Mange organisationer har et dokument, der hedder exitstrategi. Ved et prisløft eller et nedbrud kan det vise sig at svare på et andet spørgsmål end det, de står med. Arbejdet hviler på, at tre begreber holdes adskilt og alligevel bygges, så de passer sammen.
Exitstrategien er ledelsens valg om, hvilke afhængigheder organisationen vil kunne komme ud af. Exit-planen beskriver, hvordan et planlagt skifte gennemføres. Beredskabsplanen beskriver, hvad der sker, når en tjeneste forsvinder uden varsel. Artiklen viser, hvordan regler og en dansk analyse bruger begreberne, og hvem der bør eje hvad.
Tre dokumenter med hvert sit spørgsmål
Exitstrategien svarer på, hvor meget afhængighed ledelsen vil acceptere, og for hvilke systemer en udvej skal findes. Den er kort og ændrer sig sjældent.
Exit-planen svarer på, hvordan organisationen kommer fra den nuværende leverandør til et alternativ, med tid, pris og ansvarlige. Den er konkret og gælder system for system.
Beredskabsplanen svarer på, hvordan de vigtigste opgaver fortsætter, hvis tjenesten falder bort i morgen. Den handler om timer og dage, og den skal kunne bruges under pres.
Exitstrategien er ledelsens valg
Strategien fastlægger rammen. Den angiver, hvilke funktioner der er så kritiske, at en vej ud skal være forberedt, og hvilken grad af binding der accepteres for resten. Den peger også på, hvornår en exit skal udløses, fx ved et ejerskifte, en ensidig vilkårsændring eller en vedvarende forringelse af tjenesten.
Valget hører hjemme hos direktion og bestyrelse, fordi det handler om risikovillighed og penge. Uden et sådant valg bliver prioriteringen i → trin 6 i exit-planen et teknisk skøn i stedet for en ledelsesbeslutning.
PA-analysen nævnt nedenfor giver et bud på indholdet. En exit-strategi kan ifølge analysen rumme procedurer for sikker dataoverførsel, sletning hos leverandøren og driftskontinuitet. Den kan også rumme konkrete planer med tidsramme, ansvar og risikovurdering. Strategien kan desuden pege på dokumentation, åbne standarder og adgang til data via API som midler til at holde vejen ud åben.
Exit-planen er den praktiske vej ud
Exit-planen omsætter strategien til handling for de systemer, strategien udpeger. Det er her, de ti trin hører til. Planen bygger på kortlægningen i → trin 1 og på overslaget over tid og penge i → trin 5.
Planen forudsætter, at der er tid. Den regner med et opsigelsesvarsel, en overgangsperiode og en periode med parallel drift. Vilkårene for netop det står i kontrakten, jf. → trin 8.
Beredskabsplanen gælder, når tiden mangler
Beredskabsplanen dækker det tilfælde, hvor tjenesten er utilgængelig, før en planlagt exit kan nå at begynde. Det kan være et nedbrud hos udbyderen, en lukket konto eller en tjeneste, der ikke længere må bruges.
Digitaliseringsstyrelsens Vejledning i it-beredskab beskriver it-beredskabsplanen som organisationens køreplan under en krise. Ifølge vejledningen skal kravene til leverandørens eget it-beredskab være dokumenteret i leverandøraftalerne. Den fortæller også, at der findes skabeloner til organisationer uden egen it-drift.
Hvorfor en kopi hos samme udbyder sjældent er nok til denne plan, er gennemgået i → Backup hos samme udbyder.
Hvordan den danske analyse skelner
PA Consulting udarbejdede i januar 2026 analysen Digital suverænitet i den offentlige sektor for blandt andre Digitaliseringsstyrelsen. Analysen behandler exit-strategier og beredskabsplaner som to forskellige virkemidler.
Ifølge analysen beskriver exit-planer en proces for at skifte leverandør eller flytte data og systemer. Beredskabsplaner skal håndtere uventede driftsforstyrrelser og genoprette data og kritiske systemer i en nødsituation. Analysen bemærker også, at systematisk vurdering af bindinger og exit-planer kun ses i mindre grad hos myndighederne.
Analysen foreslår, at hver myndighed laver exit-strategier og kontinuitets- og beredskabsplaner for de områder, hvor sårbarheden er størst. Det er konsulentens anbefaling og ikke vedtaget politik, jf. → den danske politiske ramme.
Finanssektorens model: DORA artikel 28, stk. 8
DORA, forordning (EU) 2022/2554, har gældet siden 17. januar 2025. Artikel 28, stk. 8, kræver, at finansielle enheder har exitstrategier for IKT-tjenester, der understøtter kritiske eller vigtige funktioner.
Strategierne skal tage højde for blandt andet svigt hos udbyderen, forringet kvalitet, forstyrrelser og ophør af aftalen. Exitplanerne skal være omfattende, veldokumenterede, testet i tilstrækkeligt omfang og gennemgået regelmæssigt. Enheden skal også udpege alternative løsninger og lave overgangsplaner.
Beredskabet har sin egen bestemmelse. Artikel 11 kræver en politik for IKT-driftsstabilitet, der gennemføres gennem dokumenterede planer og procedurer. Strategi, exitplan og kontinuitet er altså tre krav i samme lov. Den fulde gennemgang står i → DORA og exitstrategien.
EBA’s retningslinjer: strategien bygger på kontinuiteten
Den europæiske banktilsynsmyndighed EBA udsendte 25. februar 2019 retningslinjer om outsourcing, EBA/GL/2019/02, gældende fra 30. september 2019. Afsnit 15 handler om exitstrategier.
Punkt 106 kræver en dokumenteret exitstrategi ved outsourcing af kritiske eller vigtige funktioner. Den skal hænge sammen med outsourcingpolitikken og forretningskontinuitetsplanerne. Punkt 107 kræver exitplaner og overgangsplaner. Punkt 108 kræver mål for strategien, en konsekvensanalyse af tid og ressourcer, fordelte roller, succeskriterier og indikatorer, der udløser exit.
EBA offentliggjorde 18. september 2026 nye retningslinjer om tredjepartsrisiko. Ifølge EBA ophæver de outsourcingretningslinjerne, når de finder anvendelse. Pr. 30. oktober 2026 er de endnu ikke gældende.
NIS2: driftskontinuitet og leverandørkæde
Den danske NIS 2-lov gælder fra 1. juli 2025. Efter § 6, stk. 1, nr. 3, skal omfattede enheder have foranstaltninger for driftskontinuitet, herunder backupstyring, reetablering efter en katastrofe og krisestyring. Nr. 4 kræver forsyningskædesikkerhed. Efter § 7 skal ledelsesorganet godkende foranstaltningerne.
For cloududbydere, datacentre og en række andre digitale udbydere er kravet uddybet i gennemførelsesforordning (EU) 2024/2690. Bilagets punkt 4.1 kræver en driftskontinuitets- og katastrofeberedskabsplan med blandt andet roller, betingelser for aktivering, rækkefølge for genopretning og nødvendige ressourcer. Planen skal testes og ajourføres.
Punkt 4.1.3 kræver desuden en forretningskonsekvensanalyse af alvorlige forstyrrelser. Den samme analyse kan genbruges i exit-planen, fordi konsekvensen ved stop også afgør, hvilke systemer der skal håndteres først.
Loven bruger ikke ordet exit-plan. Kravene om kontinuitet og leverandørkæde giver alligevel et naturligt sted at forankre den, jf. → NIS2 og jurisdiktion i leverandørstyringen.
Hvem ejer hvad
- Exitstrategien · ejes af direktionen og godkendes af bestyrelsen eller den øverste ledelse. Den gennemgås, når risikobilledet ændrer sig.
- Exit-planen · ejes af IT-chefen sammen med indkøb og systemejerne. Den opdateres efter fast rytme og ved ændringer hos leverandøren, jf. → trin 10.
- Beredskabsplanen · ejes af den, der har ansvaret for driftskontinuitet, og afprøves ved øvelser.
- Kontrakten · binder de tre sammen, fordi varsel, dataudlevering og leverandørens beredskab skal stå i den.
Dataforordningen giver kontrakten en rolle her. Artikel 25, stk. 2, litra b, forpligter udbydere af databehandlingstjenester til at støtte kundens exitstrategi, jf. → Data Act og skifteret.
Sådan hænger de sammen med de ti trin
Strategien bestemmer, hvilke systemer der går gennem trinnene først. Trin 1 til 5 giver ledelsen det grundlag, strategien bør revideres på. Trin 6 til 8 er exit-planens kerne.
Trin 9 er stedet, hvor planerne mødes. En afprøvet gendannelse hos en anden leverandør tjener både exit-planen og beredskabet, jf. → trin 9. Den hollandske stat kræver netop, at en exitplan dækker både et planlagt skifte og et uventet bortfald, jf. → Holland kræver exitplaner.
Hvad skelnen kan og ikke kan
Skelnen gør det tydeligt, hvem der skal beslutte hvad, og den afslører huller. En organisation med en god beredskabsplan kan stadig mangle en vej ud af et system, der langsomt bliver dyrere. En organisation med en exit-plan kan stadig stå uden drift i de uger, et skifte tager. Et dokument, hvis indhold stopper ved dataudlevering og efterfølgende sletning, dækker typisk ingen af de to situationer fuldt ud.
Skelnen siger intet om, hvilke systemer der skal flyttes, eller om en konkret kontrakt er god nok. Den erstatter heller ikke en juridisk vurdering. DORA og EBA gælder kun finanssektoren, og NIS2 kun de omfattede enheder. Andre organisationer kan låne strukturen frivilligt.
Betydningen for exit-planen
Læg de tre dokumenter ved siden af hinanden og notér for hvert kritisk system, om det er dækket af strategien, af en exit-plan og af en beredskabsplan. Et system med kun én af de tre er et sted at begynde.
Bed ledelsen om at godkende strategien skriftligt, og henvis til den fra exit-planen og beredskabsplanen. Når strategien skal omsættes til en plan pr. system, kan Nielco IT’s rådgivning om exit-planen bruges som uvildigt grundlag.
Kilder
- PA Consulting for Digitaliseringsministeriet, Digitaliseringsstyrelsen, KL og Danske Regioner: Digital suverænitet i den offentlige sektor. Sammenfattende analyse af erfaringer og indsigter fra ind- og udland, januar 2026, s. 15, 23 og 31. https://digst.dk/media/lebaiiex/pdf_final_webtilgaengelig_version_digital-suveraenitet_sammenfattende-erfaringsopsamling-paa-myndigheders-initiativer-for-at-migrere-til-alternative-teknologivalg.pdf
- Den Europæiske Unions Tidende (EUR-Lex): Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor (DORA), artikel 11, 28 og 64. https://eur-lex.europa.eu/eli/reg/2022/2554/oj/dan
- European Banking Authority: Final Report on EBA Guidelines on outsourcing arrangements, EBA/GL/2019/02, 25. februar 2019, afsnit 15, punkt 106 til 108. https://www.eba.europa.eu/sites/default/files/documents/10180/2551996/38c80601-f5d7-4855-8ba3-702423665479/EBA%20revised%20Guidelines%20on%20outsourcing%20arrangements.pdf
- European Banking Authority: Guidelines on third party risk management, status “Not yet applicable”, læst 30. oktober 2026. https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities/internal-governance/guidelines-third-party-risk-management
- European Banking Authority: The EBA publishes its final Guidelines on the management of third-party risk, pressemeddelelse 18. september 2026. https://www.eba.europa.eu/publications-and-media/press-releases/eba-publishes-its-final-guidelines-management-third-party-risk-delivering-more-proportionate-and
- Retsinformation: Lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven), § 6 og § 7. https://www.retsinformation.dk/eli/lta/2025/434
- Europa-Kommissionen: Gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, bilag punkt 4.1. http://data.europa.eu/eli/reg_impl/2024/2690/oj
- Den Europæiske Unions Tidende (EUR-Lex): Europa-Parlamentets og Rådets forordning (EU) 2023/2854 af 13. december 2023 (dataforordningen), artikel 25. https://eur-lex.europa.eu/eli/reg/2023/2854/oj/dan
- Digitaliseringsstyrelsen: Vejledning i it-beredskab, januar 2022 (opdateret september 2022), afsnit 5 og 5.4. https://www.sikkerdigital.dk/Media/638000655159015474/Vejledning-i-it-beredskab-september-2022.pdf
