DORA artikkel 30 forklart: kontraktsbestemmelsene du faktisk trenger
En klar og forståelig guide til DORA artikkel 30: de obligatoriske kontraktsbestemmelsene for avtaler med IKT-tredjeparter, og det utvidede settet for dem som understøtter kritiske eller viktige funksjoner.
Artikkel 30 i Digital Operational Resilience Act (DORA) er der mange finansforetak merker regelverket mest direkte: den regulerer hva som må stå i kontraktene dine med tredjepartsleverandører av IKT. Hvis du setter ut noe som berører din operasjonelle motstandskraft, er dette artikkelen som innkjøps-, juridisk- og etterlevelsesteamene dine kommer til å leve i.
Hvorfor artikkel 30 er viktig
DORA behandler risiko knyttet til IKT-tredjeparter som en sentral del av operasjonell motstandskraft. I stedet for å overlate leverandørvilkårene til tilfeldighetene, fastsetter artikkel 30 bestemmelsene en kontrakt må inneholde, og et strengere sett for avtaler som understøtter kritiske eller viktige funksjoner.
Den praktiske konsekvensen: du kan ikke lenger signere en standard leverandøravtale og anta at du er dekket. Hver avtale som omfattes, må påviselig inneholde de påkrevde bestemmelsene.
Standardbestemmelsene
For alle avtaler med IKT-tredjeparter bør kontrakten tydelig fastsette forhold som:
- En klar beskrivelse av tjenestene og stedene der de leveres
- Bestemmelser om tilgjengelighet, integritet og sikkerhet for data
- Beskrivelser av tjenestenivå og rapporteringsforpliktelser
- Bistand under IKT-hendelser, og samarbeid med myndigheter
- Rett til tilgang, inspeksjon og revisjon
- Oppsigelsesrett og avviklingsordninger
De utvidede bestemmelsene for kritiske eller viktige funksjoner
Der avtalen understøtter en kritisk eller viktig funksjon, forventer DORA mer, blant annet strengere krav til overvåking, full revisjons- og tilgangsrett, avviklingsstrategier, og deltakelse i din testing og opplæring. Terskelen er høyere fordi konsekvensene av svikt er høyere.
Dette er grunnen til at det å erklære hvilke funksjoner som er kritiske eller viktige betyr så mye: den klassifiseringen avgjør hvilke bestemmelser som gjelder.
Slik gjør du det operativt
Artikkel 30 er ikke en engangs kontraktgjennomgang; det er et løpende register over dokumentasjon. En gjennomførbar tilnærming:
- Kartlegg avtalene dine med IKT-tredjeparter.
- Klassifiser hver enkelt mot funksjonene den understøtter (kritiske/viktige mot resten).
- Koble de påkrevde bestemmelsene til hver kontrakt og registrer status og dokumentasjon.
- Gjennomgå med jevne mellomrom, med godkjenning, slik at bildet holder seg oppdatert for en tilsynsmyndighet.
I ResiliencePilot sporer hver leverandøravtale sine bestemmelser (standardsettet, eller det utvidede settet for kritiske leverandører), med status og støttende dokumentasjon, og inngår i informasjonsregisteret. Se DORA-løsningen for hvordan delene henger sammen.
Kort sagt: Artikkel 30 gjør leverandørkontrakter om til en vedlikeholdt, dokumentert kontroll, ikke en formalitet i arkivskapet.