Nets Denmark A/S

Finanstilsynet har desuden fulgt op på de to IT-hændelser, der har været i Nets, henholdsvis den 19. juli 2025 og den 21. maj 2026. Finanstilsynet vurderer, at Nets har mangler på væsentlige områder indenfor instituttets styring af IT-risici, IT-beredskab og IT-tredjepartsrisici. Disse forhold indebærer en forhøjet IT-risiko. Finanstilsynet har derfor givet Nets en række påbud om at sikre en tilstrækkelig styring af områderne. Nets har mangler i sin IT-risikostyring, herunder forvaltning og organisering. Nets har ikke i tilstrækkelig grad sikret, at rammen for IT-risikostyring implementeres og løbende overvåges, samt at tilsynet med rammen for IT-risikostyring er forankret i det danske ledelsesorgan. Strategien for digital operationel modstandsdygtighed opfylder ikke centrale krav i DORA, og informationssikkerhedspolitikken er ikke tilpasset Nets’ specifikke risikoprofil. Arbejdsfordelingen indenfor anden forsvarslinje og mellem første og anden forsvarslinje er uklar, og der er ikke etableret tilstrækkelige kontroller. Det kan medføre en risiko for, at væsentlige IT-risici ikke identificeres, vurderes eller håndteres tilstrækkeligt, og at bestyrelsen ikke har det nødvendige grundlag for at føre tilsyn. Nets har fået påbud om at sikre, at instituttets forvaltning og organisering samt rammen for IT-risikostyring er tilstrækkelig Nets har mangler i styringen af IT-beredskabet. Nets har ikke i tilstrækkelig grad sikret, at beredskabsområdet er forankret i det danske ledelsesorgan, og der er ikke en tilfredsstillende sammenhæng mellem beredskabsmålsætninger, forretningskonsekvensanalyse (BIA) og resultater af tests og hændelser. Forretningskontinuitetsplaner (BCP’er) er ikke tilstrækkeligt gennemarbejdede og sikrer ikke, at kritiske forretningsprocesser kan fortsætte under genopretning af underliggende systemer. Nets udfører ikke tilstrækkelige tests af beredskabsplaner og sikrer dermed ikke, at beredskabsmålsætninger kan opnås under kritiske IT-nedbrud.

Finanstilsynet har i forlængelse af den IT-hændelse, der ramte Nets Denmark A/S den 19.–20. juli 2025, undersøgt Nets’ kommunikation til kunder, modparter og samfundet generelt under hændelsen. Finanstilsynet vurderer, at Nets’ kommunikationsstrategi ikke har været tilstrækkelig til at sikre, at alle kunder (erhvervsdrivende) og samarbejdspartnere (andre finansielle virksomheder) rettidigt har modtaget den nødvendige information om hændelsen. Den har ligeledes ikke været tilstrækkelig til at sikre, at der skete en tilstrækkelig generel information af den bredere offentlighed, eksempelvis gennem medierne. En finansiel virksomhed skal have en kommunikationsstrategi i tilfælde af større IT-hændelser, der sikrer, at konsekvenserne af hændelsen bliver kommunikeret til kunder og samarbejdspartnere samt til den bredere offentlighed, hvor det er relevant. Strategien skal sikre, at virksomheden både har en kommunikationsplan, processer, kontroller og de nødvendige ressourcer til at gennemføre en ansvarlig kommunikation, uanset hvornår en IT-hændelse indtræffer. Finanstilsynet vurderer, at Nets’ kommunikationsstrategi ikke har været tilstrækkelig, da Nets i forbindelse med hændelsen ikke kommunikerede klart til alle kunder og samarbejdspartnere eller til offentligheden generelt om hændelsen og dens konsekvenser. Denne kommunikation burde være foretaget snarest muligt, efter Nets blev bekendt med, at konsekvenserne af hændelsen var så vidtrækkende, som de var. Kommunikationsstrategien skal også sikre, at kunder, samarbejdspartnere og den bredere offentlighed, hvor relevant, bliver informeret om, hvordan de bedst kan agere for at begrænse de negative konsekvenser af hændelsen. Der findes flere forskellige nødprocedurer, som erhvervsdrivende kan anvende til at modtage kortbetalinger i situationer, hvor Nets eller andre dele af betalingsinfrastrukturen rammes af en IT-hændelse.

Finanstilsynet var i juni 2020 på inspektion i Nets Denmark A/S (Nets). Inspektionen var en undersøgelse af betalingstjenesteområdet og hvidvaskområdet. Inspektionen omfattede ledelse og indretning af virksomheden på betalingstjenesteområdet og risikovurdering, politikker og forretningsgange på hvidvaskområdet. Nets fik tilladelse som betalingsinstitut i 2011. Nets udbyder en række tjenester, der udgør betalingstjenester efter lov om betalinger, bl.a. Betalingsservice og indløsning af betalingskort. Derudover udbyder Nets en række andre betalingsrelaterede tjenester, der ikke er tilladelsespligtige efter lov om betalinger. En af de vigtigste øvrige tjenester er virksomhedens clearingtjenester. Finanstilsynet vurderer, at Nets’ iboende risiko for at blive brugt til hvidvask eller finansiering af terrorisme er normal til høj. Finanstilsynets vurdering er bl.a. baseret på Nets’ størrelse, forretningsmodel, produkter og kunder. I vurderingen har Finanstilsynet bl.a. lagt vægt på, at virksomheden udelukkende har distancekunder, virksomhedens brede udbud af forskellige typer betalingstjenester, virksomhedens størrelse samt omfanget af de gennemførte transaktioner, hvilket indebærer en øget risiko for, at virksomheden kan blive brugt til hvidvask og finansiering af terror. Finanstilsynet har i vurderingen også taget hensyn til, at virksomhedens produkter primært er relateret til betaling af regninger samt erhvervsdrivendes salg af varer og tjenesteydelser, hvilket reducerer den samlede risiko. På baggrund af inspektionen er der et antal områder, som giver anledning til tilsynsmæssige reaktioner. Nets får et påbud om at sikre, at sammensætningen af bestyrelsen i tilstrækkelig grad sikrer bestyrelsens uafhængighed, herunder at bestyrelsen i tilstrækkelig grad kan udfordre og overvåge direktionens arbejde.

Finanstilsynet har i januar 2013 foretaget inspektion i Nets Denmark A/S med henblik på at vurdere, om instituttet overholder gældende regler på hvidvaskområdet. Nets Denmark A/S, der fik tilladelse som betalingsinstitut den 29. april 2011, udbyder en række betalingsformidlingsprodukter og indgår aftaler med virksomheder og forretningsdrivende personer om indløsning af Dankort. Instituttets betalingstjenester er omfattet af hvidvaskloven. Udover betalingstjenester udøver instituttet betydelige aktiviteter inden for betalingsformidling og clearing/afvikling af betalingstjenester. Nets Denmark A/S har vurderet, at instituttets iboende risiko for at blive misbrugt til hvidvask eller finansiering af terrorisme er lav. Uanset at risikoen vurderes som lav, har Finanstilsynet dog påpeget, at instituttets samlede antal kundetransaktioner er meget betydeligt, og at det vil kunne forekomme, at instituttet bliver misbrugt til sådanne kriminelle aktiviteter. Instituttet blev omfattet af hvidvaskloven den 1. november 2009. For visse af instituttets betalingsformidlingsprodukter gælder, at procedurer for kundelegitimation først er iværksat i begyndelsen af 2013, hvilket Finanstilsynet har påtalt. For andre produkter gælder, at procedurer for kundelegitimation ikke er iværksat endnu. For så vidt angår sidstnævnte har Finanstilsynet givet instituttet påbud om iværksættelse af kundelegitimation inden for en kortere frist. Instituttet har oplyst, at et betydeligt antal af instituttets kunder på undersøgelsestidspunktet fortsat ikke er tilstrækkeligt legitimerede i januar 2013, hvilket skal ses på baggrund af foranstående. Finanstilsynet har derfor givet instituttet påbud om at indhente tilstrækkelig legitimation af kunder, hvor dette endnu ikke har fundet sted, inden for en nærmere angivet frist.