§ 9. IKT-tjenesteavtaler og håndtering av IKT-tredjepartsrisiko

DORA-forordningen kapittel V, del I (artiklene 28–30) om håndtering av IKT-tredjepartsrisiko gjelder tilsvarende så langt den passer, med tilpasningene som følger av andre og tredje ledd.

DORA-forordningen artikkel 28 nr. 3 første avsnitt om register for IKT-tjenesteavtaler gjelder tilsvarende, men foretaket skal kun ha register på foretaksnivå («entity level»). Kommisjonens gjennomføringsforordning (EU) 2024/2956 gjelder ikke. Registeret over IKT-tjenesteavtaler skal minst inneholde følgende opplysninger:

1. leverandørens navn, organisasjonsnummer, LEI-nummer og EUID
2. en beskrivelse av typen IKT-tjenesteavtale
3. landet leverandøren har hovedkontor i
4. underleverandørers navn og organisasjonsnummer, samt landet underleverandøren har hovedkontor i
5. avtalens oppstarts- og opphørsdato eller opplysninger om at avtalen er rullerende
6. dato for siste risikovurdering av IKT-tjenesteavtalen.

DORA-forordningen artikkel 28 nr. 3 femte avsnitt om melding om IKT-tjenesteavtaler gjelder tilsvarende så langt det passer. For eiendomsmeglingsforetak gjelder kravet bare når tjenesteleveransen skal benyttes for oppgjørsfunksjonen. For inkassoforetak gjelder kravet bare for foretak som er mellomstore, jf. DORA-forordningen artikkel 3 nr. 64, eller større.

DORA-forordningen artikkel 42 om oppfølging av anbefalinger vedrørende kritiske IKT-tredjepartstilbydere gjelder tilsvarende så langt den passer.

Tilføyd ved forskrift 20 aug 2026 nr. 1657 (i kraft 1 sep 2026).