Verplichte contractbepalingen onder DORA

DORA schrijft voor welke afspraken in een ICT-contract moeten staan, en stelt zwaardere eisen aan contracten voor diensten die een kritieke of belangrijke functie ondersteunen. Dat maakt contractherziening voor de meeste instellingen het grootste stuk werk van de hele verordening, en het onderdeel met de langste doorlooptijd.

Het bijzondere aan deze eis is dat u hem niet alleen kunt oplossen. U kunt uw eigen beleid schrijven en uw eigen register vullen, maar een contract wijzigen kost de medewerking van een ander.

Voor elk ICT-contract

Ongeacht hoe belangrijk de dienst is, horen deze afspraken erin:

• Een heldere en volledige beschrijving van de dienst
• De locaties waar de dienst wordt geleverd en waar gegevens worden verwerkt en opgeslagen, plus de plicht u te informeren bij wijziging
• Bepalingen over beschikbaarheid, integriteit en vertrouwelijkheid van gegevens
• Toegang tot en teruggave van uw gegevens bij beëindiging, in een bruikbaar formaat
• Afspraken over ondersteuning bij een ICT-incident, tegen welke voorwaarden en binnen welke termijn
• Opzegtermijnen en de gronden waarop elk van beide partijen kan beëindigen

Extra, voor kritieke of belangrijke functies

Ondersteunt de dienst een kritieke of belangrijke functie, dan komt er een zwaarder pakket bij. Dit is het deel waarover in de praktijk wordt onderhandeld.

Meetbare serviceniveaus

Doelstellingen voor beschikbaarheid en herstel die aansluiten op uw eigen continuïteitseisen. Let op de aansluiting: een leverancier die 99,5 procent beschikbaarheid belooft terwijl uw hersteldoelstelling vier uur is, belooft iets anders dan u nodig heeft. Reken het door in uren per maand voordat u tekent.

Meldplicht bij incidenten

Met termijnen die u in staat stellen uw eigen melding op tijd te doen. Uw klok begint te lopen zodra u het incident opmerkt, dus een leverancier die u pas na 24 uur informeert, maakt het u onmogelijk. Zie incidentmelding.

Audit- en inspectierechten

Volledige rechten op toegang, inspectie en audit voor u en voor uw toezichthouder, inclusief toegang tot locaties. Over de uitvoering valt te praten: frequentie, aankondiging, en gepoolde audits waarbij meerdere klanten samen optrekken. Over het recht zelf niet.

Deelname aan uw weerbaarheidstests

Waar dat relevant is, en anders het beschikbaar stellen van hun eigen testresultaten en certificeringen. Zie weerbaarheidstests.

Voorwaarden voor onderaanneming

Wanneer mag de leverancier uitbesteden, aan wie, en hoe wordt u geïnformeerd bij wijziging. Dit is het punt dat het vaakst ontbreekt en dat later het meest pijn doet, omdat u zonder deze afspraak geen zicht houdt op uw eigen keten.

Een uitgewerkte exitstrategie

Met overgangsperiode en medewerking bij migratie. Zie exitstrategie.

Hoe u dit aanpakt zonder alles tegelijk open te breken

Alle contracten in één keer herzien lukt niet en is ook niet nodig. Een werkbare volgorde:

1. Sorteer op criticaliteit, niet op contractwaarde. Een goedkope dienst kan een kritieke functie dragen, en dan gelden de zware eisen
2. Begin bij de contracten die binnen een jaar aflopen: daar heeft u vanzelf een onderhandelingsmoment en staat u sterker
3. Gebruik voor de grote aanbieders hun eigen DORA-addendum als vertrekpunt. Die bestaan inmiddels, zijn door hun juristen getoetst en schelen u weken
4. Leg per contract vast welke bepalingen ontbreken en wat het risico daarvan is. Een gemotiveerde afwijking is verdedigbaar, een onbekende afwijking niet
5. Houd een contractmatrix bij: welk contract voldoet aan welke eis. Dat is ook het document dat een toezichthouder opvraagt

Als de leverancier niet meewerkt

Dat komt voor, vooral bij partijen waarvoor u een kleine klant bent. U heeft dan een risico dat u moet beoordelen, vastleggen en aan uw bestuur voorleggen.

Mogelijke uitkomsten: accepteren met compenserende maatregelen, de functie anders inrichten zodat de dienst niet langer kritiek is, of op termijn een alternatief zoeken. Wat niet kan is het laten liggen en hopen dat het niet opvalt: een ontbrekende bepaling die niemand heeft beoordeeld, is een zwaardere bevinding dan een bepaling die bewust is losgelaten.

Op sectorniveau verandert dit wel. Doordat de hele Europese financiële sector dezelfde bepalingen vraagt, zijn de grote aanbieders hun voorwaarden gaan aanpassen. Bovendien kan een aanbieder worden aangewezen als kritieke dienstverlener, en dan komt er een toezichthouder bij die wél aan tafel kan. Zie derdepartijrisico.

Intragroepscontracten

Levert een zustermaatschappij of het moederbedrijf u ICT-diensten, dan gelden dezelfde eisen. De afspraken mogen eenvoudiger zijn opgeschreven, maar ze moeten er zijn en dezelfde punten dekken.

In de praktijk is dit vaak het snelst te regelen, omdat de tegenpartij niet gaat onderhandelen. Het wordt alleen structureel vergeten omdat het intern voelt, en dan staat er bij een controle een leeg vakje in het register.

Veelgestelde vragen

Moet ik bestaande contracten openbreken?

Ze moeten voldoen. Of dat via een addendum, een verlenging of een nieuw contract gaat, is aan u. Het gebruikelijke pad is een addendum bij de eerstvolgende gelegenheid, met prioriteit voor kritieke functies.

Wat als de leverancier buiten de EU zit?

DORA geldt onverkort; de eisen gelden voor uw contract, niet voor de vestigingsplaats van uw leverancier. Let dan extra op de bepalingen over gegevenslocatie en over toegang voor uw toezichthouder, want dat is precies waar het schuurt.

Gelden deze eisen ook voor onze eigen groepsmaatschappijen?

Ja. Intragroepsdienstverlening is ook dienstverlening.

Mag een leverancier auditrechten beperken tot een jaarlijkse rapportage?

Een rapportage kan een praktische invulling zijn, maar het recht op toegang en inspectie moet blijven bestaan, ook voor uw toezichthouder. Een volledige vervanging van het recht door een rapport voldoet niet.

Hoe weet ik of een dienst een kritieke functie ondersteunt?

Dat volgt uit uw eigen criticaliteitsoordeel per bedrijfsfunctie, niet uit wat de leverancier erover zegt. Zie stap 1 van het stappenplan.