Rozporządzenie Parlamentu Europejskiego i Rady 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego1 wprowadza pojęcie dostawcy usług ICT. To firma, która świadczy kompleksową pomoc informatyczną dla podmiotów rynku finansowego – w tym banków, zakładów ubezpieczeń, KIP, MIP. Jak zabezpieczyć interesy swojej organizacji szukając do współpracy ekspertów z branży IT?
W tym artykule przeczytasz o:
- Elementach, które muszą znaleźć się w umowie z dostawcą ICT.
- Kontaktach ICT obejmujących krytyczne lub istotne funkcji organizacji.
- Dobrych praktykach w zakresie umów z dostawcami ICT.
Czy korzystanie z usług zewnętrznych dostawców ICT jest obowiązkowe?
Nie, unijny ustawodawca nie zmusza przedsiębiorców do zlecania obsługi ICT na zewnątrz. Firma może zdecydować o utworzeniu własnego zespołu ICT, zarówno wewnątrz organizacji, jak i wewnątrz grupy kapitałowej. Jeśli jednak decydujesz się korzystać z zewnętrznych usług ICT, należy zadbać o spełnienie wymagań określonych w rozporządzeniu DORA.
Jak konstruować umowy z zewnętrznymi dostawcami ICT?
Umowa o współpracę między podmiotem rynku finansowego a dostawcą usług ICT musi być zawarta na piśmie lub w dokumencie w innym formacie umożliwiającym pobieranie, zapewniającym trwałość i dostęp. Całość warunków współpracy powinna być uregulowana w jednym dokumencie. Treść kontraktu podlega zasadzie swobody umów z zastrzeżeniem, że należy zamieścić w niej postanowienia wskazane w art. 30 DORA.
Potrzebujesz wsparcia we współpracy z firmą IT? Sprawdź nasze doświadczenie: https://rpms.pl/it-nowe-technologie/.
Klauzula o gwarantowanym poziomie usług
Klauzula SLA (Service Level Agreement) określa minimalny poziom usług, jaki strony uznają za akceptowalny. To zabezpieczenie dla obu stron umowy. Zamawiający wie, czego może oczekiwać od wykonawcy. Z kolei Wykonawca może skutecznie bronić się przed zarzutem niewłaściwego wykonania zobowiązani. Przykładowymi parametrami regulowanymi w klauzulach SLA są:
- Uptime/Downtime – dostępność systemów informatycznych,
- Przepustowość – ilość danych, jakie system może przetworzyć w określonej jednostce czasu,
- Czas reakcji – czas niezbędny do podjęcia działań po otrzymaniu zgłoszenia (np. o ataku hakerskim),
- Czas rozwiązania – maksymalny czas niezbędny do rozwiązania problemu.
Decydując się na podpisanie umowy SLA należy z wyprzedzeniem zweryfikować możliwości informatyczne dostawcy ICT.
Opis wszystkich funkcji i usług ICT
W umowie z dostawcami ICT należy w sposób kompleksowy i niebudzący wątpliwości przedstawić zakres usług i funkcji realizowanych przez dostawcę. Dodatkowo trzeba wskazać, czy w zakresie funkcji krytycznych lub istotnych dopuszczalne jest podwykonawstwo i na jakich zasadach może być realizowane. W szczególności warto zwrócić uwagę na zasady akceptacji podwykonawcy i ocenę jego możliwości technologicznych.
Miejsce świadczenia usług i przetwarzania danych
Kolejnym istotnym elementem umowy jest określenie miejsc (regionów lub krajów) oraz w jakich mają być przetwarzane dane. Ma to decydujące znaczenie dla firm działających na skalę międzynarodową, ponieważ możliwe jest korzystanie z usług kilku dostawców ICT.
Warto zwrócić uwagę na to, czy na obszarze przetwarzania danych obowiązują przepisy dotyczące ochrony danych osobowych. To może być RODO, CCPA, PDPL, APPI lub inny zbliżony reżim prawny. Ostrożność trzeba zachować w przypadku lokalizacji serwerów w państwach o ograniczonej ochronie danych osobowych (np. Rosja lub Chiny).
Zarządzanie danymi (w tym danymi osobowymi)
Rozporządzenie DORA nakazuje wprowadzić do umowy postanowienia dotyczące dostępności, autentyczności, integralności i poufności w związku z ochroną danych, w tym danych osobowych. Na co warto zwrócić uwagę w tym przypadku:
- kto i na jakich zasadach ma dostęp do danych,
- kiedy i w jaki sposób dane mogą być modyfikowane lub usuwane,
- w jaki sposób dostawca ICT zapewnia poufność danych (np. zasady szyfrowania, dwuskładnikowa autoryzacja, tworzenie kopii zapasowych).
Ważne!
Uwagę należy zwrócić przede wszystkim na ochronę wrażliwych danych osobowych. Mogą się one pojawić np. w zakładach ubezpieczeń – dane dotyczące stanu zdrowia.
Dodatkowo umowa powinna przewidywać możliwość dostępu, odzyskiwania i zwrotu w łatwo dostępnym formacie danych osobowych i nieosobowych przetwarzanych przez podmiot finansowy w przypadku niewypłacalności lub rozwiązania zewnętrznego dostawcy usług ICT lub zaprzestania przez niego działalności gospodarczej lub w przypadku wypowiedzenia ustaleń umownych.
Obsługa incydentu
W umowie należy wskazać zasady pomocy przez dostawcę usług ICT na rzecz usługodawcy w przypadku wystąpienia incydentu. Takie wsparcie może być realizowane bezpłatnie lub po uiszczeniu opłaty określonej z wyprzedzeniem.
Zasady współpracy
Kontrakt powinien przewidywać obowiązek zewnętrznego dostawcy usług ICT do pełnej współpracy z właściwymi organami oraz organami przymusowej restrukturyzacji podmiotu finansowego. Taka współpraca może polegać na wymianie informacji, dobrych praktyk, udostępnianiu dokumentacji. Jest to niezbędne, aby świadczenie usług ICT przebiegała w sposób niezakłócony.
Prawo do wypowiedzenia i rozwiązania umowy
Umowa z dostawcą ICT powinna przewidywać możliwość wypowiedzenia kontraktu przez każdą ze stron. Należy wskazać terminy wypowiedzenia oraz przesłanki, których spełnienie umożliwia rozwiązanie umowy bez wcześniejszego wypowiedzenia.
Dla bezpieczeństwa podmiotu rynku finansowego warto zadbać, aby okres wypowiedzenia był na tyle długi, aby możliwe było znalezienie kolejnego dostawcy usług ICT. Przykładowymi przesłankami pozwalającymi na rozwiązanie umowy mogą być np. naruszenie poufności lub integralności danych osobowych albo uchybienie parametrom umowy SLA przez kolejne 2 miesiące.
Partycypacja dostawcy ICT w programach zwiększania świadomości
Artykuł 13 ust. 6 DORA przewiduje obowiązek dbania o zwiększanie świadomości wszystkich pracowników oraz kadry kierowniczej wyższego szczebla. W tych szkoleniach aktywny udział bierze dostawca ICT. Poziom złożoności szkolenia powinien być współmierny do funkcji pełnionych przez dane osoby.
Umowa z dostawcami ICT w zakresie usług krytycznych lub istotnych – niezbędne elementy
Ustawodawca wprowadza znacznie dalej idące wymagania względem umów ICT, jeśli dotyczą one funkcji krytycznych albo istotnych dla podmiotu rynku finansowego. W tym przypadku niezależnie od ogólnych wymagań dla umów z dostawcami ICT należy zadbać, aby zawierały one także inne elementy wymienione w art. 30 ust. 2 DORA.
Zadbaj z nami o bezpieczeństwo swojej organizacji. Powierz nam przygotowanie umowy o obsługę ICT: https://rpms.pl/umowy-it/
Zasady określania parametrów SLA
Przede wszystkim w umowie powinny znaleźć się pełne opisy gwarantowanych poziomów usług, w tym ich aktualizacje i zmiany, wraz z dokładnymi ilościowymi i jakościowymi celami. Dzięki temu organizacja jest w stanie skutecznie monitorować świadczenie usług przez dostawcę ICT, a także niezwłocznie podejmować działania naprawcze w przypadku nieosiągnięcia uzgodnionych gwarantowanych poziomów usług.
Obowiązki sprawozdawcze
W umowie powinny znaleźć się obowiązki sprawozdawcze dostawców usługi ICT. Takie raporty mogą dotyczyć np. liczby wykrytych incydentów. Warto zobowiązać dostawcę do powiadamiania o każdej zmianie, która może mieć istotny wpływ na zdolność skutecznego wykonywania usług ICT. Istotną zmianą może być zmiana oprogramowania do wykrywania IPS/IDS albo wymiana serwerów.
Zasady wyjścia ze współpracy
Dla podmiotu rynku finansowego niezbędna jest ciągłość usługi. Dlatego zakończenie współpracy powinno zapewniać kontynuację działań ICT przez czas niezbędny do migracji do innego dostawcy albo przejście na rozwiązania wewnętrzne.
Testy bezpieczeństwa
Dostawca usług ICT jest zobowiązany do wdrażania i testowania planów awaryjnych w związku z prowadzoną działalnością oraz posiadania środków, narzędzi i polityk. Takie wewnętrzne procedury muszą być zgodne z wymaganiami regulacyjnymi podmiotu finansowego. Dodatkowo dostawca ICT powinien brać udział w testach bezpieczeństwa, w tym testach z udziałem ethical hackers (TLPT).
Umowy z dostawcami ICT zgodne z DORA – jak możemy Ci pomóc?
Kancelaria Prawna RPMS zapewnia kompleksowe wsparcie w zakresie obsługi umów ICT DORA.
- Opiniujemy i przygotowujemy kontrakty ICT.
- Negocjujemy warunki współpracy z dostawcą usług IT.
- Analizujemy możliwości techniczne dostawcy ICT.
- Zapewniamy bieżącą pomoc w ocenie realizacji SLA, obowiązków sprawozdawczych, procedur wyjścia.
Potrzebujesz szybkiej porady prawnej? Napisz do nas na adres kancelaria@rpms.pl lub zadzwoń pod numer telefonu 61 307 09 91
1https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng
Pytania i odpowiedzi – FAQ
Co powinien rozważyć podmiot finansowy przed zleceniem obsługi ICT?
Szczególną uwagę należy zwrócić na to, czy umowa dotyczy funkcji krytycznych albo istotnych, czy spełnione zostały wszystkie wymagania dotyczące treści umowy oraz na konflikt interesów.
Na czym polega prawo do kontroli dostawcy ICT w przypadku powierzenia obsługi krytycznych funkcji organizacji?
Zgodnie z art. 30 ust. 2 lit. e DORA zamawiający ma możliwość m.in. nieograniczonego prawa dostępu, kontroli i audytu przez podmiot finansowy lub wyznaczoną osobę trzecią oraz przez organ właściwy (np. kancelarię prawną) i obowiązek zewnętrznego dostawcy usług ICT do pełnej współpracy podczas kontroli i audytów.