Защо клиентът изведнъж не подлежи на договаряне
Обичайната реакция при получаване на анекса е, че отсрещният правен отдел се презастрахова. В повечето случаи не е така.
Чл. 28, параграф 1, буква а) от DORA казва, че финансовият субект остава изцяло отговорен за спазването на регламента, включително за услугите, които е възложил на вас. Той не може да прехвърли отговорността. Може само да си осигури договорно средствата да я изпълни — и точно това правят клаузите.
Чл. 30 отива по-нататък и изброява поименно какво договорът трябва да съдържа. Формулировката е „съдържат най-малко следните елементи“. Няма праг за размер на доставчика, няма изключение за малки договори. Ако вашият клиент подпише договор за ИКТ услуга без тези елементи, при следващата проверка надзорният орган ще констатира несъответствие у него, не у вас.
Задължителните елементи ограничават преговорите. Практическото им прилагане остава за договаряне: обхватът, доказателствата, нивата на услугата и цената трябва да работят за страните в правните граници.
Разликата между двете е цялата ви позиция в преговорите.
Кои клаузи са в закона и кои са предпочитание на клиента
Чл. 30, параграф 2 от DORA съдържа девет минимални договорни елемента. Таблицата е списък за преговори, а не заместител на правния текст и конкретния договор.
| Елемент | Разпоредба | Практическа подготовка |
|---|---|---|
| Описание на функциите и ИКТ услугите, включително съответните условия за подизпълнение | 30(2)(a) | Поддържайте описание на услугите и ред за промени |
| Места на услугите и обработването, включително съхранение, с предварително уведомяване за промени | 30(2)(b) | Установете държавите или регионите според изискването и проверете подизпълнителите |
| Наличност, автентичност, цялостност и поверителност на данните | 30(2)(c) | Опишете мерките и доказването им |
| Достъп, възстановяване и връщане на данните в посочените случаи на прекъсване или прекратяване | 30(2)(d) | Изпитайте използваем експорт и възстановяване |
| Описания на нивата на услугата, включително актуализации | 30(2)(e) | Уговорете измерими ангажименти |
| Съдействие при ИКТ инцидент, свързан с услугата | 30(2)(f) | Уговорете липса на допълнителна цена или предварително определена цена |
| Сътрудничество с компетентните органи и органите за преструктуриране | 30(2)(g) | Определете контакти и процедура |
| Права за прекратяване и съответни минимални предизвестия | 30(2)(h) | Проверете ефекта върху непрекъснатостта и изхода |
| Условия за участие в осведомеността по сигурност и обучението по цифрова устойчивост | 30(2)(i) | Уговорете условия за участие и отговорности |
За услуги, поддържащи критични или важни функции, чл. 30, параграф 3 добавя цели за услугата, докладване и предизвестия, изпитани планове за непрекъснатост и мерки за сигурност, съдействие при TLPT, права на достъп/проверка/одит и изход с преходен период. Клаузата за изпитани планове сама не предписва универсален годишен тест на доставчика.
Задължителният предмет не може просто да се изтрие. Прилагането, доказателствата, предизвестието и цената могат да изискват преговори в правните граници. Алтернативното ниво на гаранции по чл. 30(3)(e)(ii) е условно, особено когато са засегнати права на други клиенти; сертификат не заменя автоматично всички права на одит.
„Критична или важна функция“ е думата, която определя половината договор
Финансовият субект определя критичните или важни функции по критериите на чл. 3, т. 22 и документирана оценка. Попитайте коя функция поддържа услугата ви и защо е класифицирана така.
Чл. 30, параграф 3 добавя изисквания за тези услуги. Ако услугата не поддържа такава функция, добавките не са автоматично задължителни по този параграф. Клиентът може въпреки това да предложи сходни условия по рискови или търговски причини. Разграничавайте законовия минимум от предлагания договорен ангажимент.
За клиенти микропредприятия чл. 30, параграф 3 допуска възлагане на права за достъп, проверка и одит на независима трета страна, определена от доставчика, със запазено право на финансовия субект да поиска информация и гаранции за изпълнението. Това е условна подредба, а не общо премахване на клиентския надзор.
Какво ще поискат извън договора
Анексът е само първата част. Успоредно с него обикновено пристигат три неща.
Въпросник за сигурност, често на няколко стотин реда. Как да го посрещнете, без да го препишете наново за всеки клиент, е отделна тема, разгледана в статията как да отговорите на въпросник за сигурност от клиент.
Данни за регистъра на информацията. Финансовият субект е длъжен по чл. 28, параграф 3 от DORA да води регистър на всички договорни споразумения за ИКТ услуги. Регламент за изпълнение (ЕС) 2024/2956 определя образците и изисква доставчиците да бъдат идентифицирани с валиден LEI или EUID. Ще поискат от вас идентификатора, точните локации, веригата от подизпълнители и датите. Какво съдържа този регистър и защо въпросите изглеждат толкова специфични е описано в статията за регистъра на информацията по DORA.
Доказателства. Не декларации — записи. Резултат от тест, дата, обхват, кой го е извършил. Разликата между декларирана и проверена мярка е практическата разлика между отговор, който минава, и отговор, който поражда още десет въпроса.
Какво да направите първо
- Свържете всяка клауза със законово изискване или конкретно искане на клиента. Обсъдете работещо прилагане и на двете.
- Поискайте писмено поддържаната функция и класификацията ѝ.
- Уговорете съдействието при инцидент и ценовия механизъм предварително.
- Изпитайте експорта и връщането на данни, включително формат, който клиентът използва.
- Подредете актуалните доказателства чрез ръководството за въпросници; адаптирайте обхвата и поверителността за всеки клиент.
- Потвърдете нужния идентификатор за регистъра. Доставчици юридически лица, установени в ЕС, могат да се идентифицират с валиден активен LEI или EUID по приложимите правила; за юридически лица извън ЕС се изисква LEI. Физическите лица използват предвидените други идентификатори. Не купувайте LEI само защото някой е приел, че това е единствената възможност.
Ръководството за доказателства по DORA свързва договорното обещание със записа, който показва изпълнението.
Границата: договорно задължение не е пряко правно задължение
Доставка за финансов субект сама по себе си не превръща доставчика във финансов субект по DORA. Клиентът запазва отговорностите си и осигурява нужните ангажименти чрез договора. Определянето като критичен доставчик на ИКТ води до отделната рамка за надзор по DORA; не го смесвайте с клиентската класификация на една функция като критична.
Доставчикът може да има преки задължения по NIS2, GDPR или друго право поради собствената си дейност и обстоятелства. Оценете ги отделно. Вижте NIS2 в България и съпоставката DORA/NIS2.
Търговският аргумент
Ако водите преговори с финансов субект, скоростта на отговора ви е конкурентно предимство, не административен разход. Договорите се бавят месеци, защото доставчикът не може да покаже къде се обработват данните, кой е подизпълнител и кога за последно е тестван планът за възстановяване. Доставчик, който отговаря на това за седмица, печели работата от доставчик, който отговаря за три месеца.
Поддържана библиотека с доказателства намалява повторната работа. Всеки нов клиент все пак изисква проверка на обхвата, актуални записи и преглед на допълнителните условия.
Ако анексът вече е на бюрото ви, Evidence Sprint подрежда точно тези доказателства в пакет, който можете да изпратите на клиента и да преизползвате при следващия.
Бележка. Това е обща информация, а не правен съвет. Приложимостта зависи от конкретния субект, дейността, лиценза, размера, груповата структура и националното прилагане.