Digital suverænitet

70 13 63 23

Amsterdam Trade Bank: solvent bank lukket via sin IT (2022)

Amsterdam Trade Bank: solvent bank lukket via sin IT (2022)

En bank med hollandsk licens og hollandsk tilsyn mistede i april 2022 adgangen til de systemer, den drev forretning på. Årsagen var bankens ejer. De afgørende beslutninger blev truffet af den amerikanske sanktionsmyndighed og af bankens leverandører.

Sagen kort

Amsterdam Trade Bank N.V. (ATB) havde haft banklicens fra De Nederlandsche Bank siden 1994. Banken havde godt 23.000 private kontohavere, de fleste i Holland og knap 6.000 i Tyskland, oplyste DNB. Russiske Alfa-Bank ejede 78 procent, skrev den hollandske finansminister til parlamentet.

Kuratorerne havde ved konkursen det foreløbige indtryk, at banken var godt kapitaliseret. Egenkapitalen var 216 mio. euro på en balance på 953 mio. euro, en egenkapitalandel på over 22 procent, fremgår af kuratorernes første rapport. Banken havde dog haft underskud i de seneste år. Kuratorerne opgjorde antallet af ansatte til 93.

Hvad skete der, dato for dato

  • 28. februar 2022 · Flere af Alfa-Banks hovedaktionærer kom på EU’s sanktionsliste, ifølge Rechtbank Amsterdams dom. ATB og Alfa-Bank var selv ikke sanktioneret i EU, svarede finansministeren.
  • 24. marts 2022 · Storbritannien satte Alfa-Bank på sin sanktionsliste.
  • 6. april 2022 · Det amerikanske finansministeriums OFAC blokerede Alfa-Bank og seks datterselskaber, heriblandt ATB, oplyste US Treasury. General License 23 tillod afvikling af transaktioner til 6. maj 2022.
  • 9. april 2022 · Microsoft skrev til banken, at kontoen var under gennemgang.
  • 12. og 14. april 2022 · Bankens to Microsoft-konti blev lukket, fremgår af dommen.
  • 14. april 2022 · Retten udpegede en kommende kurator, før konkursen var erklæret.
  • 22. april 2022 · ATB begærede sig selv konkurs. Retten afsagde konkursdekret samme dag, og DNB modsatte sig ikke. Der var gået 16 dage fra OFAC-blokeringen.
  • 3. maj 2022 · Retten pålagde Microsoft at give kuratorerne adgang til bankens data.
  • 5. maj 2022 · OFAC udstedte en ny generel tilladelse til afviklingen af ATB, gyldig til 12. juli 2022, ifølge kuratorernes første rapport.

Hvem besluttede

Sanktionen kom fra OFAC. OFAC’s regel om, at enheder ejet 50 procent eller mere af Alfa-Bank også er blokeret, fremgår af pressemeddelelsen. Lukningen af tjenesterne var leverandørernes egne beslutninger.

DNB beskrev, at flere leverandører med tilknytning til Storbritannien eller USA stoppede eller varslede stop. Flere hollandske systembanker afviste bankens betalingsordrer. Softwarelicensgivere, især fra USA, varslede ophør af licenserne pr. 6. maj. Kuratorerne nævner systemer til finansadministration, låneadministration og kundeadministration. De skriver også, at banken var næsten afskåret fra betalingssystemerne, herunder SEPA.

Hvilken mekanisme

Banken blev ude af stand til at drive forretning, fordi dens drift hvilede på leverandører, der selv var underlagt amerikansk eller britisk jurisdiktion. DNB skrev, at ATB for ingen af disse leverandører så en mulighed for at finde en afløser på kort sigt. Mekanismen er beskrevet nærmere under → Sanktioner og dekreter.

Kontraktkæden er et eget punkt. ATB købte Microsoft-tjenesterne gennem en hollandsk forhandler, Socia, som leverede via distributøren Copaco, fremgår af dommen. Den enhed, der kunne give adgang, var Microsoft Ireland Operations Limited i Dublin. Microsoft anførte selv, at de amerikanske regler gjaldt for det irske selskabs amerikanske moderselskab og dermed indirekte for det irske selskab.

Kuratorerne og retskendelsen

Kuratorerne kendte ingen kontakt hos Microsoft og skrev 26. april til en advokat, der tidligere havde repræsenteret selskabet. Først 29. april fik de at vide, at de to hollandske Microsoft-selskaber var de forkerte modparter. Kuratorerne henviste til artikel 105b i den hollandske konkurslov, som giver dem ret til hele administrationen, også den, der ligger i skyen.

Microsoft mente, at kuratorerne først burde søge undtagelser hos myndighederne i Irland og USA. Retten fandt, at det kunne tage måneder og var uforeneligt med hensynet til 23.000 kontohavere. Retten fandt det heller ikke sandsynligt, at adgang i en konkurs ville stride mod EU’s eller USA’s sanktioner. Den beskrev Microsoft som en stor og magtfuld amerikansk part, der ville undgå enhver sanktionsrisiko og kun lod sig lede af egne interesser.

Dommen af 3. maj 2022 (begrundelsen udleveret 10. maj) gav Microsoft Ireland Operations Limited 48 timer. Dagbøden blev 10 mio. euro pr. døgn med et loft på 100 mio. euro. Kuratorerne havde krævet 50 mio. euro pr. døgn. Retten forbød også sletning af data med samme bøde og samme loft pr. overtrædelse.

Med Amazon Web Services havde kuratorerne ifølge deres egen fremstilling en lignende tvist, men de nåede en aftale før retsmødet og frafaldt sagen mod Amazon. Microsoft gennemførte dommen i den følgende periode, så der i princippet igen var adgang, skrev kuratorerne i rapport nr. 2 i august 2022. Det var dog fortsat ikke muligt at skalere miljøet ned.

Hvad banken kunne have vidst på forhånd

Ejerskabet var kendt. Alfa-Bank ejede flertallet, og OFAC’s 50-procentsregel er offentlig. DNB skærpede tilsynet med banken fra februar 2022, før den amerikanske sanktion. En gennemgang af hver kontrakt efter → juridisk enhed og moderselskab ville have vist et irsk selskab med amerikansk moder. Det gjaldt, selv om fakturaen kom fra en hollandsk forhandler.

Sagen viser også, at kæden af forhandlere og distributører kan skjule, hvem der reelt kan lukke. Den kortlægning hører til → underdatabehandlere og leverandørkæden.

Hvad sagen ikke viser

Sagen viser ikke, at Microsoft var retligt forpligtet til at lukke. Spørgsmålet var omstridt, og retten lod stå åbent, om det irske selskab overhovedet var bundet af de amerikanske regler. Dommen handlede om kuratorernes adgang efter konkursen og tog ikke stilling til lukningen i april.

Sagen viser heller ikke, at IT alene væltede banken. Betalinger, medarbejdere med britisk eller amerikansk statsborgerskab og britiske sanktioner spillede også ind. De offentlige kilder oplyser ikke, om der blev betalt dagbøder. Udløseren var ejerskab, så risikoen er størst for organisationer, hvis ejere kan blive sanktioneret. Mekanismen gælder bredere, jf. → ICC-sagen.

Læren for en exit-plan

Hvem der ejer jer, og hvem der ejer jeres leverandør, kan afgøre, om I har adgang til jeres egne data. ATB havde hollandsk licens og hollandsk tilsyn, og det hjalp ikke på driften, da leverandørerne trak sig. Brug sagen til fire konkrete handlinger.

  1. Kortlæg ejerskabet begge veje · Notér jeres egne ejere og leverandørernes moderselskaber, også bag forhandlere. Følg op ved → opkøb og ejerskifte.
  2. Vurder, hvem der kan lukke · Angiv for hvert system, hvem der kan lukke, og med hvilket varsel, som i → trin 4.
  3. Skriv dataudlevering ind i kontrakten · Aftal udlevering til jer, en kurator eller en afløser, også efter ophør, jf. → trin 8.
  4. Hold en kopi uden for leverandøren · En kopi hos samme udbyder lukkes sammen med resten, se → backup hos samme udbyder.

Ved mange systemer og lange leverandørkæder kan en uvildig gennemgang spare tid. Nielco IT’s jurisdiktions- og afhængighedsvurdering kortlægger moderselskab, leverandørkæde og sanktionsrisiko pr. system.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Jeg sælger rådgivning, ikke produkter, og har ingen leverandørpartnerskaber.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026