Kunden er en finansiel virksomhed: krav til jer som IT‑leverandør

Når kunden er en bank, et pensionsselskab eller et forsikringsselskab, kommer kravene til jeres sikkerhedstest ikke kun fra kundens egen politik. De kommer også fra DORA, EU’s forordning om digital operationel modstandsdygtighed i den finansielle sektor. Forordningen pålægger den finansielle virksomhed at have bestemte vilkår i sine kontrakter med IKT-leverandører, og derfor ender kravene hos jer. Svaret hviler på, hvad forordningen faktisk siger om kontrakterne, og på, om jeres tjeneste understøtter det, forordningen kalder kritiske eller vigtige funktioner. Teksten er ikke juridisk rådgivning.

DORA i korte træk

DORA er forordning (EU) 2022/2554. Den finder ifølge artikel 64 anvendelse fra den 17. januar 2025 og gælder umiddelbart i alle medlemsstater. Forordningen retter sig mod finansielle enheder, ikke mod softwarehuse som sådan. Men kapitlet om risiko fra tredjepartsudbydere af IKT-tjenester, som et SaaS-produkt kan være, bestemmer, hvad kunden skal have med i kontrakten med jer.

Er I i tvivl om, hvorvidt kunden er omfattet, så spørg. Kunden ved det, og svaret afgør, hvilke af kravene nedenfor der er relevante. → Krav fra kundernes sektorer

Kontraktvilkår for alle IKT-tjenester

Artikel 30, stk. 2, oplister, hvad kontrakter om IKT-tjenester mindst skal indeholde. Blandt punkterne er en klar beskrivelse af tjenesterne, og om underleverandører må bruges, de steder hvor tjenesten leveres og data behandles, bestemmelser om tilgængelighed, autenticitet, integritet og fortrolighed, pligt til at bistå kunden ved en IKT-hændelse i tjenesten, samarbejde med kundens myndigheder, opsigelsesret og betingelser for jeres deltagelse i kundens programmer for sikkerhedsbevidsthed.

For et softwarehus betyder det, at selv en kunde, der bruger jeres produkt til noget perifert, kan sende et kontraktbilag med en række sikkerhedsvilkår. Det er ikke kundens særlige ønske; det er kundens forpligtelse. → Sikkerhedsbilaget til kundekontrakten

Ekstra vilkår ved kritiske eller vigtige funktioner

Understøtter jeres tjeneste en funktion, kunden har vurderet som kritisk eller vigtig, kræver artikel 30, stk. 3, mere. Kontrakten skal blandt andet indeholde præcise serviceniveauer, indberetningsforpligtelser for jer, krav om, at I gennemfører og tester beredskabsplaner og har sikkerhedsforanstaltninger, der giver et passende sikkerhedsniveau, jeres forpligtelse til at deltage i kundens trusselsbaserede penetrationstest, kundens ret til adgang, inspektion og revision, og en exitstrategi.

Spørg kunden, om jeres tjeneste er klassificeret sådan. Det er kundens vurdering, men det bestemmer, hvor omfattende vilkårene bliver. Er kunden en mikrovirksomhed, åbner bestemmelsen for, at kundens ret til adgang, inspektion og revision kan delegeres til en uafhængig tredjepart, som I udpeger, mens kunden fortsat kan bede tredjeparten om oplysninger. For en lille finansiel kunde kan det være en praktisk løsning, som I selv kan foreslå. Revisionsretten og pligten til at underrette om udvikling, der påvirker tjenesten, er beskrevet for sig. → Kunden kræver revisionsret

Hvor jeres pentest kommer ind

DORA nævner ikke en pentestrapport fra leverandøren som et kontraktkrav. Men artikel 30, stk. 3, litra c, om sikkerhedsforanstaltninger, der giver et passende sikkerhedsniveau, er en af de bestemmelser, hvor kunden kan bede om dokumentation, og en rapport fra en uafhængig test er en nærliggende form. Dertil kommer, at artikel 25, stk. 1, nævner penetrationstest blandt de test, den finansielle enheds eget testprogram skal indeholde bestemmelser om. Det kan være en del af baggrunden, når kunden spørger, hvordan jeres del af systemet er testet.

Svar med det, I har: dato, omfang, status på fund og en kundeversion af rapporten. Lov ikke, at jeres test opfylder kundens forpligtelser efter DORA. Det er kundens egen vurdering. Har I flere finansielle kunder, kan det betale sig at beskrive jeres testpraksis én gang i et fast dokument: rytme, omfang, hvem der tester, og hvordan fund følges op. Så får hver kunde det samme svar, og I undgår, at forskellige bilag lover forskellige ting om den samme test. → Pentestrapporten som bevis

TLPT og jeres deltagelse

Artikel 26 pålægger visse finansielle enheder at gennemføre avancerede, trusselsbaserede penetrationstest, TLPT, på produktionssystemer, der understøtter kritiske eller vigtige funktioner, også når de er udliciteret til en leverandør. Artikel 30, stk. 3, litra d, kræver, at kontrakten forpligter leverandøren til at deltage og samarbejde fuldt ud om kundens TLPT.

For jer betyder det, at kunden kan bede om at inddrage jeres tjeneste i en øvelse, som I ikke selv bestiller eller styrer. Hvad TLPT er, og hvordan øvelserne forløber, er beskrevet på red-teaming.dk. Her er det nok at vide, at kravet kan stå i kontrakten, og at det bør aftales, hvordan de andre kunder i en delt løsning beskyttes under en sådan øvelse. → En stor kunde spørger efter mere end en pentest

Et tænkt eksempel

Et softwarehus leverer et system til håndtering af klagesager. Et forsikringsselskab vil købe det og sender et kontraktbilag med henvisning til DORA. Bilaget indeholder blandt andet revisionsret, pligt til at deltage i TLPT og krav om dokumentation for test af sikkerheden.

Softwarehuset spørger, om systemet understøtter en kritisk eller vigtig funktion. Svaret er nej, og selskabet fjerner derfor de vilkår, der kun gælder sådanne funktioner. De øvrige vilkår bliver stående. Softwarehuset sender kundeversionen af sin seneste pentestrapport og noterer DORA-vilkårene i sin oversigt over kundeforpligtelser. Det aftaler også med selskabet, at klassificeringen tages op igen, hvis selskabet senere bruger systemet til en funktion, der vurderes som kritisk eller vigtig, så vilkårene kan følge med.

Det skal I lade være med

Antage, at DORA ikke vedrører jer · kravene kommer gennem kundens kontrakt.
Acceptere alle vilkår uden at spørge til klassificeringen · de ekstra vilkår gælder kritiske eller vigtige funktioner.
Love, at jeres test opfylder kundens DORA-krav · det er kundens vurdering.
Afvise deltagelse i TLPT på forhånd · kontrakten skal ifølge forordningen indeholde forpligtelsen, når stk. 3 gælder.
Glemme de andre kunder · aftal, hvordan delte løsninger beskyttes ved revision og øvelser.

Hvad kan og ikke kan konkluderes

DORA forklarer, hvorfor en finansiel kunde stiller bestemte krav til kontrakten med jer, og hvilke vilkår forordningen nævner. Den siger ikke, at I som softwarehus er omfattet som finansiel enhed, og jeres pentest kan ikke dokumentere, at kunden overholder forordningen. Hvordan vilkårene skal formuleres i netop jeres kontrakt, er et spørgsmål til jeres egen rådgiver.

Tjekliste til en finansiel kunde

☐ Ved I, om kunden er en finansiel enhed omfattet af DORA?
☐ Har I spurgt, om tjenesten understøtter en kritisk eller vigtig funktion?
☐ Er vilkårene i artikel 30, stk. 2, gennemgået mod jeres praksis?
☐ Er der aftalt en form for dokumentation af test?
☐ Er deltagelse i TLPT og beskyttelse af andre kunder beskrevet?
☐ Er vilkårene registreret i jeres oversigt over kundeforpligtelser?

Kilder

DORA, forordning (EU) 2022/2554: artikel 25, stk. 1 (testprogrammet nævner penetrationstest), artikel 26 (TLPT, også udliciterede tjenester), artikel 30, stk. 2 (mindstekrav til kontrakter om IKT-tjenester), stk. 3, litra a til f (ekstra vilkår ved kritiske eller vigtige funktioner, herunder litra c om test af beredskabsplaner og sikkerhedsforanstaltninger og litra d om deltagelse i TLPT), stk. 3, sidste afsnit (mikrovirksomheders revisionsret kan delegeres til en uafhængig tredjepart), og artikel 64 (anvendelse fra 17. januar 2025).

Senest gennemgået: oktober 2026.