Cyberbezpieczeństwo coraz ważniejsze w kontraktach IT

Znaczenie cyberbezpieczeństwa, ale też koszty incydentów bezpieczeństwa informatycznego, stale rosną.

Według dorocznego raportu publikowanego przez IBM („Cost of a Data Breach Report”, edycja 2022) średni koszt naruszenia bezpieczeństwa wśród ankietowanych przedsiębiorców wzrósł w ostatnim roku o 2,6% (z 4,24 miliona USD do 4,35 miliona USD), przy czym w stosunku do 2020 roku wzrost ten wynosi aż 12,7%. Raport IBM wskazuje również, że jedynie dla 17% przebadanych organizacji zidentyfikowane naruszenia stanowiły jeden taki przypadek. Zdecydowana większość musiała mierzyć się z wielokrotnymi przypadkami naruszeń, w tym z atakami hackerskimi. To w efekcie przekłada się m.in. na wzrost cen towarów i usług oferowanych przez zaatakowanych przedsiębiorców (potwierdziło to aż 60% ankietowanych przedsiębiorców).

Weź udział w konferencji “Umowy IT - aspekty prawne i praktyczne”, 31 maja 2023, Warszawa >>

Sprawia to, że w projektach informatycznych, zwłaszcza wdrożeniowych czy zakładających migrację do chmury oraz w samych kontraktach im towarzyszących, coraz większą wagę przywiązuje się do wymogów dotyczących cyberbezpieczeństwa. Dotyczy to zarówno podmiotów z sektora publicznego, jak również prywatnego, w szczególności tych, których dotyczą coraz powszechniejsze cyber-regulacje. Wśród nich wskazać zaś można na przykłady prawa „twardego” (np. ustawę o krajowym systemie cyberbezpieczeństwa czy nową dyrektywę NIS 2) oraz „miękkiego” (np. Narodowe Standardy Cyberbezpieczeństwa czy tzw. wytyczne chmurowe Komisji Nadzoru Finansowego). Wszystkie one wymagać mogą odpowiedniego „przełożenia” na warunki kontraktowe.

W grupie regulacji „twardych” na szczególną uwagę zasługuje przyjęte w połowie grudnia 2022 r. unijne rozporządzenie w sprawie operacyjnej odporności cyfrowej sektora finansowego, czyli tzw. DORA (Digital Operational Resilience Act). Rozporządzenie to określa m.in. zasady prawidłowego zarządzania ryzykiem ze strony zewnętrznych dostawców rozwiązań i usług IT, w tym wymogi dotyczące postanowień umownych (kontraktów IT). Zbiór tych zasad stanowi swoiste podsumowanie dotychczasowych doświadczeń w zakresie regulacji tej problematyki na poziomie unijnym, które w dodatku wydaje się być szczególnie cenne dla praktyki. Pomimo zatem tego, że adresatem DORA są podmioty z sektora finansowego, korzystanie z zebranych tam zasad rekomendować należy również podmiotom z innych sektorów, którym zależy na podnoszeniu poziomu bezpieczeństwa IT.

Wszystko co chcesz wiedzieć o dyrektywie DORA. Poznaj program warsztatów online >>

Zgodnie z DORA cały proces zarządzania ryzykiem związanym z korzystaniem z usług zewnętrznych dostawców IT powinien uwzględniać – jako jeden z kluczowych jego elementów – ryzyka wynikające z zawartych umów („ustaleń umownych”, by posłużyć się terminologią DORA), a zatem ryzyka kontraktowe. Dotyczyć one mogą m.in. ryzyka koncentracji, zbytniego uzależnienia się od określonego dostawcy czy też trudności ze zmianą dostawcy (tzw. vendor lock-in). Dlatego też sporo miejsca poświęcono w przepisach DORA strategii wyjścia, np. w sytuacji, gdy dostawca nie realizuje swych obowiązków związanych z zapewnieniem dostępności, integralności czy poufności danych. Obowiązki te zaś stanowią jedne z kluczowych, na które należy zwracać uwagę w relacjach z zewnętrznymi dostawcami rozwiązań IT. Zresztą DORA wyraźnie przesądza, że podmioty finansowe mogą zawierać umowy wyłącznie z takimi dostawcami, którzy „przestrzegają odpowiednich standardów w zakresie bezpieczeństwa informacji”. W sytuacji zaś korzystania z zewnętrznych dostawców dla wsparcia funkcji szczególnie istotnych (krytycznych), poprzeczka została podniesiona jeszcze wyżej: dostawcy powinni stosować wówczas „najwyższe standardy bezpieczeństwa informacji”. Przy czym wydaje się, że odnosić należy się w tym zakresie do standardów światowych, a nie tylko krajowych.

Sam kontrakt IT – zgodnie z DORA – powinien uwzględniać szereg okoliczności wpływających na poziom cyber-bezpieczeństwa. Wśród nich szczególnie istotne są:

a)postanowienia umowne dotyczące zapewnienia autentyczności, integralności i poufności przetwarzanych danych, w tym (lecz nie tylko) danych osobowych w rozumieniu RODO;

b)obowiązek zapewnienia przez dostawcę IT pomocy swemu klientowi w przypadku wystąpienia incydentu bezpieczeństwa;

c)sprecyzowanie miejsca (regionów i krajów), w których (z których) mają być świadczone usługi objęte umową, w tym z uwzględnieniem ewentualnych podwykonawców;

d)zasady wdrażania i testowania planów awaryjnych;

e)warunki uczestnictwa przez zewnętrznych dostawców z „programach zwiększania świadomości” w zakresie bezpieczeństwa IT i operacyjnej odporności cyfrowej, prowadzonych przez klientów (podmioty finansowe).

Biorąc pod uwagę, że jedynie część z ww. wymogów stanowi standard w aktualnie stosowanych kontraktach na usługi i produkty IT, dla podmiotów z sektora finansowego (lecz nie tylko) oznaczać może to sporo pracy. W sytuacji jednak, gdy w grę wchodzi cyber-bezpieczeństwo, nie powinna ona być odkładana w czasie.

Autor: dr Damian Karwala, radca prawny, counsel w praktyce Własności Intelektualnej i Nowych Technologii, CMS