Er DORA-exitplan blev prissatt, inte planerad. I januari försvinner priset.

Om fem månader lagstiftas den faktura som gjorde molnexit otänkbar till noll, och med den försvinner den mest uthålliga ursäkten inom hantering av tredjepartsrisk. DORA har krävt exitstrategier för IKT-tjänster som stöder kritiska eller viktiga funktioner ända sedan förordningen började tillämpas. De flesta banker skrev sådana. Betydligt färre kostnadsberäknade dem, och ännu färre övade dem, eftersom det ärliga svaret på frågan ”vad skulle det krävas för att lämna?” innehöll en utträdesfaktura som ingen ville lägga fram för en kostnadskommitté. Från den 12 januari 2027 avskaffar EU:s dataförordning avgifterna för byte av leverantör helt och hållet, inklusive datautträde. Det gör inte migreringen enkel. Det undanröjer det enda hindret som kunde beskrivas som oöverstigligt utan att någon behövde pröva om det var det — och när den kommersiella barriären är borta återstår en ingenjörsfråga som en tillsynsmyndighet har rätt att se besvarad.

Sammanfattning för ledningen

Ett datum, inte en färdriktning. Avgifterna för byte upphör den 12 januari 2027. Den lagstadgade rätten att byta, och att få tekniskt bistånd med det, har gällt sedan den 12 september 2025.

Det är ursäkten som dras tillbaka, inte svårigheten. Prissättningen av datautträde var aldrig det enda skälet till att exitplanerna förblev teoretiska. Det var skälet som inte krävde att någon erkände ett arkitektoniskt problem.

DORA bad redan om mer än ett dokument. Artikel 28.8 kräver exitstrategier som är heltäckande, dokumenterade och tillräckligt testade, samt regelbundet översedda.

Tillsynsfrågan byter form. Inte ”har ni en exitplan?” utan ”ni sa att kostnaden var begränsningen — den är borta, så visa oss övningen.”

Vad som faktiskt förändras den 12 januari 2027

Dataförordningen är förordning (EU) 2023/2854. Dess bestämmelser om byte av leverantör har införts stegvis, och stegen är värda att ange exakt eftersom sluttillståndet är ovanligt kategoriskt.

Sedan den 12 september 2025 har kunder till databehandlingstjänster som omfattas en lagstadgad rätt att byta leverantör, och leverantörerna är skyldiga att bidra med tekniskt samarbete så att överföringen fungerar i praktiken snarare än att bara tillåtas i princip.

Sedan förordningen trädde i kraft har en övergångsordning satt tak för vad leverantörer får ta betalt. Under det fönstret fick avgifterna för byte och datautträde inte överstiga de kostnader som leverantören faktiskt ådrog sig och som var direkt kopplade till det aktuella bytet. Ingen marginal, ingen strategisk prissättning.

Från den 12 januari 2027 förbjuds avgifter för byte helt, enligt bestämmelsen om gradvis avveckling i artikel 29. Det inkluderar avgifter för datautträde — den prissättning per gigabyte som gjort merparten av arbetet med att få exitkalkyler att se oöverkomliga ut.

Tre konsekvenser följer omedelbart, och bara en av dem handlar om pengar.

Det kommersiella argumentet för att stanna förlorar en post som ofta bar en betydande retorisk börda. Avtalsvillkor som utformats kring en avgiftsordning som inte kommer att finnas behöver ses över. Och den analytiska frågan förskjuts från vad skulle detta kosta till vad skulle detta kräva, vilket är en betydligt svårare fråga att lämna obesvarad i ett styrelseunderlag.

Varför exitplanerna stannade på papperet

Det är värt att vara rättvis här. Exitplaner försummades inte för att någon trodde att de var oviktiga. De förblev teoretiska för att ett verkligt test var dyrt på ett sätt som var lätt att kvantifiera och svårt att motivera.

Att flytta ut en betydande arbetslast från en hyperskalare innebar att betala för att flytta data, att bygga upp parallell kapacitet och att bära kostnaden för att driva två miljöer under en övergång. Posten för datautträde var den som en finansdirektör kunde se, och den var pålitligt den post som avslutade samtalet. Det gjorde den till ett ovanligt bekvämt hinder: det sköt upp programmet utan att kräva att någon sa att arkitekturen var problemet.

Under ytan gjorde tre svårare begränsningar det verkliga arbetet, och ingen av dem påverkas av dataförordningen.

Hanterade tjänster är inte flyttbara till sin natur. En arbetslast byggd på en leverantörs hanterade databas, dess identitetsmodell, dess händelsebuss och dess serverlösa körmiljö är inte en arbetslast som flyttas. Det är en arbetslast som skrivs om. Flyttbarheten byttes bort medvetet, oftast av goda skäl som hastighet och driftskostnad, och notan för den bytesaffären anges i ingenjörskvartal snarare än i euro per gigabyte.

Datagravitationen överlever dataöverföringen. Analysmiljön, funktionslagren, revisionsarkiven och allt som vuxit upp omkring dem flyttar inte rent ens när det är gratis att flytta själva data.

Ingen har övat det. En plan som aldrig har genomförts är en hypotes. DORA:s upphovsmän förstod uppenbarligen detta, vilket är skälet till att artikel 28.8 inte stannar vid att kräva en plan.

Tabell 1: vad dataförordningen tar bort och inte tar bort

Hinder för exit	Borttaget den 12 januari 2027?
Avgifter för datautträde och byte	Ja — förbjudna helt
Avtalsvillkor byggda kring dessa avgifter	Nej — de behöver omförhandlas
Koppling till hanterade tjänster	Nej — omarkitektur, inte överföring
Datagravitation i analysmiljön	Nej
Avsaknad av en övad övergång	Nej — det är arbetet

Den högra kolumnen är poängen. En rad förändras, och det är den rad som fått stå för alla de andra.

Vad DORA faktiskt kräver

Den skyldighet som avtäcks här är inte ny, och den är mer krävande än den ofta behandlas som.

Artikel 28.8 kräver att finansiella entiteter inför exitstrategier för IKT-tjänster som stöder kritiska eller viktiga funktioner. Strategierna måste ta hänsyn till leverantörens fallissemang, försämrad tjänstekvalitet, verksamhetsstörningar till följd av bristfällig leverans och väsentliga risker för tjänstens kontinuerliga tillhandahållande. Planerna måste vara heltäckande, dokumenterade och — formuleringen som betyder något — tillräckligt testade och regelbundet översedda.

”Tillräckligt testade” var alltid den svåra bestämmelsen. Ett dokument som beskriver en migrering är inget bevis för att migreringen är möjlig inom ett acceptabelt tidsfönster. Tillsynsförväntningen tar sikte på förmågan, inte på artefakten.

I två år har kostnaden varit skälet till att testkravet i praktiken förblev ouppfyllt. Det var ett skäl en tillsynsmyndighet kunde höra utan att omedelbart eskalera, eftersom det var sant och mätbart. Från januari upphör det att vara tillgängligt, och kvar står svaret på en fråga som aldrig haft ett bra sådant: hur lång tid skulle detta faktiskt ta, och hur vet ni det?

Avtalsarbetet ingen har schemalagt

Den närliggande leveransen är oglamorös och tidsavgränsad, vilket är en sällsynt kombination på detta område.

Molnavtal som skrivits under de senaste åren innehåller ekonomiska villkor för byte och datautträde som det kommer att vara olagligt att ta betalt för. Vissa innehåller uppsägningstider, biståndsskyldigheter och villkor för återlämnande av data som kalibrerats för en värld där kunden förväntades betala för förmånen. Dessa klausuler rättar inte sig själva den 12 januari 2027; de blir helt enkelt villkor som inte kan verkställas som de är skrivna, liggande kvar i avtal som fortfarande styr allt annat.

Det ger ett avgränsat arbete med en naturlig tidsfrist: identifiera de berörda avtalen, fastställa vilka villkor som sätts ur spel och foga in korrigeringarna vid nästa förnyelse i stället för att upptäcka avvikelsen under en incident.

Tabell 2: vad som bör fastställas före förnyelsecykeln

Fråga	Varför den avgör er exponering
Vilka avtal prissätter byte eller datautträde?	De villkoren blir omöjliga att verkställa; resten av avtalet gör det inte
Vilket bistånd är leverantören faktiskt skyldig att ge?	Den lagstadgade skyldigheten har gällt sedan september 2025
Vilket är målfönstret för exit för varje kritisk eller viktig funktion?	”Tillräckligt testad” behöver ett tal att testas mot
Har någon exit övats från början till slut, om än i mindre skala?	En plan som aldrig körts är en hypotes
Vad skulle behöva skrivas om i stället för att flyttas?	Skiljer ett överföringsproblem från ett arkitekturproblem
Vem äger exitförmågan mellan testerna?	Exitberedskapen förfaller tyst medan miljön utvecklas

Frågan detta blottlägger

Det finns en obekväm möjlighet värd att sätta ord på, eftersom januaridatumet kommer att tvinga fram den.

Om byte är gratis och exit ändå inte är trovärdigt, då var kostnaden aldrig den bindande begränsningen. Den bindande begränsningen var koncentration — en kritisk funktion placerad hos en leverantör som den i praktiken inte kan lämna, vilket är precis det tillstånd som DORA:s tredjepartsregim finns till för att blottlägga, och skälet till att kritiska IKT-tredjepartsleverantörer över huvud taget utses och står under tillsyn.

Det är inget argument för att ta hem arbetslaster. Molnet förblir rätt svar för det mesta som banker driver, och en illa genomförd exit är värre än ett välskött beroende. Det är ett argument för att veta vilken av de två situationerna ni befinner er i, och att kunna påvisa det. Institutet som kan säga ”vi testade en delvis exit av den här tjänsten, det tog elva veckor, här är vad som gick sönder” befinner sig i ett väsentligt annorlunda tillsynssamtal än det som producerar ett fyrtiosidigt dokument och en uppskattning.

Regleringen har tagit bort ursäkten. Den har inte tagit bort problemet, och det var den aldrig tänkt att göra.

Handlingsplanen

Fem steg, och det första är inte en avtalsgenomgång.

Välj en kritisk eller viktig funktion och kostnadsberäkna exiten ärligt — nu, till de gamla priserna. Ni vill ha talet medan datautträde fortfarande har ett pris, eftersom det säger hur mycket av er tvekan som någonsin var ekonomisk. Ofta är svaret: mindre än alla antog.
Öva en delvis exit. Inte hela miljön. En tjänst, ett beroende, en återställning till en andra leverantör eller ett lokalt fotavtryck, med klockan igång. Resultatet är en varaktighet och en felförteckning, vilket är vad ”tillräckligt testad” efterfrågar.
Inventera de villkor som dör i januari. Avgifter för byte, prissättning av datautträde, biståndsskyldigheter kalibrerade efter dem. Foga in korrigeringar i förnyelsecykeln i stället för att av tröghet låta overkställbara klausuler stå kvar.
Skilj överföring från omskrivning, per arbetslast. Två kolumner. Vad som skulle kunna flyttas givet gratis datautträde, och vad som skulle behöva byggas om. Den andra kolumnen är er verkliga exithorisont, och det är talet styrelsen aldrig har fått.
Ge förmågan en ägare mellan testerna. Exitberedskap är en egenskap hos den nuvarande arkitekturen, inte ett dokument med ett översynsdatum. Utan en namngiven ägare försämras den tyst med varje sprint som lägger till ett hanterat beroende.

Regulatorisk lättnad kommer vanligtvis som något som tas bort. Denna tar bort ett tal som fått stå för ett argument. De institut som kommer att se sämst ut 2027 är inte de som fortfarande sitter hos en enda leverantör — det kommer de flesta att göra. Det är de som ägnat två år åt att berätta för tillsynsmyndigheter att kostnaden var hindret, och inte har något att säga i januari när den inte är det.

Vanliga frågor

Innebär detta att molnexit blir enkelt?
Nej. Det blir fritt från avgifter för byte, vilket är ett annat påstående. Dataförordningen tar bort överföringskostnaden; den gör inte en arbetslast byggd på hanterade tjänster flyttbar. Det förblir en omarkitektur, och den mäts i ingenjörskvartal snarare än i euro.

Vad exakt förbjuds från den 12 januari 2027?
Avgifter för byte, inklusive avgifter för datautträde. Under övergångsperioden fick leverantörer endast täcka de kostnader som var direkt kopplade till bytesprocessen, utan påslag; från det datumet får de inte ta betalt alls.

Har inte något redan gällt?
Jo. Sedan den 12 september 2025 har kunder haft en lagstadgad rätt att byta leverantör och att få tekniskt samarbete vid överföringen av sina data. Januaridatumet stänger specifikt avgiftsfrågan.

Var kommer DORA in i bilden?
Artikel 28.8 kräver exitstrategier för IKT-tjänster som stöder kritiska eller viktiga funktioner, och kräver att de är heltäckande, dokumenterade, tillräckligt testade och regelbundet översedda. Kostnaden har varit det praktiska skälet till att testledet förblev ouppfyllt. Det skälet upphör.

Vi använder en hyperskalare och tänker stanna där. Gäller något av detta?
Ja, och rimligen i högre grad. Skyldigheten är att ha en testad exitförmåga, inte att utöva den. Att stanna är ett beslut; att inte kunna lämna är en koncentrationsrisk, och efter januari kan ni inte längre skylla det andra på priset för datautträde.

Vad är det enskilt mest användbara att göra detta kvartal?
Öva en delvis exit av en kritisk eller viktig funktion och registrera hur lång tid det tog och vad som fallerade. Den artefakten besvarar tillsynsfrågan, dimensionerar det verkliga problemet och är värd mer än hur mycket ytterligare planering som helst.

Referenser

Europaparlamentet och Europeiska unionens råd, 2023. Förordning (EU) 2023/2854 om harmoniserade regler för skälig åtkomst till och användning av data (dataförordningen). Bryssel: Europeiska unionens officiella tidning. Tillgänglig på: Europaparlamentet och Europeiska unionens råd, 2023..
Europeiska kommissionen, 2026. Dataförordningen förklarad. Bryssel: Generaldirektoratet för kommunikationsnät, innehåll och teknik. Tillgänglig på: Europeiska kommissionen, 2026..
Europaparlamentet och Europeiska unionens råd, 2022. Förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn (DORA). Bryssel: Europeiska unionens officiella tidning. Tillgänglig på: Europaparlamentet och Europeiska unionens råd, 2022..
Europeiska bankmyndigheten, 2025. Riktlinjer för utkontraktering. Paris: Europeiska bankmyndigheten. Tillgänglig på: Europeiska bankmyndigheten, 2025..

Senast granskad 2026-08-18.

Återpublicera den här artikeln

Er DORA-exitplan blev prissatt, inte planerad. I januari försvinner priset. — Sebastien Rousseau

Från den 12 januari 2027 avskaffas avgifterna för byte av molnleverantör, datautträde inkluderat. Med dem upphör kostnadsargumentet som höll DORA-exitplanerna teoretiska.

Den här artikeln är licensierad under Creative Commons Attribution 4.0 International. Återpublicering kräver attribution till den kanoniska URL:en.

Er DORA-exitplan blev prissatt, inte planerad. I januari försvinner priset. — Sebastien Rousseau

Från den 12 januari 2027 avskaffas avgifterna för byte av molnleverantör, datautträde inkluderat. Med dem upphör kostnadsargumentet som höll DORA-exitplanerna teoretiska.

Originally published at https://sebastienrousseau.com/sv/2026-08-04-data-act-cloud-switching-dora-exit-strategies-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER