DORA, czyli rozporządzenie (UE) 2022/2554 o operacyjnej odporności cyfrowej sektora finansowego, stosuje się od 17 stycznia 2025 r. (art. 64 rozporządzenia 2022/2554). Obowiązki ma bank, ubezpieczyciel, firma inwestycyjna czy instytucja płatnicza. Ten podmiot odpowiada za nie w całości, także gdy korzysta z dostawców (art. 28 ust. 1 lit. a), więc przenosi je na nich w umowie.
Software house, który świadczy takiemu klientowi usługi ICT, jest zewnętrznym dostawcą usług ICT (art. 3 pkt 19 DORA). Dostaje wtedy umowę z klauzulami z art. 30 DORA i pytania o podwykonawców, lokalizację danych, incydenty i audyt.
Czy DORA dotyczy twojego software house’u?
Sprawdź, co robisz dla klienta z sektora finansowego:
| Co robisz | Usługa ICT w rozumieniu DORA | Co cię czeka |
|---|---|---|
| Utrzymanie i rozwój systemu w sposób ciągły | Tak | Umowa z klauzulami z art. 30 |
| Hosting, SaaS, wsparcie techniczne | Tak | Jak wyżej, plus pytania o lokalizację danych |
| Body leasing do zespołu klienta | Zależy od ustaleń, ocenia klient | Ankiety, wymagania wobec ludzi, szkolenia |
| Jednorazowy projekt bez utrzymania | Ocenia klient | Klient może wymagać tych samych klauzul |
Usługi ICT to usługi cyfrowe i usługi w zakresie danych świadczone przez systemy ICT w sposób ciągły (art. 3 pkt 21 DORA). Klient wpisuje każdą taką umowę do rejestru informacji i raportuje go nadzorcy (art. 28 ust. 3). Dlatego poprosi cię o dane do tego rejestru.
Co musi być w umowie z klientem z sektora finansowego?
Prawa i obowiązki muszą być spisane w jednym dokumencie, razem z poziomami usług (art. 30 ust. 1 DORA). Minimum z art. 30 ust. 2:
| Litera | Co klient wpisze | Co to znaczy dla ciebie |
|---|---|---|
| a | Opis usług i zasady podwykonawstwa | Musisz ujawnić podwykonawców, w tym programistów na B2B, jeśli umowa tak ich traktuje |
| b | Lokalizacja świadczenia i danych, z uprzedzeniem o zmianach | Nie przeniesiesz pracy ani danych do innego kraju bez powiadomienia |
| c | Dostępność, integralność, poufność danych | Polityki bezpieczeństwa na piśmie |
| d | Dostęp do danych i ich zwrot przy zakończeniu | Eksport danych w łatwo dostępnym formacie |
| e | Poziomy usług | SLA z liczbami |
| f | Pomoc przy incydentach, bez opłat albo za cenę ustaloną z góry | Cennik pomocy przy incydentach w umowie |
| g | Współpraca z organami nadzoru | Gotowość do kontroli |
| h | Prawa wypowiedzenia i minimalne okresy wypowiedzenia | Klient może wyjść szybciej, niż chcesz |
| i | Udział w szkoleniach z bezpieczeństwa klienta | Czas zespołu na szkolenia |
Co dochodzi, gdy wspierasz funkcję krytyczną lub istotną?
Jeśli twoja usługa wspiera funkcję krytyczną lub istotną klienta, umowa musi mieć też elementy z art. 30 ust. 3 DORA:
- Pełne SLA z ilościowymi i jakościowymi celami, które klient może monitorować.
- Obowiązki informacyjne o każdej zmianie, która może wpłynąć na świadczenie usług.
- Plany awaryjne wdrożone i testowane oraz środki bezpieczeństwa ICT.
- Udział w testach penetracyjnych opartych na analizie zagrożeń (TLPT), które prowadzi klient.
- Nieograniczone prawa dostępu, kontroli i audytu dla klienta, wyznaczonej osoby trzeciej i organu nadzoru.
- Strategię wyjścia z okresem przejściowym, w którym dalej świadczysz usługi, a klient przenosi się do innego dostawcy albo do siebie.
Jeśli klient jest mikroprzedsiębiorstwem, strony mogą uzgodnić, że jego prawa audytu wykonuje niezależna osoba trzecia wyznaczona przez dostawcę (art. 30 ust. 3 DORA, akapit po lit. f).
Jak przygotować software house na wymagania DORA?
- Spisz podwykonawców i lokalizacje, z których pracuje zespół i gdzie są dane.
- Przygotuj pakiet dokumentów: polityka bezpieczeństwa, zarządzanie incydentami, ciągłość działania, zarządzanie dostępami.
- Opracuj własny aneks DORA do umów. Łatwiej negocjować na swoim wzorze niż na wzorze banku.
- Wyceń obowiązki: pomoc przy incydentach, udział w testach i audytach, okres przejściowy przy wyjściu.
- Ułóż umowy z zespołem tak, żeby wymagania klienta przeszły dalej: poufność, bezpieczeństwo, szkolenia.
Część wymagań pokrywa się z NIS2. Jeśli przygotowałeś się na pytania klientów objętych NIS2, masz część pracy za sobą: zobacz NIS2 dla software house’u.
Przy danych osobowych klienta potrzebna jest też umowa powierzenia (art. 28 ust. 3 RODO).
Co DORA znaczy dla kodu, który twoja firma ma?
Strategia wyjścia z art. 30 ust. 3 lit. f oznacza, że klient musi móc dalej korzystać z systemu albo przenieść go do innego dostawcy. W rozmowie o umowie padnie więc pytanie o kod źródłowy i prawa do niego.
Masz dwie drogi:
- Przeniesienie praw do całego systemu na klienta. Prosto, ale tracisz swoje komponenty.
- Przeniesienie praw do kodu pisanego dla klienta i licencja na twoje moduły, bezterminowa albo z długim okresem, z dostępem do kodu źródłowego przy wyjściu. Klient spełnia wymóg ciągłości, a ty zachowujesz moduły, które licencjonujesz innym.
Druga droga wymaga, żeby twoja firma miała prawa do tych modułów. Jak to sprawdzić i jak zapisać licencję, opisujemy na stronach kto jest właścicielem kodu i umowa licencyjna na oprogramowanie. Ile mogą być warte takie moduły, sprawdzisz na stronie ile jest wart kod źródłowy.