TLPT i en koncern med finansielle selskaber i flere EU‑lande

Når en finanskoncern har selskaber, filialer eller fælles IT-systemer i flere EU-lande, kan flere myndigheder have interesse i den samme trusselsbaserede penetrationstest, TLPT. Svaret på, hvordan det håndteres, hviler på to regelsæt: DORA artikel 26, der giver myndighedens erklæring en rolle i gensidig anerkendelse af test, og artikel 16 i de tekniske reguleringsstandarder, forordning (EU) 2025/1190, der fastlægger, hvordan myndighederne samarbejder.

Kort sagt er der én ledende myndighed for hver test. De andre myndigheder kan følge med som observatører eller sende en testleder, og efter testen udsteder den ledende myndighed én erklæring. Hvordan det konkret falder ud, afgøres af myndighederne, og intet her er juridisk rådgivning til den enkelte koncern.

Grundlaget i DORA

Efter artikel 26, stk. 1, skal finansielle enheder, som myndigheden har identificeret, gennemføre TLPT mindst hvert tredje år. Efter stk. 2 skal testen omfatte flere eller samtlige kritiske eller vigtige funktioner og foregå på produktionssystemer, og myndighederne validerer det nøjagtige omfang.

Stk. 7 er kernen i anerkendelsen. Myndighederne giver virksomheden en erklæring om, at testen er gennemført efter kravene, for at give mulighed for gensidig anerkendelse af test mellem de kompetente myndigheder. Betragtning 61 tilføjer, at erklæringen udelukkende har det formål og ikke er en tilsynsmæssig godkendelse af virksomhedens evne til at styre IKT-risici. Stk. 11, litra d, gav de europæiske tilsynsmyndigheder til opgave at præcisere samarbejdet for virksomheder, der opererer i mere end én medlemsstat. Det er sket i standarderne. → DORA-TLPT forklaret

Én ledende myndighed

Artikel 16, stk. 1, i standarderne gælder en finansiel enhed, der leverer tjenester i mere end én medlemsstat, også gennem en filial. Enhedens egen TLPT-myndighed skal:

Udpege værtslandene · bestemme, hvilke myndigheder i værtslandene der skal inddrages, ud fra om kritiske eller vigtige funktioner drives i eller deles på tværs af landene.
Underrette dem · give besked om beslutningen om at gennemføre testen.
Lede testen · medmindre myndighederne aftaler andet.

Værtslandenes myndigheder kan senest 20 arbejdsdage efter at have fået besked tilkendegive, at de vil følge testen som observatører, eller udpege en testleder, der deltager. Den ledende myndighed koordinerer hele forløbet, træffer de nødvendige beslutninger og kan sætte et loft over antallet af deltagende myndigheder, hvis testen ellers kan blive bragt i fare. Observatørerne får dokumentet om afgrænsning af omfanget, den sammenfattende testrapport, udbedringsplanen og erklæringen. For koncernen betyder det, at de dokumenter fra starten skal skrives, så de kan læses af en myndighed i et andet land, og at sproget og graden af tekniske detaljer bør aftales med den ledende myndighed.

Fælles test i en koncern

Stk. 2 og 3 handler om koncerner. Bruger en finansiel enhed den samme koncerninterne IKT-udbyder som enheder i andre medlemsstater, eller deler den IKT-systemer med dem, skal myndighederne sammen vurdere, om en fælles TLPT er praktisk mulig og hensigtsmæssig. Standarderne foretrækker en fælles test frem for individuelle, når det kan spare omkostninger og ressourcer uden at gå ud over testens soliditet og effektivitet.

Myndighederne aftaler, hvilken enhed der udpeges til at gennemføre testen, under hensyn til koncernstrukturen. Den udpegede enheds myndighed leder, medmindre andet aftales, og de øvrige kan følge som observatører eller udpege en testleder. Betragtning 14 slår fast, at hver deltagende enheds forpligtelser forbliver de samme. Artikel 16, stk. 4 og 5, indeholder en tilsvarende ordning for en samlet test efter DORA artikel 26, stk. 4, hvor en IKT-tredjepartsudbyder testes på vegne af finansielle enheder i flere lande. → Red teaming i en koncern

En detalje kan få betydning for planlægningen: testere, der er ansat af en koncernintern IKT-udbyder, regnes efter artikel 15, stk. 4, som interne testere. Så gælder reglerne om interne testere. → Interne testere i TLPT

Erklæringen og anerkendelsen

Efter artikel 14, stk. 2, er det den ledende myndighed, der udsteder erklæringen, når flere myndigheder har været involveret. Erklæringen er det dokument, de andre myndigheder kan lægge til grund.

TIBER-EU-rammen bruger samme logik for TIBER-test. Den skelner mellem en ledende myndighed, deltagende myndigheder, observatører og myndigheder uden involvering, og den gør testlederens attestation til grundlaget for gensidig anerkendelse. Rammen nævner også, at et land, der ikke har indført TIBER, kan have andre lovbestemte testkrav, som skal afklares med den kompetente myndighed. → Opsummering, afhjælpningsplan og attestation efter TLPT

Hvad det betyder for scope

For CISO’en betyder reglerne, at omfanget ikke kun er et spørgsmål om koncernens egen arkitektur. Det er afgørende, hvor de kritiske eller vigtige funktioner drives, og om de deles på tværs af lande, fordi det styrer, hvilke myndigheder der inddrages. Er en betalingsplatform fælles for selskaber i Danmark og et andet EU-land, kan begge landes myndigheder have en rolle, selv om testen ledes fra ét sted. → Kritiske eller vigtige funktioner

Hvilken myndighed der i Danmark træffer afgørelserne om TLPT, og hvordan den samarbejder med tilsynet, er beskrevet for sig. → Hvem skal gennemføre TLPT?

Et tænkt eksempel

En dansk bankkoncern har et datterselskab i et andet EU-land og en fælles koncernintern driftsenhed, der driver kernesystemerne for begge. Den danske myndighed beslutter at gennemføre TLPT og vurderer sammen med myndigheden i det andet land, om en fælles test er hensigtsmæssig. De aftaler, at moderselskabet udpeges, og at den danske myndighed leder. Den udenlandske myndighed udpeger en testleder, der deltager. Begge selskaber har stadig deres egne pligter. Eksemplet er tænkt og viser kun mekanikken.

Det skal I lade være med

At planlægge, før myndighederne har talt sammen · omfang og ledelse afhænger af deres aftale.
At regne koncernens egne testere som eksterne · ansatte i en koncernintern IKT-udbyder er interne testere.
At tro, at erklæringen er en godkendelse · den tjener anerkendelse og ikke vurdering af risikostyringen.
At glemme filialer · stk. 1 omfatter også tjenester leveret gennem en filial.

Forberedelse i koncernens sikkerhedsfunktion

☐ Landekort · hvilke selskaber og filialer leverer tjenester i hvilke medlemsstater?
☐ Fælles funktioner · hvilke kritiske eller vigtige funktioner drives i eller deles på tværs af landene?
☐ Koncerninterne udbydere · hvilke systemer drives af en fælles driftsenhed, og hvem er ansat dér?
☐ Kontaktpersoner · hvem i hvert selskab kan indgå i et kontrolteam uden at bryde fortroligheden?
☐ Dokumenter · kan afgrænsning, rapport og udbedringsplan deles med flere myndigheder uden at afsløre mere end nødvendigt?

Hvad kan og ikke kan konkluderes

Reglerne sikrer, at en virksomhed med aktiviteter i flere lande ikke skal igennem en test for hver myndighed, og at én erklæring kan bruges på tværs. De afgør ikke på forhånd, hvilke myndigheder der deltager i en konkret test, eller om en fælles test bliver valgt. Det beslutter myndighederne i den enkelte sag.

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 26, stk. 1, 2, 4, 7 og 11, litra d, og betragtning 61.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 1, nr. 17 og 18, artikel 14, stk. 2, artikel 15, stk. 4, artikel 16 og betragtning 14.
Den Europæiske Centralbank: TIBER-EU Framework, januar 2025: test i flere jurisdiktioner og gensidig anerkendelse (afsnit 3.7.1 og 3.7.2).

Senest gennemgået: oktober 2026.