Listen er en udpegelse til direkte tilsyn og ingen vurdering af, om en udbyder er god eller dårlig. Den viser, hvilke udbydere de europæiske finansielle tilsynsmyndigheder anser for så vigtige og svære at erstatte, at de selv vil føre tilsyn med dem, og den ændrer intet i jeres aftale.
For en køber af infrastruktur er listen nyttig som pejlemærke for koncentration. Artiklen gengiver listen og reglerne bag den forenklet. Navnene står i alfabetisk orden, som de står i kilden, og rækkefølgen er ingen rangering.
Hvor listen kommer fra
DORA, forordning (EU) 2022/2554, giver i art. 31 de tre europæiske tilsynsmyndigheder for banker, forsikring og værdipapirer, EBA, EIOPA og ESMA, ret til at udpege de IKT-udbydere til finanssektoren, der regnes som kritiske. De udpegede kommer under direkte tilsyn med deres risikostyring.
Art. 31, stk. 2, nævner de kriterier, udpegelsen bygger på. Forenklet gengivet er det udbyderens systemiske betydning, hvor vigtige de afhængige finansielle enheder er, hvor meget kritiske eller vigtige funktioner afhænger af udbyderen, og hvor svær udbyderen er at erstatte. Det sidste omfatter mangel på reelle alternativer og vanskeligheder ved at flytte data og arbejdsbelastninger.
Art. 31, stk. 8, undtager bl.a. udbydere, der kun leverer internt i en koncern, og udbydere, der kun leverer i én medlemsstat til enheder, der kun er aktive dér. Art. 31, stk. 9, siger, at listen offentliggøres og ajourføres årligt.
Listen fra 18. november 2025
De tre myndigheder offentliggjorde 18. november 2025 den første liste. Ifølge ESMA’s pressemeddelelse spænder tjenesterne fra kerneinfrastruktur til forretnings- og datatjenester. Listen rummer 19 juridiske enheder:
Accenture plc; Amazon Web Services EMEA Sarl; Bloomberg L.P.; Capgemini SE; Colt Technology Services; Deutsche Telekom AG; Equinix (EMEA) B.V.; Fidelity National Information Services, Inc.; Google Cloud EMEA Limited; International Business Machine Corporation; InterXion HeadQuarters B.V.; Kyndryl Inc.; LSEG Data and Risk Limited; Microsoft Ireland Operations Limited; NTT DATA Inc.; Oracle Nederland B.V.; Orange SA; SAP SE; Tata Consultancy Services Limited.
Navnene er de juridiske enheder, som de står i ESMA’s liste. Det er altså bestemte selskaber i en koncern, der er udpeget. Listen er den, vi har læst pr. november 2026. Den ajourføres årligt, så se efter en nyere udgave, før I bruger den.
Hvad listen siger om infrastruktur
Pressemeddelelsen nævner kerneinfrastruktur blandt tjenesterne, og det er det, dette site handler om. For en køber af infrastruktur viser listen, at de europæiske tilsynsmyndigheder ser en reel koncentration i markedet. Det er vores læsning, at mange finansielle virksomheder afhænger af de samme få leverandører.
Listen siger intet om jurisdiktion, ejerskab eller hvor data ligger. Det er andre spørgsmål, som skal stilles til den enkelte udbyder. Hvem der ejer og driver bygning, hardware og resten, er vist i de syv led.
Hvad den betyder for en finansiel kunde
Art. 31, stk. 12, siger, at finansielle enheder kun må bruge en udpeget kritisk udbyder med hjemsted i et tredjeland, hvis udbyderen har etableret en dattervirksomhed i EU senest 12 måneder efter udpegelsen. Det er en regel om udbyderens selskabsform. Kundens egne pligter efter art. 28 til 30, herunder vurdering af koncentration og exitstrategier, gælder uændret.
Tilsynet med udbyderen erstatter altså ikke jeres egen vurdering. Koncentrationsvurderingen i forbindelse med valg af placering står i DORA og cloud.
Hvad den betyder for en kunde uden for finans
Uden for finanssektoren gælder DORA ikke, og listen rører ikke ved aftalerne. Det er vores læsning, at listen alligevel kan bruges som et pejlemærke. Står jeres kritiske leverandør på listen, er den ifølge EU’s finansielle tilsyn svær at erstatte for mange. Det kan tale for at kende sine alternativer og have prøvet en flytning af mindst ét system.
At en udbyder ikke står på listen, siger heller intet om kvaliteten. Den kan være for lille, levere i ét land eller levere til andre sektorer end finans.
Hvad det kræver, og hvad det koster at lade være
Sammenholdelsen af listen med jeres egen leverandøroversigt tager en time. Hvis det viser sig, at flere kritiske funktioner ligger hos udbydere på listen, er næste skridt en vurdering af alternativer pr. funktion, som tager nogle dage.
Lader I være, mister I et pejlemærke, der ikke kræver ekstra arbejde, for, hvor koncentrationen i jeres egen drift ligger. Det er sjældent alvorligt i sig selv. Det bliver det, når en bestyrelse eller en kunde spørger, hvor afhængige I er, og svaret ikke er skrevet ned.
Det skal I lade være med
- At læse listen som en anbefaling eller en advarsel · den er en udpegelse til tilsyn.
- At bruge en gammel udgave · listen ajourføres årligt.
- At lade tilsynet stå i stedet for jeres vurdering · kundens pligter gælder uændret.
Det skal valget kunne vise
- ☐ Hvilke af jeres kritiske leverandører der står på listen, med listens dato.
- ☐ Den juridiske enhed, I har aftale med, sammenholdt med listens navn.
- ☐ Alternativer for de funktioner, der ligger hos en udpeget udbyder.
Kilder
- Forordning (EU) 2022/2554 (DORA): art. 31. Læst november 2026.
- ESMA, pressemeddelelse om udpegelse af kritiske IKT-udbydere: 18. november 2025.
- ESMA, List of designated CTPPs: listen med 19 juridiske enheder.
Senest gennemgået: november 2026.
Næste skridt
Læg listen ved siden af jeres leverandøroversigt, og marker de kritiske funktioner, der ligger hos en udpeget udbyder.
Læs også: Hvem ejer datacentret? · Også den europæiske udbyder skal kunne forlades
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
