel 1 og kriterierne for, hvilke virksomheder der skal gennemføre TLPT, i artikel 2.
Organisering · myndighedens cyberteam og testledere i artikel 3 og virksomhedens kontrolteam og need to know-regler i artikel 4.
Risiko og leverandører · risikostyring i artikel 5 og 6, udvælgelse af testere og efterretningsleverandører i artikel 7 og samlede eller fælles test i artikel 8.
Forløbet · forberedelse, efterretning, red team-test og afslutning i artikel 9 til 12, afhjælpningsplan i artikel 13 og erklæring i artikel 14.
Særlige forhold · interne testere i artikel 15, samarbejde mellem myndigheder og gensidig anerkendelse i artikel 16 og ikrafttræden i artikel 17.

Kriterierne for udpegning i artikel 2 kombinerer virksomhedens betydning for sektoren, dens systemiske karakter og dens IKT-risikoprofil. For nogle typer virksomheder er der desuden kvantitative tærskler, men myndigheden kan undtage en virksomhed efter en samlet vurdering.

Bilagene beskriver indholdet af de dokumenter, testen producerer: projektcharter, afgrænsningsdokument, målrettet trusselsrapport, red teams testplan, red teams og blå teams testrapporter, den sammenfattende rapport og erklæringen. → Hvem skal gennemføre TLPT?

Fristerne i artikelteksten

En del af værdien for en CISO ligger i fristerne, fordi de styrer planlægningen. Efter forordningen gælder bl.a.:

Tre måneder · efter meddelelsen fra myndigheden skal virksomheden indsende oplysninger om indledning af testen, herunder projektcharter og kodenavn (artikel 9, stk. 2).
Seks måneder · efter meddelelsen skal afgrænsningsdokumentet indsendes, godkendt af ledelsesorganet (artikel 9, stk. 6).
Mindst tolv uger · varer red teams aktive testfase, og et eventuelt begrænset purple teaming-forløb regnes med (artikel 11, stk. 5 og 10).
Fire uger · efter den aktive test afleverer testerne deres rapport (artikel 12, stk. 2).
Ti uger · efter den aktive test skal blå teams rapport foreligge, og replay skal være gennemført (artikel 12, stk. 4 og 5).
Otte uger · efter myndighedens vurdering af de to rapporter skal den sammenfattende rapport indsendes, og otte uger efter samme meddelelse afhjælpningsplanen (artikel 12, stk. 7, og artikel 13, stk. 1).

Hvordan TIBER-DK lægger faserne i en samlet tidsplan, er beskrevet særskilt. → Faserne i en TIBER-DK-test

Myndighedens deltagelse

Et gennemgående træk er, at myndigheden deltager i alle faser. Artikel 3 kræver en testleder og mindst én suppleant pr. test, og testlederne skal overvåge, at forordningens krav overholdes. Myndigheden validerer oplysningerne om indledning og kontrolteamets sammensætning, godkender afgrænsningsdokumentet, trusselsrapporten og testplanen og kan modsætte sig valget af leverandører. Betragtning 8 forklarer, at det er den tætte deltagelse, der gør det muligt for myndigheden at udstede erklæringen bagefter. Myndigheden er også med, når fortroligheden er truet: kontrolteamet skal rådføre sig med testlederne, før et medlem af det blå team inddrages, og forslag til, hvordan testen kan fortsætte efter en opdagelse, skal valideres af testlederne.

Flere virksomheder og flere lande

Forordningen bruger to begreber, der er lette at forveksle. En samlet TLPT er den test, DORA artikel 26, stk. 4, beskriver, hvor en IKT-tredjepartsudbyder selv indgår kontrakt med en ekstern tester og testes på vegne af flere finansielle virksomheder, der tilsammen kaldes en pulje. En fælles TLPT omfatter derimod flere finansielle virksomheder, der bruger samme koncerninterne IKT-udbyder eller tilhører samme koncern og deler IKT-systemer.

I begge tilfælde skal hver virksomhed efter artikel 6 lave sin egen risikovurdering, mens den udpegede virksomhed også vurderer de fælles risici. Artikel 16 fastlægger, hvordan myndighederne i flere lande samarbejder, hvem der leder testen, og at myndigheder i værtslande kan følge den som observatører eller udpege en testleder. → IKT-tredjepartsudbydere i TLPT

Risiko og etik

Artikel 5 kræver, at kontrolteamet allerede i forberedelsen vurderer risikoen ved testen for den finansielle sektor og den finansielle stabilitet og som minimum tager stilling til seks typer risici, bl.a. ved at give eksterne parter adgang til følsomme oplysninger, ved brud på fortroligheden og ved ufuldstændig gendannelse af systemer. Artikel 7 opregner aktiviteter, testere og efterretningsleverandører ikke må udføre, og bilag IV kræver, at testplanen angiver etiske grænser for social manipulation. → Krav til testere i DORA artikel 27

Betragtningerne er værd at læse

Betragtningerne er ikke bindende på samme måde som artiklerne, men de forklarer hensigten. Her står fx, at indsamlingen af trusselsefterretninger typisk varer omkring fire uger i TIBER-EU-praksis, at testlederne under en test helst ikke bør føre tilsyn med samme virksomhed, og at et begrænset purple teaming-forløb kun bruges som sidste udvej. Den danske tekst bruger ordet forstærkning om det, der i TIBER-sammenhæng kaldes leg-up. → Leg-up

Det skal I lade være med

At læse forordningen som en metodebeskrivelse for red teaming · den regulerer forløb, roller og dokumentation, ikke angrebsmetoder.
At planlægge efter TIBER-DK alene uden at kende fristerne i forordningen · forordningen er den bindende ramme.
At springe bilagene over · de bestemmer, hvad hver rapport skal indeholde.
At overføre fristerne til frivillige øvelser som krav · de gælder for TLPT.

Hvad kan og ikke kan konkluderes

Forordning 2025/1190 gør TLPT ensartet i hele EU og giver CISO’en en fast liste over leverancer og frister. Den siger ikke, hvilke scenarier der er relevante for jeres virksomhed, og den gør ikke testen til en godkendelse af sikkerheden. Om virksomheden er omfattet, afgør myndigheden. → Opsummering, afhjælpningsplan og attestation

Kilder

Kommissionens delegerede forordning (EU) 2025/1190: opbygning (artikel 1 til 17 og bilag I til VIII), udpegning (artikel 2), myndigheden og fortroligheden (artikel 3, artikel 4, stk. 2, litra b, artikel 9, stk. 5 og 11, og artikel 11, stk. 3 og 9), risiko (artikel 5 til 7), frister (artikel 9, stk. 2 og 6, artikel 11, stk. 5 og 10, artikel 12, stk. 2, 4, 5 og 7, og artikel 13, stk. 1), samarbejde (artikel 16) og betragtning 1, 7, 8, 18, 22 og 23.
Forordning (EU) 2022/2554 (DORA): artikel 26, stk. 11, om de tekniske reguleringsstandarder.
Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: TIBER-DK som DORA-TLPT (s. 4) og kortere frister i TIBER-DK (s. 9).

Senest gennemgået: oktober 2026.