ŁAŃCUCH DOSTAW
KLAUZULE UMOWNE
Zarządzanie łańcuchem dostaw w ujęciu klauzul umownych
Klauzula ma nie tylko opisywać bezpieczeństwo. Ma dawać podmiotowi kluczowemu możliwość nim zarządzać.
Podmiot kluczowy nie może skutecznie zarządzać usługą, jeżeli umowa z dostawcą ogranicza się do ogólnego obowiązku „zapewnienia bezpieczeństwa”. Potrzebne są postanowienia, które przekładają wymagania UKSC na konkretne uprawnienia, obowiązki, dowody, terminy, mechanizmy eskalacji i możliwość zakończenia współpracy bez utraty kontroli nad usługą.
Jak czytać poniższe panele
Każdy panel opisuje jeden atrybut bezpieczeństwa. Zawiera cel klauzul, minimalny katalog postanowień oraz kierunkowe brzmienie, które może być podstawą do przygotowania właściwej klauzuli dla konkretnej usługi. Nie jest to gotowy wzór umowy ani porada prawna. Zakres należy dopasować do klasy usługi, architektury, modelu dostawy i wyników analizy ryzyka.
Ryzyko operacyjne ICT
Umowa powinna pozwalać zarządzać ryzykiem przez cały cykl życia usługi, a nie tylko w dniu podpisania kontraktu.
Klauzule powinny zapewnić
- opis usługi, procesu biznesowego, zależności i odpowiedzialności stron;
- klasyfikację usługi według wpływu na poufność, integralność, dostępność i ciągłość;
- obowiązek przekazywania informacji o zmianach architektury, lokalizacji, podwykonawcach i modelu świadczenia;
- identyfikację ryzyka koncentracji, zależności od jednego dostawcy i trudności migracji danych i zasobów;
- plan działań z właścicielem, terminem, priorytetem i dowodem wykonania;
- mierniki jakości i bezpieczeństwa oraz prawo do eskalacji, gdy ryzyko przekracza ustalony poziom.
Klauzula kierunkowa
Dostawca utrzymuje udokumentowany model zarządzania ryzykiem związanym z usługą, przekazuje podmiotowi kluczowemu informacje niezbędne do niezależnej oceny oraz nie wprowadza istotnej zmiany mogącej zwiększyć ryzyko bez uprzedniego poinformowania i uzgodnienia sposobu postępowania.
Zarządzanie incydentami
Dostawca musi być częścią procesu reagowania podmiotu kluczowego, a nie odrębnym źródłem informacji po fakcie.
Klauzule powinny zapewnić
- niezwłoczne zgłaszanie zdarzeń i podejrzeń, z terminem zależnym od krytyczności usługi;
- minimalny zakres zgłoszenia: czas, zakres, wpływ, przyczyna, działania ograniczające i dane kontaktowe;
- stałą współpracę przy analizie, containment, odtworzeniu, raportowaniu i działaniach korygujących;
- zachowanie logów, obrazu zdarzeń i innych dowodów przez uzgodniony okres;
- obowiązek przekazywania aktualizacji do czasu zamknięcia incydentu oraz raportu przyczyn źródłowych;
- zakaz samodzielnego informowania osób trzecich w sposób mogący utrudnić skoordynowaną reakcję, z zachowaniem obowiązków ustawowych.
Klauzula kierunkowa
Dostawca niezwłocznie informuje podmiot kluczowy o incydencie lub podejrzeniu incydentu mogącym wpłynąć na usługę, zapewnia współpracę zespołów, dostęp do niezbędnych informacji i dowodów oraz realizuje uzgodnione działania ograniczające i naprawcze aż do formalnego zakończenia obsługi.
Zarządzanie bezpieczeństwem informacji
Wymagania muszą obejmować nie tylko system, ale również ludzi, dostęp, dane, podwykonawców i sposób wykonywania zmian.
Klauzule powinny zapewnić
- stosowanie uzgodnionych zasad SZBI i kontroli adekwatnych do ryzyka usługi;
- zarządzanie tożsamością, MFA, uprawnieniami uprzywilejowanymi i dostępem administracyjnym;
- szyfrowanie, ochronę danych, ograniczenie lokalizacji i kontrolę dalszego przetwarzania;
- bezpieczne zarządzanie podatnościami, poprawkami, konfiguracją i zmianą;
- logowanie, retencję, monitorowanie i udostępnianie dowodów bez naruszania tajemnic prawnie chronionych;
- zasady dla personelu, poufność, szkolenia, weryfikację podwykonawców i prawo do audytu.
Klauzula kierunkowa
Dostawca stosuje środki techniczne i organizacyjne odpowiadające ryzyku usługi, zapewnia kontrolę dostępu i ochronę informacji, dokumentuje realizację wymagań oraz udostępnia podmiotowi kluczowemu informacje i dowody niezbędne do monitorowania bezpieczeństwa i zgodności.
Utrzymanie ciągłości działania
Ciągłość musi być mierzalna, przetestowana i powiązana z rzeczywistym poziomem świadczenia usługi kluczowej.
Klauzule powinny zapewnić
- uzgodnione parametry odtworzenia, w tym RTO, RPO, dostępność i poziom obsługi;
- BCP/DRP, kopie zapasowe, redundancję, alternatywne zasoby i zależności od podwykonawców;
- regularne testy odtworzeniowe i ćwiczenia, także dla scenariuszy utraty dostawcy;
- odrębne scenariusze dla zależności IT i OT, jeżeli usługa wspiera środowisko operacyjne;
- raportowanie wyników testów, niezgodności, działań korygujących i ryzyka rezydualnego;
- exit plan, okres przejściowy, migrację danych i zasobów, zwrot lub usunięcie danych oraz współpracę przy zmianie dostawcy.
Klauzula kierunkowa
Dostawca utrzymuje i testuje rozwiązania zapewniające ciągłość oraz odtworzenie usługi zgodnie z uzgodnionymi parametrami, przekazuje wyniki testów i niezwłocznie usuwa stwierdzone niezgodności. Po zakończeniu umowy zapewnia uporządkowane przejście do innego dostawcy albo rozwiązania wewnętrznego.
Punkt 5 · porównanie reżimów
DORA vs. UKSC: zasadnicze różnice w czterech atrybutach
To nie są dwa zamienne zestawy skrótów. DORA jest unijnym, sektorowym reżimem odporności cyfrowej dla podmiotów finansowych, natomiast UKSC jest krajowym, przekrojowym reżimem cyberbezpieczeństwa wynikającym z ustawy o krajowym systemie cyberbezpieczeństwa. W praktyce umowa z dostawcą powinna pokazywać, które obowiązki wynikają z prawa, które są wymaganiem organizacji, a które są kontrolą kontraktową pozwalającą ten obowiązek wykonać i udowodnić.
| Atrybut | DORA | UKSC | Wniosek dla klauzuli |
|---|---|---|---|
| 01 Ryzyko operacyjne ICT | Sektorowy i bardziej preskryptywny model zarządzania ryzykiem ICT. Obejmuje także zależności od zewnętrznych dostawców ICT, funkcje krytyczne lub ważne, ryzyko koncentracji, rejestr ustaleń, audyt oraz plan wyjścia. | Przekrojowe zarządzanie ryzykiem cyberbezpieczeństwa systemów i usług objętych UKSC. Bezpieczeństwo łańcucha dostaw jest jednym z wymaganych kierunków działań, a środki powinny być adekwatne do ryzyka i wpływu na usługę. | Wymagać informacji do oceny ryzyka, zgody na istotne zmiany, przejrzystości podwykonawców, kontroli koncentracji, mierników, prawa audytu i realnej ścieżki wyjścia. |
| 02 Zarządzanie incydentami | Formalny reżim obsługi i raportowania poważnych incydentów związanych z ICT w sektorze finansowym, z klasyfikacją, współpracą z organem właściwym i wymaganiem dowodów reakcji. | Obowiązek obsługi incydentów oraz realizacji ustawowych obowiązków zgłoszeniowych wobec właściwych CSIRT lub organu sektorowego. Dostawca ma dostarczyć dane, wsparcie i dowody potrzebne podmiotowi objętemu UKSC. | Zdefiniować zdarzenie i podejrzenie zdarzenia, kanał oraz czas pierwszego zgłoszenia, zakres aktualizacji, zachowanie logów, wsparcie analizy przyczyn i zakaz utrudniania skoordynowanej reakcji. |
| 03 Bezpieczeństwo informacji | Kontrole wynikają z ram zarządzania ryzykiem ICT podmiotu finansowego i są ściśle powiązane z odpornością cyfrową oraz nadzorem nad dostawcą ICT. Umowa ma wspierać dostęp, ochronę danych, logowanie, audyt i zarządzanie zmianą. | Środki bezpieczeństwa obejmują m.in. analizę ryzyka, polityki bezpieczeństwa informacji, obsługę incydentów, ciągłość działania i łańcuch dostaw. Nacisk pada na zdolność podmiotu do ochrony usługi kluczowej lub innej usługi objętej ustawą. | Ustalić minimalny poziom kontroli: IAM/MFA, uprzywilejowany dostęp, szyfrowanie, podatności i poprawki, konfigurację, monitoring, personel, podwykonawców oraz katalog dowodów bez ujawniania tajemnicy przedsiębiorstwa. |
| 04 Ciągłość działania | Odporność cyfrowa łączy prewencję, reakcję, odtworzenie, testowanie i uporządkowane wyjście. Dla dostawców ICT o znaczeniu krytycznym istnieje dodatkowy unijny wymiar nadzorczy. | Wymagane są rozwiązania ciągłości działania, kopie zapasowe, odtwarzanie po awarii i zarządzanie kryzysowe, tak aby utrzymać świadczenie usługi. Dostawca jest elementem łańcucha, ale odpowiedzialność regulacyjna pozostaje po stronie podmiotu objętego UKSC. | Wpisać RTO/RPO, dostępność, scenariusze awarii i utraty dostawcy, testy z dowodami, zależności IT/OT, wsparcie przy migracji danych i zasobów oraz okres przejściowy. |
Porównanie ma charakter syntetyczny i publiczny. Ostateczny zakres obowiązków zależy od statusu podmiotu, rodzaju usługi, jej krytyczności oraz aktualnego brzmienia przepisów i wymaga weryfikacji prawnej przed użyciem w umowie.
Postanowienia przekrojowe, których nie należy pomijać
- Prawo audytu i kontroli: dostęp do informacji, dowodów, osób i miejsc w zakresie proporcjonalnym do ryzyka.
- Podwykonawstwo: pełna widoczność łańcucha, uprzednie informowanie, sprzeciw i odpowiedzialność dostawcy za dalszych wykonawców.
- Zarządzanie zmianą: klasyfikacja zmian, ocena wpływu, testy, zatwierdzenie i możliwość wstrzymania zmiany wysokiego ryzyka.
- Egzekwowanie: terminy usunięcia niezgodności, eskalacja, plan naprawczy, konsekwencje naruszeń i przesłanki wypowiedzenia.
- Wyjście z usługi: migracja danych i zasobów, wsparcie przy zmianie dostawcy, zwrot lub usunięcie danych, okres przejściowy i zakaz uzależniania dostępu do danych od sporu handlowego.
Materiał syntetyczny, bez danych rzeczywistych i informacji poufnych. Ramy odniesienia: UKSC, NIS2, DORA, ISO 27001/27005/22301 oraz praktyka zarządzania dostawcami ICT/OT. Przed wykorzystaniem w umowie wymagane jest dostosowanie do konkretnej usługi i weryfikacja prawna.