Varnost, ki jo banke in zavarovalnice pričakujejo od vaše programske rešitve

Zakaj je varnost postala prodajno vprašanje

DORA (Uredba (EU) 2022/2554) od 17. januarja 2025 ureja digitalno operativno odpornost finančnega sektorja. Čeprav so neposredno zavezane finančne institucije, se zahteve prenesejo na njihove dobavitelje prek pogodb, evidence tretjih strank in nadzora. Banka tako od vas ne bo zahtevala le, da je storitev varna, ampak tudi, da znate dokazati, kako jo upravljate.

NIS2 (Direktiva (EU) 2022/2555) in v Sloveniji ZInfV-1 (Uradni list RS, št. 40/2025) krepita upravljanje dobavne verige. Vaši kupci morajo ocenjevati dobavitelje in od njih zahtevati ustrezna varnostna zagotovila. Enterprise nabava hkrati pritiska na ISO 27001 ali SOC 2, pri AI funkcijah pa se pojavljajo vprašanja o obdelavi podatkov, modelih in odgovornosti.

To ni pravno svetovanje. Namen pregleda je, da poiščemo vrzeli in prioritete, ne da bi nadomestili odvetnika ali pooblaščeno osebo za varstvo podatkov.

Šest izhodišč — izberite svoj izziv

Če vas blokira banka, začnite pri DORA. Če enterprise nabava zahteva certifikat, pri ISO 27001 ali SOC 2. Če potrebujete hitro oceno stanja, pri varnostnem pregledu. Za NIS2 vprašalnike in AI funkcije sta na voljo ločeni poti.

Kako poteka pilotni pregled

Pilotni program je namenjen hitremu testu, ne celovitemu svetovalnemu projektu. Najprej opravimo 20-minutni pogovor, na katerem opredelimo kupca, fazo prodaje in največjo skrb. Nato vam pošljemo kratek seznam vprašanj in dokumentov, ki jih potrebujemo za prvi pregled.

V naslednjem koraku pripravimo karto vrzeli in prioritet: kaj kupec verjetno zahteva, kaj že imate, kaj manjka in kaj je mogoče zapreti brez velikega projekta. Če se odločite za izvedbo, se pogovorimo o obsegu in ceni; če ne, dokumentacija ostane pri vas.

1. 1. 20-minutni pogovorKdo je kupec, kje v prodajnem procesu ste in kateri vprašalnik ali pogodbeni člen vas blokira.
2. 2. Prvi pregledPregledamo obstoječe odgovore, politike, arhitekturo in dokaze. Manjkajoče označimo jasno, brez ugibanja.
3. 3. Karta prioritetDobite seznam ukrepov z oceno truda in vpliva na prodajo. Brez zavezujočega obsega in brez skritih stroškov.

Kaj prejmete

• Karto vrzeli med zahtevami kupca in vašim trenutnim stanjem.
• Seznam dokazil, ki jih lahko zberete brez dodatnega orodja.
• Predlog pogodbenih in varnostnih odgovorov, ki jih lahko pregleda vaš pravnik.
• Prioritete glede na prodajni vpliv, ne glede na to, kaj je najlažje dokumentirati.
• Jasno ločnico med tem, kar lahko naredimo mi, in tem, kar mora prevzeti vaša ekipa ali zunanji pravnik.

Za koga je namenjeno

Pregled je zasnovan za CEO, CTO in vodje produktov v programskih podjetjih, ki prodajajo v Sloveniji in širši regiji CEE. Najbolj koristi takrat, ko je v igri konkretna prodaja ali ko kupec pošlje vprašalnik, na katerega ekipa ne zna odgovoriti brez ugibanja.

Ni namenjen podjetjem, ki iščejo potrditev, da so že skladna. Če je vaš cilj certifikat, boste potrebovali certificiranje pri akreditiranem organu; mi lahko pomagamo pri pripravi, ne moremo pa izdati certifikata.

Kje se pogosto zatakne

• Na vprašalnik odgovarjate z marketinškim jezikom, kupec pa potrebuje dokaz in odgovorno osebo.
• Podizvajalci in gostovanje niso popisani, zato se vsako vprašanje o dobavni verigi ustavi.
• Politike obstajajo, evidence pa ne; ali obratno.
• AI funkcije so opisane kot "uporabljamo ChatGPT", brez podatkovnega toka, omejitev in odgovornosti.
• Pogodba obljublja več, kot ekipa zmore izvajati v realnem času.