Samlet TLPT set fra IKT‑udbyderen: én test for flere finansielle kunder

En udbyder, der driver samme platform for fem pengeinstitutter, kan risikere at skulle igennem fem hemmelige test af de samme systemer, hver med sit eget hold og sin egen tidsplan. DORA har en model for netop den situation: den samlede test i artikel 26, stk. 4, hvor udbyderen selv indgår kontrakt med en ekstern tester, og testen tæller som TLPT for alle de finansielle kunder, der deltager. Gennemgangen bygger på den danske tekst af DORA, på Kommissionens delegerede forordning (EU) 2025/1190 og på TIBER-EU-rammen fra 2025.

Kort fortalt er modellen ikke et frit valg. Den forudsætter, at deltagelse i hver kundes egen test kan skade jeres andre kunder eller deres data, den aftales skriftligt, og den ledes af en udpeget finansiel virksomhed. Jeres kunder bevarer deres egne pligter. Gennemgangen gengiver reglerne forsigtigt, og den kan ikke bruges som juridisk rådgivning.

Hvad stk. 4 siger

Bestemmelsen har tre led. Det første fastlægger betingelsen og modellen: kunden og udbyderen kan skriftligt aftale, at udbyderen direkte indgår kontraktlige ordninger med en ekstern tester om en samlet TLPT for flere finansielle virksomheder, som udbyderen leverer til, under ledelse af en udpeget finansiel virksomhed. Det andet siger, at testen skal omfatte en relevant vifte af de IKT-tjenester bag kritiske eller vigtige funktioner, som virksomhederne har lagt hos udbyderen, og at den betragtes som en TLPT for de deltagende virksomheder. Det tredje kræver, at antallet af deltagere afpasses efter tjenesternes kompleksitet og type.

Den danske tekst skelner mellem to begreber, som er lette at blande. En samlet TLPT er modellen i stk. 4, og de deltagende virksomheder kaldes efter standardernes artikel 1, nr. 16, en pulje. En fælles TLPT efter artikel 1, nr. 18, er noget andet: den omfatter virksomheder i samme koncern eller med samme koncerninterne IKT-udbyder. Er I en ekstern udbyder, er det den samlede test, der er relevant. → IKT-tredjepartsudbydere i TLPT

Betingelsen handler om jeres andre kunder

Modellen kan kun bruges, hvis jeres deltagelse i de enkelte kunders test med rimelighed kan forventes at påvirke kvaliteten eller sikkerheden af de tjenester, I leverer til kunder uden for DORA, eller fortroligheden af data i de tjenester. Betragtning 60 i DORA gentager, at samlede test kun bør tillades i det tilfælde, og kalder den udpegede virksomheds ledelse og afpasningen af antallet af deltagere for garantier, der skal sikre en grundig test.

For jer betyder det, at begrundelsen skal kunne forklares konkret. Hvilke andre kunder deler infrastrukturen, hvilke data har de på platformen, og hvorfor ville gentagne test fra hver enkelt finansiel kunde ramme dem? Uden den forklaring er der ikke grundlag for modellen, og hver kunde må teste med jer som deltager. → Kundens TLPT omfatter jeres tjeneste

Hvem tager initiativet, og hvem leder

Initiativet ligger hos de finansielle virksomheder og deres myndigheder. Efter standardernes artikel 16, stk. 4, kontakter myndigheden for den virksomhed, der vil gennemføre en samlet test, myndighederne for de andre virksomheder og vurderer med dem, om det er praktisk muligt og hensigtsmæssigt. Efter stk. 5 aftaler myndighederne, hvilken virksomhed der udpeges til at gennemføre testen, med hensyn til de tjenester, I leverer, og til testens effektivitet. Den udpegede virksomheds myndighed bliver ledende, medmindre andet aftales, og de øvrige myndigheder kan følge testen som observatører eller udpege en testleder.

Betragtning 14 i standarderne beskriver den udpegede virksomheds rolle: den leverer den nødvendige dokumentation til den ledende myndighed og overvåger testprocessen. Jeres rolle er en anden. I indgår kontrakten med testeren, men I leder ikke testen. Da den samlede test betragtes som de deltagende virksomheders TLPT, bør I forvente, at testerne skal opfylde de krav, der gælder for TLPT, og afklare det med den udpegede virksomhed, før kontrakten underskrives. → Krav til testere i DORA artikel 27

Puljen bevarer sine pligter

Hver virksomhed i puljen skal efter standardernes artikel 6 lave sin egen risikovurdering og træffe sine egne foranstaltninger. Den udpegede virksomheds kontrolteam vurderer desuden de risici, der følger af, at flere virksomheder er involveret, og samarbejder med de andre om fælles risici. Efter artikel 8, stk. 1, følger hver virksomhed alle trin i artikel 9 til 15, medmindre den ledende myndighed bestemmer andet. DORA artikel 26, stk. 7, fastholder, at virksomhederne har det fulde ansvar for virkningen af de test, der er omtalt i stk. 4.

TIBER-EU-rammen peger på det samme fra en praktisk side. En test med flere parter kræver mere koordinering, og rammen anbefaler at begrænse antallet af parter, at have ét kontrolteam som leder og at aftale tidligt, om dokumenter indsendes for hver virksomhed eller samlet.

Scenarierne rammer jeres platform

Efter standardernes artikel 10, stk. 4, skal mindst ét scenarie i en samlet test omfatte jeres relevante systemer, processer og teknologier bag kundernes kritiske eller vigtige funktioner. Det sker ved siden af de scenarier, der er rettet direkte mod de enkelte virksomheders funktioner. Artikel 11, stk. 5, kræver, at den aktive testfase står i forhold til antallet af virksomheder og udbydere og under alle omstændigheder varer mindst tolv uger.

Jeres platform er altså ikke kulisse, men et mål. Planlæg derfor med, at jeres drift, overvågning og servicedesk kan blive afprøvet i en længere periode uden at vide det. → Leverandørscenariet

Det, I selv skal forberede

☐ Kundeoversigt · hvilke finansielle kunder bruger hvilke tjenester bag kritiske funktioner, og hvilke andre kunder deler platformen?
☐ Begrundelse · en skriftlig forklaring af, hvordan enkeltvise test ville påvirke kunder uden for DORA eller deres data.
☐ Kontrakt med testeren · krav til fortrolighed, oprydning og håndtering af resultater, aftalt med den udpegede virksomhed.
☐ Indviede · én kontaktperson med mandat, uden for den daglige overvågning.
☐ Deling · hvad hver virksomhed i puljen får at se, og hvad der kun angår andre.
☐ Testmiljø og grænser · hvor de andre kunders miljøer begynder, og hvem der kan standse testen.

Det sidste punkt fortjener ekstra omhu. TIBER-EU-rammen forudsætter, at de deltagende virksomheder bruger samme eksterne testere og efterretningsleverandør og har en fælles aftale om vilkårene. Skriv derfor ned, før testen begynder, hvem i puljen der får hvilke dele af rapporterne, og hvad der kun vedrører jer. → Deling af resultater

Det skal I lade være med

At foreslå modellen for at slippe for flere test · betingelsen er en konkret risiko for jeres andre kunder.
At tro, at I leder testen · ledelsen ligger hos en udpeget finansiel virksomhed.
At vælge testere uden at kende kravene · testen tæller som TLPT for kunderne.
At dele én kundes oplysninger med de andre · fortroligheden gælder også inden for puljen.
At bruge testen som jeres egen godkendelse · erklæringen gælder de deltagende virksomheder.

Hvad kan og ikke kan konkluderes

Den samlede test giver en udbyder med flere finansielle kunder én kontrolleret test i stedet for gentagne, når hensynet til de andre kunder taler for det. Den flytter ikke ansvaret fra de finansielle virksomheder til jer, og den kan ikke vælges af jer alene. Om modellen bruges, afgøres af de finansielle virksomheder og deres myndigheder. → De tekniske reguleringsstandarder for TLPT

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 26, stk. 4 og 7, og betragtning 60.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 1, nr. 16 og 18, artikel 6, artikel 8, stk. 1, artikel 10, stk. 4, artikel 11, stk. 5, artikel 16, stk. 4 og 5, og betragtning 14.
TIBER-EU Framework, 2025: afsnit 3.7 om test med flere parter og afsnit 4.1.4 om samme testere og efterretningsleverandør i en test med flere parter.

Senest gennemgået: oktober 2026.