DORA fastsætter ingen bestemt placering af en finansiel virksomheds cloud. Inden kritiske eller vigtige funktioner lægges hos en udbyder, skal virksomheden vurdere, om udbyderen er svær at erstatte, og hvad det betyder, når data eller underleverandører ligger i et tredjeland. Den vurdering er det, der i praksis former valget af placering.
DORA gælder kun finansielle enheder. Andre virksomheder kan bruge reglerne som model for, hvordan en placering vurderes, og det står tydeligt, hvor vi gør det. Bestemmelserne er gengivet forenklet og er ingen juridisk vurdering.
Hvem det gælder
DORA, forordning (EU) 2022/2554, har været i kraft for finansielle enheder fra 17. januar 2025.
Mindre enheder i den forenklede ramme i art. 16 og mikrovirksomheder er undtaget fra strategikravet i art. 28, stk. 2. Hvor langt resten rækker for dem, har vores kilder ikke afklaret.
Koncentration: én udbyder, der er svær at erstatte
Inden en finansiel enhed skriver under på en aftale, der bærer kritiske eller vigtige funktioner, skal den efter art. 29, stk. 1, vurdere to ting. Ender den hos en udbyder, som er svær at skifte ud? Og fører den til flere aftaler med samme udbyder? Enheden skal afveje fordele og omkostninger ved alternative løsninger.
For en arkitekt betyder det, at valget af placering skal kunne forklares med alternativer. Ligger alle kritiske funktioner hos én udbyder, skal det være en bevidst beslutning med en beskrivelse af, hvad der skal til for at erstatte den. Spredning på flere udbydere er én måde at begrænse koncentrationen på. En anden er at kunne flytte, og at have vist det.
Tredjelande og underleverandører
Art. 29, stk. 2, gælder, når en aftale tillader underentreprise af kritiske eller vigtige funktioner. Enheden skal tage hensyn til den insolvenslovgivning, der gælder, hvis udbyderen går konkurs, og til eventuelle begrænsninger ved hastende genopretning af data. Er udbyderen eller underleverandøren etableret i et tredjeland, skal enheden også tage hensyn til databeskyttelse og håndhævelse af retten dér.
For valget af placering er det to tekniske spørgsmål. Hvor ligger data, og hvor hurtigt kan I få dem tilbage, hvis noget går galt hos udbyderen? Hvilke underleverandører indgår i tjenesten, og i hvilke lande? Svarene hører til i vurderingen før aftalen.
Exit som krav til arkitekturen
Bærer tjenesten kritiske eller vigtige funktioner, kræver art. 28, stk. 8, exitstrategier. Enheden skal kunne opsige uden afbrud i forretningen, kende sine alternativer og have planer for, hvordan tjenester og data flyttes til en anden udbyder eller hjem i egen drift. Planerne skal testes i tilstrækkeligt omfang.
Aftalen skal også give adgang til data og tilbagelevering i en form, enheden let kan arbejde med, også hvis udbyderen bliver insolvent, eller aftalen opsiges (art. 30, stk. 2, litra d). Og efter stk. 3, litra f, skal udbyderen blive ved med at levere i en overgangsperiode, mens enheden flytter.
Det betyder, at en placering, der ikke kan forlades i praksis, er svær at forsvare. Selve exitstrategien og planen behandles på exit-plan.dk. For arkitekten skal exit derfor kunne lade sig gøre i drift: data i formater, der kan læses andre steder, opsætning beskrevet som kode, og så få særlige tjenester som muligt i de kritiske funktioner.
Udbydere under EU-tilsyn
Efter art. 31 kan de europæiske tilsyn pege bestemte IKT-udbydere ud som kritiske og føre direkte tilsyn med dem. Den første liste kom 18. november 2025. Hvad den betyder for en kunde, står i EU’s liste over kritiske IKT-leverandører.
Som model uden for finans
DORA rammer ikke virksomheder uden for finans. Spørgsmålene i art. 29 kan alligevel bruges som model ved valg af placering: hvor svær er udbyderen at erstatte, hvor ligger data, og hvilke underleverandører indgår? Bruger I DORA på den måde, er det jeres egen metode og intet lovkrav. Skriv det sådan i jeres egne papirer.
Hvad det kræver, og hvad det koster at lade være
Vurderingen af koncentration og tredjelande tager en arkitekt og en risikoansvarlig nogle dage pr. kritisk funktion, når registret over IKT-aftaler er på plads. Beskrivelsen af alternativer kræver et overslag over, hvad en flytning af funktionen vil tage, angivet som et spænd fra lav til høj.
For en finansiel enhed er manglende vurdering en mangel i forhold til forordningen, som tilsynet kan spørge til. For alle andre er prisen at stå med en placering, ingen kan forklare, når en kunde, en revisor eller bestyrelsen spørger.
Det skal I lade være med
- At læse DORA som et krav om europæisk cloud · forordningen kræver en vurdering af udbyderen før aftalen.
- At vurdere udbyderen uden underleverandørerne · art. 29, stk. 2, går ned i kæden.
- At kalde modellen et lovkrav uden for finans · den er jeres egen metode dér.
Det skal valget kunne vise
- ☐ For hver kritisk funktion: hvor svær udbyderen er at erstatte, og hvorfor.
- ☐ Hvor data og underleverandører ligger, pr. land.
- ☐ Alternativer med et overslag over tid til flytning.
- ☐ At data kan komme tilbage i et lettilgængeligt format.
Kilder
- Forordning (EU) 2022/2554 (DORA): art. 16, 28, 29, 30 og 31. Læst november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres register over IKT-aftaler, og marker de kritiske funktioner, der i dag ligger hos samme udbyder.
Læs også: To datacentre, to regioner, to udbydere · Parallel brug af flere udbydere
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
