IKT‑tredjepartsudbydere i TLPT og samlet test

En kritisk funktion i en finansiel virksomhed kan hvile på systemer, som en ekstern IKT-udbyder drifter. Når en trusselsbaseret penetrationstest, TLPT, skal omfatte de funktioner, skal udbyderen også med. DORA artikel 26, stk. 3 og 4, regulerer, hvordan det sker, og de tekniske reguleringsstandarder i Kommissionens delegerede forordning (EU) 2025/1190 uddyber reglerne.

Kort fortalt skal den finansielle virksomhed sikre udbyderens deltagelse og har hele tiden det fulde ansvar. Kan udbyderens deltagelse i hver enkelt kundes test skade udbyderens andre kunder eller fortroligheden af deres data, kan der i stedet aftales en samlet test, hvor udbyderen selv indgår kontrakt med en ekstern tester og testes på vegne af flere finansielle virksomheder. Gennemgangen gengiver reglerne forsigtigt og er ikke juridisk rådgivning.

Udbyderen er en del af scope

Artikel 26, stk. 2, kræver, at virksomheden identificerer alle relevante systemer, processer og teknologier bag de kritiske eller vigtige funktioner, også tjenester, der er outsourcet eller udliciteret til tredjepartsudbydere. Afgrænsningsdokumentet efter standardernes bilag II skal for hvert system angive, om det er outsourcet, og i givet fald hvem udbyderen er.

Udbyderen kan derfor ikke holdes uden for testen, blot fordi den ligger uden for virksomhedens egne mure. Spørgsmålet er, hvordan den kommer med. → Kritiske eller vigtige funktioner

Virksomhedens ansvar efter stk. 3

Medtages udbydere i testen, skal virksomheden efter artikel 26, stk. 3, træffe de nødvendige foranstaltninger og sikkerhedsforanstaltninger for at sikre deres deltagelse. Virksomheden har til enhver tid det fulde ansvar for at overholde forordningen. Det kan ikke overdrages til udbyderen.

Grundlaget skal ligge i kontrakten. DORA artikel 30, stk. 3, litra d, kræver, at aftaler om IKT-tjenester, der understøtter kritiske eller vigtige funktioner, indeholder udbyderens pligt til at deltage i og samarbejde fuldt ud om virksomhedens TLPT. Mangler bestemmelsen, er det en sag for leverandørstyringen, før testen begynder. → Kontrakten om en red team-øvelse

Udbyderens folk i testen

De tekniske standarder giver udbyderens medarbejdere en plads på begge sider. Kontrolteamet kan efter definitionen i artikel 1 omfatte personale hos tredjepartsudbydere, når testens omfang gør det relevant, og blue team kan omfatte udbyderens medarbejdere, der forsvarer systemerne uden at kende til testen. Efter artikel 4 skal fortrolighedsordningerne også gælde for personalet hos de berørte udbydere, og kontrolteamet skal informeres, hvis nogen hos udbyderen opdager testen.

Nationalbankens implementeringsdokument for TIBER-DK nævner, at kontrolteamet kan udvides med kontaktpersoner hos kritiske leverandører, og at virksomheden allerede i initieringsdokumenterne skal give et overblik over sine IKT-udbydere. Hvem hos udbyderen der skal vide besked, er dermed en af de første beslutninger. → Driftsleverandører og cloududbydere i øvelsen

Samlet test efter stk. 4

Stk. 4 åbner for en særlig model. Den kan bruges, hvis udbyderens deltagelse i en kundes TLPT med rimelighed kan forventes at påvirke kvaliteten eller sikkerheden af de tjenester, udbyderen leverer til kunder uden for DORA, eller fortroligheden af data i de tjenester. Så kan virksomheden og udbyderen skriftligt aftale, at udbyderen direkte indgår kontrakt med en ekstern tester om en samlet TLPT, der omfatter flere finansielle virksomheder, som udbyderen leverer til. Testen ledes af en udpeget finansiel virksomhed.

Den samlede test skal omfatte en relevant vifte af de IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og den betragtes som en TLPT for alle de deltagende virksomheder. Antallet af deltagere afpasses efter tjenesternes kompleksitet og type. Betragtning 60 i DORA kalder den udpegede virksomheds ledelse og afpasningen af antallet for garantier, der skal sikre en grundig test.

Tre forhold er værd at bemærke:

Betingelse · modellen kræver en konkret risiko for udbyderens andre kunder eller deres data og er ikke et frit alternativ.
Ekstern tester · bestemmelsen taler om, at udbyderen indgår kontrakt med en ekstern tester.
Uændrede pligter · betragtning 14 i standarderne slår fast, at hver deltagende virksomheds forpligtelser forbliver de samme.

Eksempel: en fælles driftsudbyder

Tænk jer en udbyder, der drifter kernesystemer for en række pengeinstitutter og samtidig leverer tjenester til virksomheder uden for finanssektoren. Hvis hvert pengeinstitut kørte sin egen test mod udbyderens systemer, ville udbyderen skulle håndtere gentagne, hemmelige test på samme platform, og de øvrige kunder kunne blive berørt. Her kan en samlet test være den model, der passer.

Pengeinstitutterne og udbyderen aftaler skriftligt, at udbyderen indgår kontrakt med en ekstern tester, og ét af pengeinstitutterne udpeges til at lede. Hvert pengeinstitut laver stadig sin egen risikovurdering og har stadig sine egne pligter. Eksemplet er tænkt og skal kun vise, hvordan reglerne hænger sammen.

Det, standarderne tilføjer

Standarderne kalder de deltagende virksomheder en pulje. Hver virksomhed i en samlet eller fælles test skal efter artikel 6 lave sin egen risikovurdering, mens den udpegede virksomhed vurderer de risici, der følger af, at flere er involveret, og samarbejder med de andre om fælles risici. Efter artikel 10, stk. 4, skal mindst ét scenarie i en samlet test omfatte udbyderens egne systemer, processer og teknologier bag de kritiske funktioner. Artikel 16 fastlægger, hvordan myndighederne aftaler, hvilken virksomhed der udpeges, og hvilken myndighed der leder.

Standarderne kender også en fælles TLPT, som er noget andet. Den omfatter virksomheder, der bruger samme koncerninterne IKT-udbyder eller deler IKT-systemer i en koncern. → Red teaming i en koncern

Forberedelse hos CISO’en

☐ Kortlægning · hvilke kritiske funktioner afhænger af hvilke udbydere, og i hvilke lande?
☐ Kontrakter · indeholder aftalerne pligt til at deltage i TLPT og samarbejde fuldt ud?
☐ Kontaktpersoner · hvem hos udbyderen kan indgå i kontrolteamet uden at bryde fortroligheden?
☐ Overvågning · leverer udbyderen selv overvågning, så dens folk reelt er en del af blue team?
☐ Samlet test · er der tegn på, at udbyderens andre kunder vil blive påvirket, så modellen i stk. 4 bør drøftes med myndigheden?

Når udbyderen er indgangen i et scenarie, er det beskrevet for sig. → Leverandørscenariet

Det skal I lade være med

At antage, at udbyderen siger ja · uden en kontraktlig pligt kan deltagelsen blive et forhandlingsspørgsmål.
At overlade ansvaret til udbyderen · virksomheden har det fulde ansvar, også i en samlet test.
At bruge samlet test som genvej · den kræver en konkret risiko for udbyderens andre kunder.
At glemme udbyderens SOC · den kan være en del af det forsvar, testen skal måle.

Hvad kan og ikke kan konkluderes

Reglerne sikrer, at outsourcing ikke bliver et hul i TLPT, og de giver en model for test af udbydere, der betjener flere finansielle virksomheder. De siger ikke, hvordan en konkret udbyder skal deltage, og en samlet test fritager ikke den enkelte virksomhed fra sine øvrige pligter. Om modellen kan bruges, afgøres i dialog med myndigheden. → De tekniske reguleringsstandarder for TLPT

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 26, stk. 2 til 4, artikel 30, stk. 3, litra d, og betragtning 60.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 1, nr. 1, 3, 16 og 18, artikel 4, stk. 2, artikel 6, artikel 10, stk. 4, artikel 16, stk. 4 og 5, bilag II og betragtning 14.
Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: kontrolteam med kontaktpersoner hos kritiske leverandører og overblik over IKT-udbydere (s. 13 og 14).

Senest gennemgået: oktober 2026.