Kaj DORA prinaša v pogodbe
Člen 28 določa splošna načela upravljanja tveganj v zvezi s tretjimi stranmi. Člen 29 obravnava koncentracijsko tveganje, člen 30 pa ključne pogodbene določbe. V praksi to pomeni, da mora banka v pogodbi opredeliti storitev, raven storitve, lokacije obdelave, varnostne ukrepe, poročanje o incidentih, pravice do pregleda in izhodno strategijo. Pogodba brez teh elementov bo verjetno predmet dodatnih vprašanj in ne bo ustrezala notranjim zahtevam banke.
Tipični elementi, ki jih kupci iščejo, so: jasen opis storitve in podprtih procesov, dogovorjena raven storitve in kazalniki, obveznost obveščanja o incidentih v dogovorjenih rokih, pravica do revizije ali neodvisnega zagotovila, pravila za podizvajalce, obveznost sodelovanja s pristojnimi organi, način vrnitve podatkov in prehoda k drugemu izvajalcu ter razlogi za prekinitev.
Pomembno je, da se pogodba in dejansko stanje ujemata. Če pogodba obljublja revizijske pravice, ekipa pa nima pripravljenih dokazil, bo prvi pregled kupca razkril vrzel.
- Opis storitve, podatkovnih tokov in lokacij obdelave.
- Raven storitve, razpoložljivost in način poročanja.
- Varnostni ukrepi in odgovornosti za njihovo izvajanje.
- Obveščanje o incidentih in podpora pri odzivu.
- Pravice do pregleda, revizije ali neodvisnega zagotovila.
- Pogoji za podizvajalce in spremembe storitve.
- Izhodna strategija, vračilo podatkov in prehod.
Dokazila, ki jih banke res preverijo
Vprašalnik se običajno začne s splošnimi vprašanji o organizaciji, nato pa preide na konkretne dokaze. Kupec želi videti, da imate lastnika, postopek in dokaz — ne samo izjavo, da je storitev varna.
Med pogostejša dokazila sodijo register dobaviteljev in podizvajalcev, opis arhitekture in podatkovnih tokov, politike dostopa in upravljanja identitet, načrt neprekinjenega poslovanja in okrevanja, povzetek zadnjih varnostnih pregledov ali testiranj, postopek obravnave incidentov ter seznam odgovornih oseb. Banka lahko zahteva tudi dokaz o neodvisnem zagotovilu, na primer ISO 27001 ali SOC 2, vendar to ni edini možen dokaz in ni vedno pogoj za začetek sodelovanja.
Pomembno je, da so dokazila aktualna in da so povezana s storitvijo, ki jo prodajate. Splošna korporativna politika brez povezave z vašo aplikacijo kupcu ne pomaga veliko.
Kje dobavitelji najpogosteje obstanejo
Najpogostejša ovira ni pomanjkanje orodij, ampak pomanjkanje povezave med pogodbo, arhitekturo in dokazili. Ekipe imajo politike v dokumentih, ne morejo pa pokazati, kdo jih izvaja in kako se spremembe nadzorujejo.
Druga pogosta ovira so podizvajalci. Gostovanje, oblačne storitve, zunanji razvoj ali specializirani modeli so del dobavne verige, tudi če niso omenjeni v prodajnem gradivu. Kupec bo zahteval seznam in oceno tveganja.
Tretja ovira je izhodna strategija. Banka želi vedeti, kaj se zgodi ob prekinitvi: kako vrnete podatke, kako dolgo jih hranite in kako pomagate pri prehodu. Če tega nimate opisanega, lahko pogovor zastane tudi pri sicer dobri rešitvi.
Praktičen pristop: najprej pogodba, nato dokazi
V prvih 30 dneh se osredotočite na eno prodajno priložnost in eno pogodbo. Popišite, katere člene kupec zahteva, in označite, kaj že imate. V naslednjih 60 dneh zberite dokazila za tiste elemente, ki so najbolj verjetno predmet pregleda: dostop, incidenti, podizvajalci in izhod. V 90 dneh preverite, ali se pogodba, arhitektura in dejanski postopki ujemajo.
Ne poskušajte naenkrat postati skladni z vsem. Bolje je imeti pošteno karto vrzeli in jasen načrt kot zbirko dokumentov, ki jih nihče ne vzdržuje.
- 1. Pogodbeni zemljevidOznačite člene 28–30, ki se nanašajo na vašo storitev, in določite lastnika za vsak odgovor.
- 2. Dokazni paketZa vsako trditev poiščite dokaz: politiko, konfiguracijo, zapis, poročilo ali odgovorno osebo.
- 3. Preizkus pred kupcemSimulirajte vprašalnik banke in preverite, ali so odgovori razumljivi, aktualni in skladni s pogodbo.
Kaj naredimo v pilotnem pregledu
Na 20-minutnem pogovoru ugotovimo, ali gre za novo prodajo, obstoječo pogodbo ali ponovni pregled. Nato pregledamo razpoložljiva dokazila in pripravimo karto prioritet. Ne izdajamo certifikatov in ne nadomeščamo pravnega pregleda, lahko pa vam pomagamo, da se pogovor z banko začne z jasnimi odgovori.
Pogosta vprašanja
Ali DORA neposredno velja za naše programsko podjetje?
DORA neposredno zavezuje finančne institucije, ne vseh njihovih dobaviteljev. Vendar se zahteve prenesejo prek pogodb, evidence tretjih strank in nadzora. Nekateri kritični ICT dobavitelji so lahko tudi predmet posebnega nadzora. Za konkretno presojo se posvetujte s pravnikom.
Katere člene DORA moramo poznati pri pogodbah?
Za dobavitelje so najbolj neposredno pomembni členi 28–30: splošna načela upravljanja tveganj tretjih strani, koncentracijsko tveganje in ključne pogodbene določbe. Ti členi določajo okvir, podrobnosti pa se pogosto razlikujejo glede na vrsto storitve in zahteve kupca.
Ali moramo imeti ISO 27001, da lahko prodajamo banki?
Ne nujno. ISO 27001 je lahko močan dokaz, vendar DORA ne določa, da mora vsak dobavitelj imeti certifikat. Banka lahko zahteva druga dokazila ali neodvisno oceno. Pomembneje je, da so varnostni ukrepi vzpostavljeni in dokazljivi.
Kako obravnavamo podizvajalce?
Podizvajalce je treba popisati, oceniti in vključiti v pogodbene in varnostne odgovore. Kupec mora vedeti, kdo obdeluje podatke, kje in pod kakšnimi pogoji. Če podizvajalec ni dokumentiran, je odgovor na vprašalnik nepopoln.
Ali nam lahko pomagate pri odgovoru na konkretni vprašalnik banke?
Da. Pregledamo vprašalnik, povežemo vprašanja z vašimi dokazili in pripravimo osnutek odgovorov ter seznam manjkajočih dokazov. Končno pravno in pogodbeno potrditev naj opravi vaš pravnik.
Viri in pravna podlaga
To ni pravno svetovanje. Pred podpisom pogodb ali spreminjanjem skladnosti preverite zahteve z odvetnikom oziroma pooblaščeno osebo za varstvo podatkov.