Smlouva s dodavatelem IT po NIS2: bezpečnostní ustanovení, SLA a hlášení incidentů

Smlouva s dodavatelem IT po NIS2 nemůže zůstat jen u prohlášení o souladu, obecného bezpečnostního ustanovení a měsíčního ukazatele dostupnosti. Rizika spojená se službou musí převést do jasného rozdělení odpovědností, měřitelných úrovní poskytování služby, rychlého předávání informací o incidentech, dostupnosti důkazů a proveditelného plánu ukončení spolupráce. Východiskem je kritičnost služby a skutečné rozdělení kontroly mezi oběma stranami. Teprve na tomto základě lze určit, jaká bezpečnostní opatření, lhůty, ověřovací oprávnění a oznamovací povinnosti mají být ve smlouvě upraveny.

Smlouva jako nástroj řízení rizik

Revize smluv by neměla začínat převzetím vzorové bezpečnostní doložky, ale zmapováním závislostí organizace na dodavatelích. U každého dodavatele je třeba určit podporované služby, procesy, systémy, data a lokality a následně posoudit dopady nedostupnosti nebo narušení bezpečnosti. Přednostně se analyzují závislosti, jejichž výpadek může zastavit provoz, omezit plnění závazků nebo zkomplikovat řešení incidentu. Každá IT služba proto nepotřebuje stejnou úroveň smluvního zajištění.

Klasifikace kritičnosti dodavatele má vycházet z analýzy dopadů na činnost organizace a z hodnocení rizik, nikoli pouze z hodnoty smlouvy. Zvláštní pozornost vyžadují služby, u nichž podnik odpovídá za kontinuitu a zvládání incidentů, zatímco dodavatel kontroluje technické informace, protokoly událostí, zálohy nebo prostředí nezbytné pro obnovu služby. Organizace musí současně určit vlastníka rizika spojeného s dodavatelem. Bez této role zůstává odpovědnost roztříštěná mezi nákup, IT, informační bezpečnost a vlastníka procesu.

Obsah smlouvy je vhodné navrhovat podle scénářů narušení: výpadku služby, útoku, ztráty nebo poškození dat, nedostupnosti pracovníků dodavatele, přerušení řetězce subdodavatelů a ukončení spolupráce. Pro každý scénář je nutné stanovit kroky obou stran, rozsah odpovědnosti, tok informací a podmínky obnovy. Z těchto rozhodnutí následně vycházejí úrovně dostupnosti, doby reakce a obnovy, rozsah požadované dokumentace i oprávnění k ověřování.

Prohlášení o zajištění vysoké dostupnosti neurčuje, jak dlouho může být nedostupný systém řízení výroby, od kterého okamžiku se počítá odstávka ani kdo poskytne údaje potřebné k posouzení incidentu. Nezaručuje ani přístup ke kopiím protokolů událostí, informacím o subdodavatelích nebo datům potřebným pro bezpečný převod služby. Tyto mezery se zpravidla projeví až při výpadku, kdy již rozdělení odpovědností nemůže zůstat implicitní.

Odkaz na NIS2 nebo příslušné požadavky KSC má završit analýzu rizik a odpovědností, nikoli nahradit provozní obsah smlouvy. Širší kontext řízení přináší materiál NIS2 pro výrobní společnosti: na koho se vztahuje, jaké povinnosti zavádí a jak připravit organizaci bez omezení tématu pouze na IT. Rozsah smluvních změn je vždy nutné přizpůsobit roli organizace, kritičnosti služby a skutečnému rozdělení kontroly mezi stranami.

Rozsah služby a rozdělení odpovědností

Rozdělení povinností je třeba popsat v technické příloze, nikoli je ponechat pouze v obecné definici předmětu smlouvy. Příloha by měla vymezit podporovaná aktiva a prostředí, druhy dat, místa zpracování a poskytování služby, rozhraní, dobu dostupnosti podpory a výluky. Bez těchto informací nelze jednoznačně určit, kde končí odpovědnost dodavatele, jaká událost spouští měření SLA ani kdo zabezpečuje prvky na rozhraní systémů.

Bezpečnostní opatření je účelné formulovat prostřednictvím požadovaného výsledku, odpovědné strany a důkazu o provedení. Technologické podrobnosti mohou zůstat v řízené technické dokumentaci, čímž se sníží riziko rychlého zastarání smlouvy. Standardní katalog opatření dodavatele lze přijmout až po porovnání s riziky konkrétní služby a odstranění zjištěných mezer. Matice odpovědností má rozlišovat vlastníka opatření, jeho realizátora a subjekt oprávněný schvalovat výjimky.

Pokud prostředí spravuje dodavatel, musí smlouva upravovat také privilegovaný přístup: oddělení povinností, způsob autentizace, evidenci administrátorských činností a neprodlené odebrání oprávnění při změně role nebo ukončení spolupráce. Pouhé prohlášení o provádění záloh nestačí, pokud zákazník neví, kdo zálohy šifruje, kde jsou uloženy, kdo je může obnovit a jaký dokument potvrzuje výsledek testu obnovy.

Dodavatel by měl vést aktuální seznam subdodavatelů ovlivňujících službu, včetně popisu jejich rolí a míst zpracování, a přenést na ně požadavky alespoň ve stejném rozsahu, jaký byl dohodnut se zákazníkem. Smlouva musí určit, které změny vyžadují předchozí souhlas a u kterých postačí oznámení a nové posouzení rizik. Certifikace systému managementu může toto hodnocení podpořit, nenahrazuje však odpovědnosti stanovené pro konkrétní službu. Tuto souvislost rozvádí materiál NIS2 a CSN EN ISO 27001: co přináší certifikát a co stále chybí ke shodě s KSC.

Ověřitelná bezpečnostní ustanovení

Bezpečnostní ustanovení je skutečně vymahatelné a hodnotitelné teprve tehdy, když stanoví očekávaný výsledek, rozsah použití, četnost činnosti, způsob doložení plnění a postup pro řízení výjimek. Formulace „v souladu s nejlepší praxí“ nebo „s náležitou péčí“ mohou požadavky doplňovat, ale samy neumožňují posoudit, zda dodavatel závazek řádně splnil. U každého opatření je nutné určit vlastníka požadavku, dobu uchování důkazů a stranu oprávněnou schválit výjimku.

Takto nastavené požadavky mají zahrnovat přinejmenším řízení zranitelností a aktualizací, udržování bezpečné konfigurace, šifrování, ochranu a uchovávání protokolů událostí, zálohování, testy obnovy, řízení změn a řízení přístupu. Četnost přezkoumání oprávnění, testů obnovy a reportingu i lhůty pro odstranění zranitelností musí vycházet z hodnocení rizik konkrétní služby. Neměly by být stejné pro všechny dodavatele.

Každou výjimku je třeba zaznamenat do evidence spolu s odůvodněním, termínem odstranění, vlastníkem rizika a náhradními opatřeními. Při jejím schválení je nutné posoudit, zda náhradní opatření skutečně snižují riziko na úroveň akceptovanou organizací.

Ustanovení o pravidelném zálohování zůstává neúplné, pokud neurčuje data a systémy zahrnuté do zálohy, dobu uchování, ochranu proti změně nebo odstranění, pravidla přístupu ani četnost testů obnovy. Musí také stanovit, jak dodavatel hlásí neúspěšnou zálohu nebo test obnovy, kdo schvaluje nápravná opatření a jaký výstup potvrzuje jejich uzavření. Obdobně musí povinnost odstraňovat zranitelnosti určit způsob klasifikace, lhůty reakce podle míry rizika, pravidla odkladu aktualizací a dokumentování dočasných opatření.

Důkazy je vhodné rozdělit na pravidelně předávané a poskytované na vyžádání. Do první skupiny mohou patřit souhrny zranitelností, zprávy o aktualizacích, výsledky testů obnovy a potvrzení o přezkoumání přístupů. Po incidentu, významné změně nebo zjištění odchylky mohou být potřebné podrobné výsledky testů, protokoly událostí, historie změn, evidence výjimek a plán nápravných opatření. Rozsah, vlastníky a dobu uchování těchto podkladů je vhodné propojit s pravidly uvedenými v materiálu Dokumentace NIS2 a KSC před kontrolou: které politiky, evidence a důkazy je skutečně nutné mít.

Právo na ověřování má být odstupňované a prakticky proveditelné také u cloudového dodavatele. První úroveň může zahrnovat přezkoumání dokumentace a vysvětlující jednání, další úroveň nezávislé zprávy nebo sjednané testy. Audit na místě lze vyhradit pro zvýšené riziko, závažný incident nebo nedostatek věrohodných důkazů. Smlouva má upravovat lhůty, důvěrnost, technický rozsah a způsob vypořádání zjištění, aniž by zákazníkovi přiznávala oprávnění, která nelze ve sdíleném prostředí reálně uplatnit.

SLA pro odolnost, nikoli pouze pro dostupnost

SLA má vycházet z analýzy dopadů na činnost, nikoli z katalogu standardních parametrů dodavatele. Vlastník procesu nejprve stanoví tolerovanou dobu přerušení, přípustnou ztrátu dat a dopady nedostupnosti na výrobu, obsluhu zákazníků, vypořádání a právní povinnosti. Teprve poté lze odvodit cíle doby obnovy, požadavky na náhradní službu a nouzový režim i priority hlášení. Měsíční ukazatel dostupnosti neodpovídá na otázku, zda jediný výpadek v kritickém okamžiku nezastaví proces na dobu delší, než je organizace schopna přijmout.

Vedle dostupnosti má smlouva stanovit dobu potvrzení hlášení, zahájení diagnostiky, obnovení funkce a odstranění příčiny, stejně jako četnost průběžných informací, úrovně eskalace a režim práce mimo běžnou pracovní dobu. Doba reakce není dobou obnovy a spuštění náhradního řešení neznamená úplné odstranění problému. Oddělení těchto pojmů umožní provoznímu týmu určit, kdy může znovu pracovat, a vlastníkovi služby, kdy dodavatel dokončí analýzu příčin a zavede trvalé nápravné opatření.

U systému řídícího výrobní proces může kritický incident vyžadovat okamžitou eskalaci a nepřetržitou komunikaci až do spuštění nouzového režimu. Stejná porucha ve školicím prostředí může mít nižší prioritu. Klasifikace proto musí vycházet z dopadu na činnost, nikoli pouze z technického popisu chyby. Pokud má organizace spolehlivá historická data, měla by při nastavování prahových hodnot zohlednit skutečné doby reakce a obnovy, výsledky dostupnosti a počet opakujících se výpadků.

Mechanismus měření má určit zdroj dat, časové pásmo, okamžik spuštění a zastavení časomíry, sjednanou provozní dobu služby, servisní okna a pravidla změny klasifikace incidentu. Výjimky z měření musí tvořit uzavřený a ověřitelný seznam. Nesmějí zahrnovat události spadající do odpovědnosti dodavatele. Soulad těchto ujednání se skutečnou provozní připraveností lze posoudit v rámci Auditu NIS2 ve výrobní společnosti – jak ověřit připravenost organizace na nové povinnosti.

Servisní kredity ani symbolické kompenzace neobnoví proces a neomezí dopady odstávky. Větší význam má povinnost předložit plán nápravy, eskalace na úroveň vedení, dodatečné testování odolnosti a právo ukončit smlouvu při trvalém nebo opakovaném neplnění dohodnutých úrovní. Finanční sankce může posílit odpovědnost, nenahradí však mechanismus obnovy služby, odstranění příčin a prevence dalších výpadků.

Incidenty a oznamovací povinnosti

Smlouva má dodavatele zavazovat k neprodlenému oznámení každé události, která může ovlivnit službu, data, kontinuitu provozu nebo bezpečnost zákazníka. První upozornění nesmí být podmíněno úplným potvrzením příčiny, rozsahu škody ani právní kvalifikací události. Smluvní lhůta musí obsahovat rezervu, která zákazníkovi umožní provést vlastní posouzení a případně dodržet externí oznamovací lhůty. Má vycházet z kritičnosti služby a dostupnosti kontaktního místa 24/7, nikoli z organizačního pohodlí smluvních stran.

Tok informací je třeba rozdělit na prvotní upozornění, situační aktualizace, zprávu po události a analýzu kořenových příčin. Pro každou fázi je nutné stanovit rozsah údajů, schválený komunikační kanál, adresáty, četnost aktualizací a pravidla eskalace při nedostupnosti kontaktu. První zpráva má obsahovat alespoň čas zjištění, dotčená aktiva a služby, předpokládaný dopad, přijatá opatření, dostupné technické indikátory, posouzení rizika dalšího šíření a termín příští aktualizace. Seznam kontaktů musí zahrnovat zástupce a musí být pravidelně ověřován, a to i mimo běžnou pracovní dobu.

Pokud dodavatel zjistí neobvyklý provoz v prostředí, které podporuje klíčovou aplikaci, musí zákazníka upozornit ještě předtím, než rozhodne, zda došlo k narušení. Zákazník aktivuje vlastní proces řízení incidentů, určí osobu odpovědnou za rozhodování, zapojí tým reakce na incidenty a případně také pojistitele a stanoví, kdo schvaluje externí oznámení a komunikaci se zákazníky. Dodavatel zajistí sjednané protokoly a technické stopy, podpoří analýzu, omezení dopadů a určení rozsahu události, nepřebírá však regulatorní odpovědnost zákazníka.

Ustanovení musí rovněž upravovat pravidla uchování a zpřístupnění důkazů, ochranu jejich integrity, dokumentování rozhodnutí a přípravu údajů potřebných pro oznámení a následnou analýzu kořenových příčin. Lhůty, adresáty a rozsah externích oznámení je nutné vždy ověřit podle aktuální právní úpravy, postavení organizace a povahy události. Evidence oznámení, rozhodnutí, eskalací a přijatých opatření má navazovat na materiál Dokumentace NIS2 a KSC před kontrolou: které politiky, evidence a důkazy je skutečně nutné mít; harmonogram přizpůsobení pak na materiál Zavedení NIS2 po zápisu do seznamu KSC – plán opatření do 3. dubna 2027.

Zavedení požadavků, dohled a bezpečné ukončení služby

Podpis dodatku není koncem procesu řízení dodavatele. Vlastník smlouvy musí pravidelně přezkoumávat výsledky SLA, incidenty, výjimky, nápravná opatření, změny subdodavatelů a aktuálnost důkazů o plnění požadavků. Základem dohledu je registr smluv, který obsahuje minimálně datum obnovení, vlastníka, kritičnost služby a stav sjednání bezpečnostních opatření. Prohlášení o souladu nenahrazuje zprávy, výsledky testů ani záznamy dokládající plnění povinností.

Před obnovením smlouvy nebo významnou změnou služby je nutné znovu posoudit její kritičnost, technické a procesní závislosti, koncentraci služeb u jednoho dodavatele, proveditelnost bezpečnostních opatření a možnost přechodu na náhradní řešení. Takové přezkoumání umožní rozhodnout, zda postačí dodatek, nebo je nutné nové výběrové řízení. Pokud strategický dodavatel odmítá audit nebo úpravu podmínek, organizace musí zdokumentovat mezeru a rozhodnout mezi zavedením náhradního opatření, formálním přijetím zbytkového rizika a změnou dodavatele.

Plán ukončení služby musí být proveditelný ještě před výpovědí smlouvy. Má zahrnovat vrácení a převod dat v použitelném formátu, podporu migrace, zachování kontinuity během přechodného období, odebrání přístupů, odstranění kopií a potvrzení provedení těchto kroků. Současně je třeba zachovat záznamy požadované pro právní, důkazní a auditní účely. Praktickou zkouškou je testovací obnova dat u jiného dodavatele, včetně ověření úplnosti, délky migrace a možnosti deaktivovat původní účty.

Modernizace smluvního portfolia má začít u služeb s největším dopadem na činnost organizace. Zjištěné mezery je třeba prioritizovat podle dopadu a naléhavosti. Účinnost zavedených mechanismů je vhodné ověřit při cvičení reakce na incident a auditu vzorku důkazů. Výsledky přezkoumání SLA, incidentů, výjimek, nápravných opatření a testů ukončení služby ukážou, zda požadavky fungují v praxi, nebo zůstávají pouze smluvními formulacemi.

Rozsah posouzení lze propojit s materiálem Audit NIS2 ve výrobní společnosti – jak ověřit připravenost organizace na nové povinnosti. Povinnosti organizace je přitom nutné stanovit s ohledem na její postavení, kterému se věnuje materiál Směrnice NIS2 – na koho se vztahuje a které společnosti musí splnit nové požadavky?