Regulamentul (UE) 2022/2554 privind reziliența operațională digitală, cunoscut ca DORA, se aplică din 17 ianuarie 2025 băncilor, asigurătorilor, instituțiilor de plată, firmelor de investiții și altor entități financiare. Dacă firma dumneavoastră le furnizează servicii IT, DORA vă afectează și pe dumneavoastră, chiar dacă nu sunteți entitate financiară.
De ce ajunge DORA la furnizori
Entitățile financiare trebuie să gestioneze riscul generat de furnizorii lor de servicii IT și să țină un registru cu toate contractele de acest tip. Articolul 30 din regulament stabilește clauzele minime pe care aceste contracte trebuie să le conțină. Practic, clientul financiar nu mai poate semna un contract care nu le are.
Ce clauze vor apărea în contracte
Pentru orice serviciu IT, contractul trebuie să includă, printre altele:
- descrierea completă a serviciilor și condițiile în care se poate subcontracta;
- locațiile în care sunt prestate serviciile și sunt prelucrate datele, cu obligația de a anunța schimbările;
- prevederi privind disponibilitatea, integritatea și confidențialitatea datelor;
- asistență la incidentele IT legate de serviciu;
- cooperarea cu autoritățile de supraveghere;
- drepturi de reziliere și participarea la programe de instruire privind securitatea.
Când serviciul susține o funcție critică sau importantă a clientului, cerințele cresc: niveluri de serviciu precise, planuri de continuitate testate, drepturi de acces, inspecție și audit pentru client și autorități, participarea la testele de reziliență ale clientului și o strategie de ieșire.
Cum vă pregătiți
- Identificați clienții din sectorul financiar și serviciile pe care le prestați pentru ei.
- Stabiliți care dintre servicii pot susține funcții critice ale clientului.
- Verificați dacă puteți răspunde tehnic clauzelor: locația datelor, subcontractori, raportarea incidentelor, acces pentru audit.
- Documentați măsurile de securitate existente, pentru că vor fi cerute la chestionarele de evaluare a furnizorilor.
- Pregătiți un plan de ieșire: cum se predau datele și serviciul dacă relația se încheie.
Un furnizor care vine cu aceste răspunsuri pregătite semnează mai repede și pare mai sigur decât unul care le descoperă la negociere.
Articolul are caracter informativ și nu reprezintă consultanță juridică. Formularea clauzelor contractuale trebuie stabilită împreună cu un avocat.