Aneks DORA z art. 30. 12 klauzul, które podpiszesz jako dostawca ICT
Bank przysłał aneks DORA do umowy? Rozkładamy art. 30 rozporządzenia 2022/2554 na 12 klauzul, które w nim znajdziesz, i podpowiadamy, co jest do negocjacji, a co trzeba mieć gotowe przed podpisem.
No to dostałeś aneks. Kilkanaście stron, nagłówek “w związku z rozporządzeniem DORA”, a w środku zdania w stylu “Dostawca zapewnia nieograniczone prawo dostępu, kontroli i audytu”. Termin na podpis… oczywiście na wczoraj.
Spokojnie. Prawie wszystko w takim aneksie wynika z jednego przepisu, art. 30 rozporządzenia (UE) 2022/2554. Jak go rozłożysz na części, zostaje 12 klauzul. Każdą da się zrozumieć, część da się negocjować, a do każdej trzeba mieć coś w firmie, żeby nie podpisać pustej obietnicy.
TL;DR
- Art. 30 ust. 2 DORA to minimum dla każdej umowy na usługi ICT z podmiotem finansowym; ust. 3 dokłada wymagania, gdy Twoja usługa wspiera funkcję krytyczną lub istotną
- Po zsumowaniu i połączeniu punktów, które się pokrywają, wychodzi 12 klauzul aneksu
- Do negocjacji są koszty, terminy, sposób prowadzenia audytu i długość okresu przejściowego; samej obecności klauzul nie wynegocjujesz, bo bank ma je z rozporządzenia
- Każda klauzula wymaga dokumentu albo procesu po Twojej stronie: SLA, procedury incydentów, BCP, rejestru podwykonawców, planu wyjścia
Skąd się bierze aneks DORA
Aneks DORA to przełożenie art. 30 na Twoją umowę. Adresatem rozporządzenia jest bank, ale art. 30 mówi wprost, co musi być w umowie z zewnętrznym dostawcą usług ICT. Bank nie ma wyboru, więc przysyła aneks.
Art. 30 ust. 1 wymaga, żeby prawa i obowiązki stron były wyraźnie przypisane i spisane, a cała umowa, razem z gwarantowanymi poziomami usług, była w jednym dokumencie pisemnym albo w trwałym, dostępnym formacie do pobrania. Dlatego aneks często zbiera w jednym miejscu rzeczy rozrzucone wcześniej po mailach, regulaminie i załącznikach.
Dalej są dwa poziomy. Ust. 2 obowiązuje każdą umowę na usługi ICT, nawet jeśli robisz dla banku tylko wewnętrzną aplikację do grafiku. Ust. 3 dochodzi, gdy usługa wspiera funkcję krytyczną lub istotną. O tym, czy wspiera, decyduje bank, nie Ty… i warto zapytać o to wprost, bo od tej odpowiedzi zależy połowa aneksu.
Klauzule z ust. 2, czyli minimum dla każdej umowy ICT
1. Opis usług i zasady podwykonawstwa
Art. 30 ust. 2 lit. a wymaga jasnego i kompletnego opisu wszystkich funkcji i usług ICT. Do tego informacji, czy wolno Ci podzlecić usługę wspierającą funkcję krytyczną lub istotną (albo jej istotne części), a jeśli tak, to na jakich warunkach.
W praktyce to koniec opisów typu “usługi IT według potrzeb”. Bank musi wpisać Twoją usługę do rejestru informacji, więc opis ma być konkretny: co, w jakim zakresie, na jakiej infrastrukturze. Przy podwykonawstwie dochodzi rozporządzenie delegowane (UE) 2025/532, które określa, co bank musi ocenić, zanim zgodzi się na podwykonawcę.
Tu przyda Ci się rejestr podwykonawców. Chmura, zewnętrzny SOC, freelancer z dostępem do produkcji… jeśli uczestniczą w świadczeniu usługi, bank chce o nich wiedzieć.
2. Lokalizacje usług i danych
Lit. b to miejsca, czyli regiony lub kraje, w których świadczysz usługi i przetwarzasz dane, łącznie z miejscem przechowywania. Plus obowiązek uprzedzenia banku z wyprzedzeniem, jeśli planujesz te lokalizacje zmienić.
Brzmi prosto, dopóki ktoś w zespole nie przeniesie backupów do innego regionu chmury, bo był tańszy. Taka zmiana, zrobiona bez uprzedzenia klienta, łamie aneks. Potrzebujesz mapy: usługa, środowisko, region, kopie zapasowe, podwykonawca.
Negocjować możesz to, jak wcześnie uprzedzasz i jakim kanałem. Samego obowiązku nie wynegocjujesz.
3. Ochrona danych
Lit. c wymaga postanowień o dostępności, autentyczności, integralności i poufności danych, w tym danych osobowych. To jest klauzula, w której bank zwykle odsyła do swoich wymagań bezpieczeństwa albo dokłada załącznik z listą środków technicznych.
Jeśli przetwarzasz dane osobowe w imieniu banku, ta klauzula idzie w parze z umową powierzenia z RODO. Dobrze, gdy obie się nie gryzą… czyli ten sam opis środków bezpieczeństwa, te same lokalizacje, ta sama lista podwykonawców. O pułapkach umów powierzenia pisaliśmy w tekście umowa powierzenia przetwarzania.
4. Poziomy usług (SLA)
Lit. e wymaga opisu gwarantowanych poziomów usług, łącznie z ich aktualizacjami i zmianami. Przy funkcji krytycznej lub istotnej ust. 3 lit. a idzie dalej: pełne opisy SLA z dokładnymi celami ilościowymi i jakościowymi, tak żeby bank mógł skutecznie monitorować usługę i bez zbędnej zwłoki reagować, gdy SLA nie jest dotrzymane.
Czyli “dokładamy wszelkich starań” to skansen. Bank potrzebuje liczb: dostępność, czas reakcji, czas przywrócenia, sposób pomiaru, raport. I procedury, co się dzieje, gdy liczby nie wychodzą.
Tu jest pole do negocjacji, i to spore. Wartości SLA, okna serwisowe, sposób liczenia dostępności, kary umowne… to wszystko ustalacie. Wpisz tylko to, co Twój zespół realnie dowiezie i zmierzy.
5. Pomoc przy incydencie ICT
Lit. f to obowiązek pomocy bankowi, gdy wystąpi incydent związany z ICT dotyczący Twojej usługi. Bez dodatkowych opłat albo za opłatą określoną z góry (ex ante).
To jedna z najważniejszych decyzji w całym aneksie. Bank często wpisuje domyślnie wariant “bez dodatkowych opłat”, a rozporządzenie wprost dopuszcza drugi. Jeśli Twoja pomoc przy incydencie to realne godziny pracy seniorów, zaproponuj stawkę ustaloną w umowie.
Do tego dochodzi terminowe powiadamianie. Konkretnych godzin art. 30 nie podaje, ustala je bank, bo sam ma krótkie terminy zgłoszeń do KNF. Ponoć najczęstszy błąd dostawców to zgoda na termin, którego zespół nie dotrzyma w weekend. Procedura incydentowa z dyżurem i rejestrem incydentów to tu absolutne minimum.
6. Współpraca z KNF i organami restrukturyzacji
Lit. g zobowiązuje Cię do pełnej współpracy z właściwymi organami banku i organami przymusowej restrukturyzacji, w tym z osobami przez nie wyznaczonymi. W Polsce właściwym organem dla DORA jest KNF, a organem przymusowej restrukturyzacji banków jest BFG.
Tej klauzuli nie wynegocjujesz i nie ma sensu próbować. Za to możesz ustalić, kto po Twojej stronie jest kontaktem i jak bank uprzedza o takich czynnościach. Lepiej mieć jedną osobę z ogarem niż pięć, które odbijają piłeczkę.
7. Wypowiedzenie i obowiązki informacyjne
Lit. h wymaga praw do wypowiedzenia umowy i minimalnych okresów wypowiedzenia, zgodnie z oczekiwaniami właściwych organów i organów ds. restrukturyzacji i uporządkowanej likwidacji. Do tego art. 28 ust. 7 DORA każe bankowi zapewnić, że może wypowiedzieć umowę między innymi przy poważnym naruszeniu przepisów lub umowy przez dostawcę, przy słabościach w jego zarządzaniu ryzykiem ICT albo gdy nadzór nie może już skutecznie nadzorować banku przez warunki tej umowy.
Przy funkcji krytycznej lub istotnej ust. 3 lit. b dokłada okresy wypowiedzenia i obowiązki sprawozdawcze dostawcy. W tym powiadamianie o każdej zmianie, która może istotnie wpłynąć na Twoją zdolność do świadczenia usługi zgodnie z SLA. Przejęcie firmy, odejście kluczowego zespołu, zmiana dostawcy chmury… bank chce wiedzieć wcześniej, nie z LinkedIna.
Podstaw wypowiedzenia z art. 28 ust. 7 nie usuniesz. Możesz za to negocjować własne prawo wypowiedzenia i sensowny okres, w którym bank płaci za usługę po wypowiedzeniu.
8. Udział w szkoleniach banku
Lit. i to warunki Twojego udziału w programach świadomości bezpieczeństwa ICT i szkoleniach z operacyjnej odporności cyfrowej, które organizuje bank (w powiązaniu z art. 13 ust. 6). Bank w stosownych przypadkach obejmuje dostawców swoimi szkoleniami, a umowa ma określić warunki.
Do ustalenia jest kto, jak często, ile godzin i czy ten czas jest płatny. Prowadź rejestr szkoleń, bo przy audycie bank zapyta, kto z Twojego zespołu je przeszedł.
Klauzule z ust. 3, gdy wspierasz funkcję krytyczną lub istotną
9. Plany ciągłości działania i środki bezpieczeństwa ICT
Ust. 3 lit. c wymaga, żeby dostawca wdrażał i testował plany awaryjne oraz miał środki, narzędzia i polityki bezpieczeństwa ICT zapewniające odpowiedni poziom bezpieczeństwa usług, zgodny z ramami regulacyjnymi banku.
Słowo klucz to “testował”. Plan ciągłości działania, którego nikt nie przećwiczył, w aneksie jest wart tyle, co kartka. Potrzebujesz BCP, polityki kopii zapasowych i zapisu z testu odtworzenia, z datą i wynikiem.
Bank może też dołączyć listę swoich wymagań bezpieczeństwa. Przeczytaj ją przed podpisem, punkt po punkcie, i zaznacz, czego nie spełniasz. Lepiej powiedzieć to teraz z planem dojścia niż wyjść na tym przy audycie.
10. Udział w testach TLPT
Ust. 3 lit. d to obowiązek udziału i pełnej współpracy w testach penetracyjnych opartych na analizie zagrożeń (TLPT) banku, o których mowa w art. 26 i 27. TLPT nie robi każdy bank, tylko podmioty wskazane przez nadzór, ale klauzula i tak trafia do umowy.
Jeśli Twoja usługa jest w zakresie TLPT, testerzy mogą atakować także Twoją część. Ustal z góry, jak wygląda koordynacja, kto ma kontakt w trakcie testu, kto ponosi koszty po Twojej stronie i jak chronicie innych klientów na tej samej infrastrukturze.
11. Prawo dostępu, kontroli i audytu
Ust. 3 lit. e to klauzula, która straszy najbardziej. Bank ma mieć prawo monitorowania Twojej usługi na bieżąco, w tym nieograniczone prawa dostępu, kontroli i audytu (dla siebie, wyznaczonej osoby trzeciej i właściwego organu) oraz prawo do kopii odnośnej dokumentacji na miejscu. Inne postanowienia umowy nie mogą tych praw utrudniać ani ograniczać.
Do tego obowiązek pełnej współpracy przy kontrolach na miejscu, także ze strony nadzoru, oraz określenie zakresu, procedur i częstotliwości kontroli i audytów. I tu jest Twoje pole manewru: uprzedzenie, harmonogram, osoba do kontaktu, zasady poufności.
Ważny jest punkt (ii). Rozporządzenie daje prawo do uzgodnienia alternatywnych poziomów zapewnienia, gdy audyt naruszałby prawa innych klientów. Przy usłudze współdzielonej, typowym SaaS, to argument za raportami z audytów zewnętrznych, certyfikatami i audytami zbiorczymi zamiast dziesięciu ekip w serwerowni.
Wyjątek dotyczy tylko sytuacji, gdy to bank, ubezpieczyciel czy inny podmiot finansowy jest mikroprzedsiębiorstwem. Wtedy strony mogą przekazać prawa audytu niezależnej osobie trzeciej wyznaczonej przez dostawcę. Twoja wielkość nie ma tu znaczenia.
12. Zwrot danych i strategia wyjścia
Ust. 2 lit. d wymaga postanowień o dostępie, odzyskaniu i zwrocie danych osobowych i nieosobowych w łatwo dostępnym formacie, jeśli zbankrutujesz, zakończysz działalność albo umowa zostanie wypowiedziana. To dotyczy każdej umowy ICT.
Przy funkcji krytycznej lub istotnej ust. 3 lit. f dokłada strategie wyjścia z obowiązkowym, odpowiednim okresem przejściowym. W tym czasie dalej świadczysz usługę, a bank migruje do innego dostawcy albo do siebie, stosownie do złożoności usługi.
Negocjujesz długość okresu przejściowego, stawki w tym okresie, format eksportu danych i zakres pomocy przy migracji. Nie negocjujesz tego, że bank ma mieć realną drogę wyjścia. Dobrze opisany plan wyjścia to zresztą argument handlowy, bo pokazuje, że nie trzymasz klienta zakładnikiem.
Co jest do negocjacji, a co nie
Samej obecności klauzul z art. 30 nie wynegocjujesz. Bank ma je z rozporządzenia i za ich brak odpowiada przed KNF. Jeśli w rozmowie usłyszysz “nie możemy tego wykreślić”, to zwykle prawda.
Negocjować możesz parametry. Koszt pomocy przy incydencie (art. 30 dopuszcza opłatę ustaloną z góry), wartości SLA, terminy powiadomień, tryb audytu i alternatywne formy zapewnienia, długość okresu przejściowego i stawki w tym okresie, warunki szkoleń. Art. 30 ust. 4 zachęca też strony, żeby rozważyły standardowe klauzule umowne opracowane przez organy publiczne… jeśli bank z nich korzysta, rozmowa bywa krótsza.
Druga rzecz to pytanie o klasyfikację. Jeśli Twoja usługa nie wspiera funkcji krytycznej ani istotnej, klauzule 9 do 11 i część klauzul 4, 7 i 12 nie muszą trafić do Twojej umowy. Zapytaj bank wprost, jak Cię sklasyfikował. Ponoć zdarzają się aneksy z pełnym ust. 3 dla firmy, która drukuje ulotki :D
Co mieć gotowe, zanim podpiszesz
Każda z dwunastu klauzul to zobowiązanie. Żeby było czym je wykonać, potrzebujesz kilku dokumentów i rejestrów, a nie pełnego ISMS z certyfikatem. Opis usług i rejestr podwykonawców z lokalizacjami pokrywa klauzule 1 i 2. Polityka bezpieczeństwa ICT pokrywa 3 i część 9.
Procedura incydentowa z rejestrem incydentów pokrywa 5. Opis SLA z metodą pomiaru pokrywa 4. BCP z polityką kopii zapasowych i zapisem z testu odtworzenia pokrywa 9. Rejestr szkoleń i testów pokrywa 8 i 10, a plan wyjścia z opisem eksportu danych pokrywa 12.
Jak to wszystko masz, aneks przestaje straszyć. Czytasz klauzulę, sprawdzasz dokument, podpisujesz albo negocjujesz parametr. I pozamiatane.
Nie wiesz, gdzie masz luki? Zrób bezpłatną analizę luk DORA, ma osobną sekcję dla dostawców usług ICT i od razu pokazuje, czego brakuje. Tabelę “pytanie z ankiety banku i dokument, który je pokrywa” znajdziesz na stronie DORA dla dostawców ICT, razem z bezpłatną próbką pakietu Dostawca DORA Start (pełna mapa ankiety banku i rejestr podwykonawców). O samej ankiecie due diligence pisaliśmy w tekście Bank przysłał ankietę DORA: co musisz mieć. Gotową, edytowalną dokumentację DORA z procedurami, rejestrami i planem wyjścia znajdziesz w pakiecie Dokumentacja DORA.
Źródła
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA), art. 30 (najważniejsze postanowienia umowne), art. 28 ust. 7, art. 13 ust. 6, art. 26 i 27
- Rozporządzenie delegowane Komisji (UE) 2025/532 (elementy, które podmiot finansowy musi określić i ocenić, zlecając podwykonawstwo usług ICT wspierających krytyczne lub istotne funkcje)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2956 (standardowe wzory rejestru informacji)
Ten tekst opisuje przepisy i praktykę rynkową, nie jest poradą prawną dla konkretnej umowy. Przy dużym kontrakcie aneks warto przejrzeć z prawnikiem, który zna DORA.
Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.