DORA: de første kritiske IKT-udbydere er udpeget
ESA'erne har udpeget 19 kritiske tredjepartsudbydere af IKT-tjenester under DORA, som nu er under direkte EU-tilsyn. Hvad det betyder.
Forordningen om digital operationel modstandsdygtighed (DORA, forordning (EU) 2022/2554) har siden 17. januar 2025 gældt for banker, forsikringsselskaber, investeringsselskaber, betalingsinstitutter og andre finansielle enheder. Tilsynet med de største teknologileverandører er nu i drift.
19 udbydere under direkte EU-tilsyn
Den 18. november 2025 offentliggjorde de tre europæiske tilsynsmyndigheder (EBA, EIOPA og ESMA) den første liste over kritiske tredjepartsudbydere af IKT-tjenester (CTPP'er). De 19 udpegede udbydere er store cloud-, datacenter-, tele-, konsulent- og finansdatavirksomheder, blandt andre Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, SAP SE, Deutsche Telekom, Orange, Equinix, Capgemini, Accenture og IBM.
Myndighederne byggede udpegningen på de informationsregistre, som finansielle enheder fører over deres IKT-kontrakter, efterfulgt af en vurdering af kritikalitet sammen med de nationale myndigheder. De udpegede udbydere har nu et ledende tilsyn, der kan kræve oplysninger, foretage inspektioner og give henstillinger. Listen opdateres hvert år.
Informationsregistre: hvert år
Finansielle enheder fører et register over alle aftaler med tredjepartsudbydere af IKT-tjenester. Fra 2026 indberetter de nationale myndigheder disse registre til ESA'erne senest 31. marts hvert år, med 31. december året før som skæringsdato. De nationale myndigheder fastsætter egne, tidligere frister for de enheder, de fører tilsyn med.
Hvad det betyder
- For finansielle enheder: tilsynet med en CTPP overtager ikke jeres eget ansvar. I styrer fortsat selv risikoen ved IKT-tredjeparter: kontrakter med bestemmelserne i artikel 30, exitstrategier og et fuldstændigt og korrekt register.
- For IKT-leverandører, der ikke står på listen, også mindre SaaS-udbydere: regn med DORA-klausuler i kontrakter, spørgsmål om underleverandører og placeringer samt ønsker om støtte ved exit og hændelser. Klare svar forkorter indkøbet.
Leverandørens side af sagen: DORA for IKT-tredjeparts- og SaaS-leverandører.
Kilder
- Regulation (EU) 2022/2554 (DORA)
- EBA: The European Supervisory Authorities designate critical ICT third-party providers under DORA (18 November 2025)
- ESMA: List of designated critical ICT third-party service providers
- EBA: Preparations for reporting of DORA registers of information
Kun til orientering, ikke juridisk rådgivning. Senest opdateret 19. oktober 2026.
Findes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Svenska, Norsk bokmål