Det skriver Finanstilsynet fredag i en inspektionsredegørelse af Nets.

Redegørelsen kommer blandt andet på baggrund af to større nedbrud hos Nets i juli 2025 og i maj i år.

- Finanstilsynet vurderer, at Nets har mangler på væsentlige områder inden for instituttets styring af IT-risici, IT-beredskab og IT-tredjepartsrisici.

Netop på de tre områder får Nets påbud om at "sikre styringen".

- Disse forhold indebærer en forhøjet IT-risiko. Finanstilsynet har derfor givet Nets en række påbud om at sikre en tilstrækkelig styring af områderne, lyder det i redegørelsen.

Nets udbyder betalingsløsninger og står i Danmark blandt andet bag dankortet og betalinger med Visa og Mastercard.

Selskabet tager med egne vendinger "kritikken til efterretning".

- Vi har på baggrund af hændelserne i juli 2025 og maj 2026 arbejdet målrettet med en række forbedringstiltag med henblik på at styrke robusthed, processer og organisering i forhold til kritiske hændelser, herunder styrkelse af kommunikationen til myndigheder, medier, kunder og offentlighed, udtaler Nets i en skriftlig kommentar.

19. juli sidste år oplevede Nets et større nedbrud på grund af en teknisk fejl. Nedbruddet betød, at der var problemer med betalinger og transaktioner i omkring tre timer.

21. maj tidligere i år var Nets igen ramt af et stort nedbrud.

Problemerne opstod om morgenen og stod på i flere timer. Det betød, at størstedelen af kortbetalingerne blev afvist, og at butikker derfor var tvunget til at iværksætte deres nødplaner med offlinebetalinger.

Det gjaldt blandt andet dagligvarekoncerner som Salling Group og Coop, ligesom landets apoteker aktiverede en lignende løsning.

- Gennemgangen af de to hændelser har afdækket system- og procesmæssige mangler, skriver Finanstilsynet.

Ifølge tilsynet udfører Nets ikke tilstrækkelige tests af beredskabsplaner. Det kan medføre en risiko for, at Nets i tilfælde af nedbrud ikke er i stand til at "opretholde kritiske forretningsfunktioner", lyder det.

Inspektionen er sket med henblik på at undersøge, om den såkaldte Dora-forordning og dens retningslinjer overholdes. EU-forordningen omhandler digital modstandsdygtighed i den finansielle sektor.

RITZAU