Smluvní ujednání s dodavateli podle přílohy 2: co musí být ve smlouvě

Většina firem nemá bezpečnostní problém sama u sebe. Má ho u dodavatele, který má vzdálený přístup do jejich sítě. Proto vyhláška věnuje dodavatelům samostatnou přílohu.

Kdo je významný dodavatel

Není to o velikosti faktury. Je to o tom, co by se stalo, kdyby dodavatel selhal. Významný je typicky:

• poskytovatel spravovaných IT služeb,
• cloudová platforma, na které běží klíčová aplikace,
• dodavatel oborové aplikace, bez které nefungujete,
• poskytovatel konektivity,
• dodavatel s trvalým vzdáleným přístupem do vaší sítě.

Malý dodavatel jediné aplikace může být kritičtější než velký dodavatel hardwaru.

Co musí být ve smlouvě

Příloha 2 vyhlášky vymezuje okruhy, které mají být smluvně ošetřeny. Ve zkratce jde o:

1. Mlčenlivost o informacích získaných při plnění.
2. Závazek zavést bezpečnostní opatření na straně dodavatele.
3. Pravidla přístupu k vašim aktivům a systémům.
4. Hlášení incidentů vám, a to bez zbytečného odkladu.
5. Právo ověřit plnění požadavků - auditem nebo doložením.
6. Nakládání s daty včetně místa jejich uložení.
7. Podmínky pro poddodavatele a přenesení požadavků na ně.
8. Řízení identit a přístupů osob dodavatele.
9. Zálohování a obnova, pokud je dodavatel zajišťuje.
10. Bezpečný vývoj a údržba dodávaného softwaru.
11. Úroveň služeb relevantní pro bezpečnost.
12. Exit klauzule - předání a bezpečné smazání dat při ukončení.
13. Součinnost při incidentu a při kontrole.
14. Následky porušení bezpečnostních povinností.

Jak k tomu přistoupit

1. Udělejte seznam. Ne všech dodavatelů - jen těch, kteří vás můžou položit. U většiny firem je to pět až patnáct subjektů.

2. Projděte stávající smlouvy. Řada klauzulí už tam bude, jen jinak pojmenovaná. Mlčenlivost mívá skoro každá smlouva.

3. Doplňte, co chybí, dodatkem. Nemusíte otevírat celou smlouvu.

4. Začněte u toho nejdůležitějšího. Poskytovatel IT služeb má prioritu.

Když dodavatel nechce

Stává se to, hlavně u velkých cloudových poskytovatelů, kteří mají vlastní neměnné podmínky. Postup:

• Zjistěte, jestli dodavatel nemá vlastní bezpečnostní dokumentaci, certifikaci nebo smluvní přílohu, která požadavky pokrývá. Často pokrývá.
• Doložte, že jste o ujednání usilovali - e-mailová komunikace stačí.
• Zaznamenejte to jako riziko a přijměte kompenzující opatření.
• U kritických dodavatelů zvažte náhradu.

Kontrola je vstřícnější k doložené snaze než k mlčení.

Jak pomůže Shodly

V modulu Dodavatelé vedete registr, u každého významného dodavatele odškrtáte checklist klauzulí a u chybějících vygenerujete návrh dodatku. Systém hlídá expiraci smluv a připomíná roční přezkoumání.

Vygenerovaný dodatek je pracovní pomůcka. Před podpisem ho nechte zkontrolovat právníkem - Shodly neposkytuje právní poradenství.

Časté dotazy