Līgums ar IT pakalpojumu sniedzēju pēc NIS2: drošības klauzulas, SLA un incidentu ziņošana

Līgums ar IT pakalpojumu sniedzēju pēc NIS2 nedrīkst aprobežoties ar atbilstības apliecinājumu, vispārīgu drošības klauzulu un ikmēneša pieejamības rādītāju. Ar pakalpojumu saistītais risks jāpārvērš skaidrā atbildības sadalījumā, izmērāmos pakalpojuma līmeņos, operatīvā incidentu informācijas apritē, piekļuvē pierādījumiem un praktiski īstenojamā izstāšanās plānā. Sākumpunkts ir pakalpojuma kritiskums un faktiskais kontroles sadalījums starp pusēm. Tikai pēc tam var noteikt, kādi drošības pasākumi, termiņi, pārbaudes tiesības un ziņošanas pienākumi jāiekļauj līgumā.

Līgums kā riska kontroles mehānisms

Līgumu pārskatīšana jāsāk nevis ar gatavu drošības klauzulas paraugu, bet gan ar organizācijas atkarību no piegādātājiem kartējumu. Katram piegādātājam jānorāda apkalpotie pakalpojumi, procesi, sistēmas, dati un atrašanās vietas, pēc tam jānovērtē nepieejamības vai drošības pārkāpuma sekas. Vispirms analizē tās atkarības, kuru traucējumi var apturēt darbību, ierobežot saistību izpildi vai apgrūtināt incidenta pārvaldību. Tādēļ visiem IT pakalpojumiem nav nepieciešams vienāds līgumisko drošības pasākumu līmenis.

Piegādātāja kritiskuma klasifikācijai jābalstās uz darbības traucējumu ietekmes analīzi un riska novērtējumu, nevis tikai uz līguma vērtību. Īpaša uzmanība jāpievērš pakalpojumiem, par kuru nepārtrauktību un incidentu pārvaldību atbild uzņēmums, lai gan tehniskā informācija, notikumu žurnāli, rezerves kopijas vai pakalpojuma atjaunošanai nepieciešamā vide atrodas piegādātāja kontrolē. Organizācijai jāieceļ arī ar piegādātāju saistītā riska īpašnieks. Bez šīs lomas atbildība starp iepirkumu, IT, informācijas drošību un procesa īpašnieku paliek sadrumstalota.

Līguma saturs jāveido, balstoties uz traucējumu scenārijiem: pakalpojuma atteici, uzbrukumu, datu zudumu vai bojājumu, piegādātāja personāla nepieejamību, apakšuzņēmēju ķēdes pārrāvumu un sadarbības izbeigšanu. Katram scenārijam jānosaka pušu darbības, atbildības robežas, informācijas aprite un atjaunošanas nosacījumi. No šiem lēmumiem izriet pieejamības līmeņi, reaģēšanas un atjaunošanas laiki, nepieciešamās dokumentācijas apjoms un pārbaudes tiesības.

Apgalvojums par augstu pieejamību nenosaka, cik ilgi drīkst būt nepieejama ražošanas vadības sistēma, no kura brīža skaita dīkstāvi vai kura puse nodrošina incidenta izvērtēšanai nepieciešamos datus. Tas negarantē arī piekļuvi notikumu žurnālu kopijām, informācijai par apakšuzņēmējiem vai datiem, kas nepieciešami drošai pakalpojuma pārcelšanai. Šādi trūkumi parasti atklājas avārijas laikā, kad atbildības sadalījums vairs nevar palikt tikai pieņēmumu līmenī.

Atsaucei uz NIS2 vai attiecīgajām KSC prasībām jānoslēdz riska un atbildības analīze, nevis jāaizstāj līguma operatīvais saturs. Plašāks pārvaldības konteksts ir izklāstīts materiālā NIS2 ražošanas uzņēmumiem: uz ko tā attiecas, kādus pienākumus ievieš un kā sagatavot organizāciju, neaprobežojoties tikai ar IT. Līgumu izmaiņu apjoms katrā gadījumā jāpielāgo organizācijas lomai, pakalpojuma kritiskumam un faktiskajam kontroles sadalījumam starp pusēm.

Pakalpojuma tvērums un atbildības sadalījums

Pienākumu sadalījums jāapraksta tehniskajā pielikumā, nevis jāatstāj vispārīgā līguma priekšmeta definīcijā. Pielikumā jānorāda apkalpotie aktīvi un vides, datu veidi, datu apstrādes un pakalpojuma sniegšanas vietas, saskarnes, atbalsta laiks un izņēmumi. Bez šīs informācijas nav iespējams nepārprotami noteikt, kur beidzas piegādātāja atbildība, kurš notikums sāk SLA mērījumu un kura puse aizsargā elementus sistēmu saskares punktos.

Drošības pasākumus ieteicams definēt, norādot sagaidāmo rezultātu, atbildīgo pusi un izpildes pierādījumu, bet tehnoloģiskās detaļas iekļaujot kontrolētā tehniskajā dokumentācijā. Tas mazina risku, ka līgums ātri kļūs novecojis. Piegādātāja standarta drošības pasākumu katalogu var pieņemt tikai pēc tā salīdzināšanas ar konkrētā pakalpojuma riskiem un konstatēto nepilnību novēršanas. Atbildības matricā jānošķir kontroles pasākuma īpašnieks, izpildītājs un puse, kas apstiprina atkāpes.

Ja vidi administrē piegādātājs, līgumā papildus jāregulē privileģētā piekļuve: pienākumu nodalīšana, autentifikācijas veids, administratoru darbību uzskaite un tūlītēja tiesību atsaukšana pēc lomas maiņas vai sadarbības izbeigšanas. Ar apliecinājumu par rezerves kopiju veidošanu nepietiek, ja klients nezina, kura puse tās šifrē, kur tās tiek glabātas, kam ir tiesības tās atjaunot un kurš dokuments apliecina atjaunošanas pārbaudes rezultātu.

Piegādātājam jāuztur aktuāls pakalpojumu ietekmējošo apakšuzņēmēju saraksts, norādot to lomas un datu apstrādes vietas, kā arī jāpiemēro tiem prasības, kas nav vājākas par prasībām, par kurām panākta vienošanās ar klientu. Līgumā jānosaka, kurām izmaiņām vajadzīga iepriekšēja piekrišana un kurām pietiek ar paziņošanu un atkārtotu riska novērtējumu. Pārvaldības sistēmas sertifikāts var atbalstīt šo izvērtējumu, taču tas neaizstāj konkrētam pakalpojumam noteikto atbildību. Šī sakarība plašāk aplūkota materiālā NIS2 un LVS EN ISO 27001: ko apliecina sertifikāts un kā vēl var trūkt līdz atbilstībai KSC prasībām.

Pārbaudāmas drošības klauzulas

Drošības klauzula kļūst pārbaudāma tikai tad, ja tajā ir noteikts sagaidāmais rezultāts, piemērošanas tvērums, darbības biežums, izpildes apliecināšanas veids un atkāpju pārvaldības kārtība. Formulējumi „atbilstoši labākajai praksei” vai „ievērojot pienācīgu rūpību” var papildināt prasības, taču tie neļauj novērtēt, vai piegādātājs saistības ir izpildījis pienācīgi. Katram drošības pasākumam jānorāda prasības īpašnieks, pierādījumu glabāšanas termiņš un puse, kura drīkst apstiprināt izņēmumu.

Šādi formulētām prasībām jāaptver vismaz ievainojamību un atjauninājumu pārvaldība, drošas konfigurācijas uzturēšana, šifrēšana, notikumu žurnālu aizsardzība un glabāšana, rezerves kopēšana, atjaunošanas pārbaudes, izmaiņu pārvaldība un piekļuves kontrole. Piekļuves tiesību pārskatīšanas, atjaunošanas pārbaužu un pārskatu biežums, kā arī ievainojamību novēršanas termiņi jānosaka atbilstoši pakalpojuma riska novērtējumam. Tie nedrīkst būt automātiski vienādi visiem piegādātājiem.

Katra atkāpe jāreģistrē, norādot pamatojumu, novēršanas termiņu, riska īpašnieku un kompensējošos kontroles pasākumus. Pirms atkāpes apstiprināšanas jāizvērtē, vai šie pasākumi tiešām samazina risku līdz organizācijas pieņemtajam līmenim.

Prasība regulāri veidot rezerves kopijas ir nepilnīga, ja tajā nav norādīti kopējamie dati un sistēmas, glabāšanas periods, aizsardzība pret pārveidošanu vai dzēšanu, piekļuves noteikumi un atjaunošanas pārbaužu biežums. Jānosaka arī tas, kā piegādātājs ziņo par neizdevušos kopēšanu vai pārbaudi, kura puse apstiprina korektīvās darbības un kāds pārskats apliecina to slēgšanu. Arī ievainojamību novēršanas pienākumam vajadzīga klasifikācijas metode, riskam atbilstoši reaģēšanas termiņi, atjauninājumu atlikšanas noteikumi un pagaidu drošības pasākumu dokumentēšana.

Pierādījumi jāiedala periodiski iesniedzamos un pēc pieprasījuma pieejamos materiālos. Pirmajā grupā var ietilpt ievainojamību kopsavilkumi, atjauninājumu pārskati, atjaunošanas pārbaužu rezultāti un piekļuves tiesību pārskatīšanas apliecinājumi. Pēc incidenta, būtiskām izmaiņām vai atkāpes konstatēšanas var būt nepieciešami detalizēti pārbaužu rezultāti, notikumu žurnāli, izmaiņu vēsture, izņēmumu reģistrs un korektīvo darbību plāns. Šo materiālu tvērumu, īpašniekus un glabāšanas termiņus ieteicams sasaistīt ar principiem, kas izklāstīti materiālā NIS2 un KSC dokumentācija pirms pārbaudes: kādas politikas, reģistri un pierādījumi patiešām nepieciešami.

Pārbaudes tiesībām jābūt pakāpeniskām un īstenojamām arī attiecībā uz mākoņpakalpojumu sniedzēju. Pirmais līmenis var ietvert dokumentu pārskatīšanu un skaidrojošu sanāksmi, nākamais — neatkarīgus pārskatus vai saskaņotas pārbaudes, savukārt auditu klātienē var paredzēt paaugstināta riska, būtiska incidenta vai ticamu pierādījumu trūkuma gadījumā. Līgumā jāregulē termiņi, konfidencialitāte, tehniskais tvērums un konstatējumu novēršanas kārtība, nepiešķirot klientam tiesības, kuras koplietojamā vidē nav iespējams praktiski īstenot.

SLA noturībai, ne tikai pieejamībai

SLA jāizriet no ietekmes uz darbību analīzes, nevis no piegādātāja standarta parametru kataloga. Procesa īpašnieks vispirms nosaka pieļaujamo pārtraukuma ilgumu, pieļaujamo datu zudumu un nepieejamības ietekmi uz ražošanu, klientu apkalpošanu, norēķiniem un juridiskajiem pienākumiem. Tikai pēc tam nosaka atjaunošanas laika mērķus, aizstājošā pakalpojuma un avārijas režīma prasības, kā arī pieteikumu prioritātes. Ikmēneša pieejamības rādītājs neatbild uz jautājumu, vai viena atteice kritiskā brīdī neapturēs procesu uz laiku, kas pārsniedz organizācijas pieļaujamo robežu.

Papildus pieejamībai līgumā jānosaka pieteikuma saņemšanas apstiprināšanas, diagnostikas sākšanas, funkciju atjaunošanas un cēloņa novēršanas laiks, kā arī paziņojumu biežums, eskalācijas līmeņi un darba kārtība ārpus standarta darba laika. Reaģēšanas laiks nav atjaunošanas laiks, savukārt pagaidu risinājuma ieviešana nenozīmē problēmas pilnīgu novēršanu. Šo jēdzienu nodalīšana ļauj operatīvajai komandai saprast, kad darbu varēs atsākt, bet pakalpojuma īpašniekam — kad piegādātājs pabeigs cēloņu analīzi un īstenos pastāvīgu korektīvo darbību.

Ražošanas procesa vadības sistēmas gadījumā kritisks incidents var prasīt tūlītēju eskalāciju un nepārtrauktu saziņu līdz avārijas režīma aktivizēšanai. Tāda pati kļūme mācību vidē var saņemt zemāku prioritāti. Tādēļ klasifikācijai jābalstās uz ietekmi uz darbību, nevis tikai uz kļūdas tehnisko aprakstu. Ja organizācijai ir ticami vēsturiskie dati, sliekšņu noteikšanā jāņem vērā faktiskie reaģēšanas un atjaunošanas laiki, pieejamības rezultāti un atkārtotu atteiču skaits.

Mērīšanas metodē jānorāda datu avots, laika josla, skaitītāja sākuma un apturēšanas brīdis, saskaņotais pakalpojuma sniegšanas laiks, apkopes logi un incidenta klases maiņas noteikumi. Mērījumu izņēmumi jāiekļauj slēgtā un pārbaudāmā sarakstā. Tajā nedrīkst iekļaut notikumus, kas ietilpst piegādātāja atbildības jomā. Šo nosacījumu atbilstību faktiskajai operatīvajai gatavībai var izvērtēt, veicot NIS2 auditu ražošanas uzņēmumā — kā pārbaudīt organizācijas gatavību jaunajiem pienākumiem.

Pakalpojuma kredīti vai simboliska atlīdzība neatjauno procesu un nemazina dīkstāves sekas. Lielāka nozīme ir pienākumam iesniegt uzlabošanas plānu, vadības līmeņa eskalācijai, papildu noturības pārbaudēm un tiesībām izbeigt līgumu, ja saskaņotie pakalpojuma līmeņi ilgstoši vai atkārtoti netiek sasniegti. Finansiāla sankcija var stiprināt atbildību, taču tā neaizstāj pakalpojuma atjaunošanas, cēloņu novēršanas un atkārtotu atteiču nepieļaušanas mehānismu.

Incidents un ziņošanas pienākumi

Līgumā piegādātājam jāuzliek pienākums nekavējoties ziņot par katru notikumu, kas var ietekmēt klienta pakalpojumu, datus, darbības nepārtrauktību vai drošību. Sākotnējo paziņojumu nedrīkst padarīt atkarīgu no cēloņa, kaitējuma apmēra vai notikuma juridiskās kvalifikācijas pilnīgas apstiprināšanas. Līgumiskais termiņš jānosaka ar pietiekamu rezervi, lai klients varētu veikt savu izvērtējumu un vajadzības gadījumā ievērot ārējos ziņošanas termiņus. Tam jāizriet no pakalpojuma kritiskuma un diennakts kontaktpunkta pieejamības, nevis no pušu administratīvajām ērtībām.

Informācijas aprite jāsadala sākotnējā brīdinājumā, situācijas atjauninājumos, pēcincidenta ziņojumā un pamatcēloņu analīzē. Katram posmam jānosaka sniedzamās informācijas apjoms, atļautais kanāls, adresāti, atjaunināšanas biežums un eskalācijas kārtība, ja saziņa neizdodas. Sākotnējā paziņojumā jāiekļauj vismaz atklāšanas laiks, skartie aktīvi un pakalpojumi, paredzamā ietekme, veiktās darbības, pieejamie tehniskie indikatori, turpmākas izplatīšanās riska novērtējums un nākamā atjauninājuma termiņš. Kontaktu sarakstā jāiekļauj aizvietotāji, un tas periodiski jāpārbauda arī ārpus standarta darba laika.

Ja piegādātājs konstatē neparastu datplūsmu vidē, kurā tiek uzturēta kritiski svarīga lietojumprogramma, tam jābrīdina klients vēl pirms ir izlemts, vai noticis drošības pārkāpums. Klients aktivizē savu incidentu pārvaldības procesu, norīko par lēmumiem atbildīgo personu, iesaista reaģēšanas komandu un attiecīgā gadījumā arī apdrošinātāju, kā arī nosaka, kura persona apstiprina ārējo ziņojumu un saziņu ar klientiem. Piegādātājs saglabā saskaņotos žurnālus un tehniskās pēdas, atbalsta analīzi, seku ierobežošanu un notikuma tvēruma noteikšanu, taču nepārņem klienta regulatīvo atbildību.

Klauzulās jānosaka arī pierādījumu saglabāšanas un izsniegšanas noteikumi, to integritātes aizsardzība, lēmumu dokumentēšana un ārējiem ziņojumiem un vēlākai pamatcēloņu analīzei vajadzīgo datu sagatavošana. Ārējo ziņojumu termiņi, adresāti un saturs katrā gadījumā jāpārbauda atbilstoši aktuālajam tiesiskajam regulējumam, organizācijas statusam un notikuma veidam. Paziņojumu, lēmumu, eskalāciju un darbību reģistri jāsasaista ar materiālu NIS2 un KSC dokumentācija pirms pārbaudes: kādas politikas, reģistri un pierādījumi patiešām nepieciešami, bet pielāgošanās grafiks — ar materiālu NIS2 ieviešana pēc iekļaušanas KSC sarakstā — rīcības plāns līdz 2027. gada 3. aprīlim.

Ieviešana, uzraudzība un droša izstāšanās

Līguma grozījumu parakstīšana nenoslēdz piegādātāja pārvaldības procesu. Līguma īpašniekam periodiski jāpārskata SLA rezultāti, incidenti, atkāpes, korektīvās darbības, apakšuzņēmēju izmaiņas un prasību izpildi apliecinošo pierādījumu aktualitāte. Uzraudzības pamatā ir līgumu reģistrs, kurā iekļauts vismaz atjaunošanas datums, līguma īpašnieks, pakalpojuma kritiskums un drošības pasākumu saskaņošanas statuss. Atbilstības deklarācija neaizstāj pārskatus, pārbaužu rezultātus un ierakstus, kas apliecina pienākumu faktisku izpildi.

Pirms līguma atjaunošanas vai būtiskām pakalpojuma izmaiņām atkārtoti jānovērtē tā kritiskums, tehniskās un procesu atkarības, pakalpojumu koncentrācija pie viena piegādātāja, drošības pasākumu īstenojamība un iespēja pāriet uz alternatīvu risinājumu. Šāda pārskatīšana ļauj izlemt, vai pietiek ar līguma grozījumiem vai nepieciešams jauns iepirkuma process. Ja stratēģisks piegādātājs atsakās no audita vai nosacījumu maiņas, organizācijai jādokumentē nepilnība un jāizvēlas starp kompensējoša kontroles pasākuma ieviešanu, atlikušā riska formālu akceptēšanu vai piegādātāja nomaiņu.

Izstāšanās plānam jābūt praktiski īstenojamam jau pirms līguma uzteikšanas. Tajā jāietver datu atdošana un pārcelšana izmantojamā formātā, migrācijas atbalsts, nepārtrauktības uzturēšana pārejas periodā, piekļuves tiesību atsaukšana, kopiju dzēšana un šo darbību izpildes apliecināšana. Vienlaikus jāsaglabā juridiskām, pierādīšanas un audita vajadzībām nepieciešamie ieraksti. Praktiska pārbaude ir datu izmēģinājuma atjaunošana pie cita piegādātāja, pārbaudot datu pilnīgumu, migrācijas laiku un iespēju deaktivizēt iepriekšējos kontus.

Līgumu portfeļa modernizācija jāsāk ar pakalpojumiem, kuriem ir vislielākā ietekme uz darbību, bet nepilnības jāprioritizē atbilstoši to sekām un steidzamībai. Ieviesto mehānismu efektivitāti ieteicams pārbaudīt incidenta mācībās un pierādījumu izlases auditā. SLA, incidentu, atkāpju, korektīvo darbību un izstāšanās pārbaužu rezultāti parādīs, vai prasības darbojas praksē vai paliek tikai līguma formulējumu līmenī.

Novērtējuma tvērumu var sasaistīt ar materiālu NIS2 audits ražošanas uzņēmumā — kā pārbaudīt organizācijas gatavību jaunajiem pienākumiem. Organizācijas pienākumi jānosaka, ņemot vērā arī tās statusu, kas aplūkots materiālā NIS2 direktīva — uz ko tā attiecas un kuriem uzņēmumiem jāizpilda jaunās prasības?