DORA – IT-alaliiketoimittajan vaihto, riskien arviointi & vastalauseen esittäminen | Word/PDF/Excel

Pilvipalveluntajasi tai ylläpitokumppanisi ilmoittaa, että tärkeän ICT-alipalvelijan on vaihdettava. Onko rahoitusyrityksesi pakotettu hyväksymään muutos? Kun ICT-palvelu tukee kriittistä tai tärkeää toimintoa tai sen olennaista osaa, DORA ja EU:n erityinen alipalvelijastandardi voivat vaatia dokumentoidun riskinarvioinnin, sopimuksellisen ilmoituksen ja oikea-aikaisen päätöksen. Tämä erikoispakkaus auttaa käsittelemään tietyn muutoksen ilmoituksen – ei vain laatimaan yleistä IT-käytäntöä.

Säteilevä sääntöjä/asetuksia: DORA, asetuksena (EU) 2022/2554, tulee voimaan 17. tammikuuta 2025. Täydentävä delegoitu asetuksena (EU) 2025/532 tulee voimaan 22. heinäkuuta 2025 ja se käsittelee riskinarviointia sekä ehtoja kriittisiä tai tärkeitä toimintoja tukevien ICT-palvelujen alipalvelijayhteyksille. Artikkeli 5 säätelee olennaisia muutoksia; artikkeli 6 säätelee tiettyjä sopimuksellisen irtisanomisoikeuden edellytyksiä.

Sisältö: 5 ruotsinkielistä työkaavaa, ruotsinkielinen käyttäjänopas ja erillinen englanninkielinen käyttäjänopas sekä Word- (DOCX) että hakukelpoiseen/tulostettavaan A4-PDF-muotoon, sekä Excel-rekisteri yhdeksällä välilehdellä ja 730 hallinnollisella kaavalla. Yhteensä 7 DOCX + 7 PDF + 1 XLSX = 15 tiedostoa ZIP-pakassa. Kertahinta 79 kruunua; ei fyysistä toimitusta, ei makroja eikä automaattista palveluntarjoajaintegraatiota.

Milloin tämä on oikea DORA-kaava?

Tyypillisiä käyttäjiä ovat rahoitusyrityksen ICT-riskinhallintatoiminto, vaatimustenmukaisuusvastaava, lakimies, hankinta- ja palveluntarjoajavastaava, tietoturvavastaava sekä kriittisten tai tärkeiden toimintojen liiketoimintavastaava. Esimerkki tapahtumasta: yritys, jolla on kriittinen rahoituspalvelu, saa kirjallisen ilmoituksen siitä, että toiminta, infrastruktuuri, turvallisuusfunktio tai datan tallennus siirretään toiselle alipalvelijalle, ehkä uuteen maahan tai syvemmälle toimitusketjuun.

Rajaus: Kaikki IT-hankinnat tai tavalliset palveluntarjoajavaihdot eivät ole olennaisia muutoksia artikkelin 5 mukaisesti. Dokumentoi ensin, kuuluuko yksikkö DORA:n piiriin ja tukevakohtainen alipalvelijaketju kriittistä tai tärkeää toimintoa tai sen olennaista osaa. Samaa lainvaatimusta ei saa soveltaa yrityksiin, jotka eivät kuulu asian piiriin.

Kaikki 15 asiakastiedostoa

Excel – yhdeksän välilehteä sopimus- ja riskiprosessille

Työkirja koostuu välilehdistä Lue minut, Yhteenveto, Muutokset, Sopimukset, Riskit, Vastaukset, Päätökset, Poistuminen ja Lähteet. Jokaiselle todelliselle muutokselle myönnetään tapaus-ID. Yhteenveto laskee ilmoitukset, puutteelliset riskialustukset, tutkittavat sopimukset, vastauksettomat pyynnöt, todellisuudessa viestittämättömät vastalauseet ja poistumistapaukset.

Se sisältää 730 kaavaa ja on läpäissyt 23/23 skenaariotestiä, mukaan lukien riskin yli toleranssin, sopimuksen mukaan luvattoman alipalvelijayhteyden, puutteellisen muutoksen ilmoituksen, puuttuvan palveluntarjoajavahvistuksen, vastalauseen ilman toimitusvahvistusta ja poistumistapauksen ilman päätösalustusta. Automaattiset tunnisteet, kuten ”ARVIOI SOVELLETTAVUUTTA”, ”TÄYDENNÄ SOPIMUSTA”, ”VASTALOUSEN ARVIOINTI ENNEN MÄÄRÄAIKAA” ja ”POISTUMINEN VAATII MANUAALISTA PÄÄTÖSTÄ”, eivät koskaan tarkoita, että lainvaatimukset olisi täytetty. Asiakastiedosto on nollattu ilman fiktiivisiä testitapauksia.

Näin käsittelet muutoksen käytännössä

1. Vastaanota ja tallenna alkuperäinen ilmoitus. Tunnista todellinen lähettäjä, sopimus, ilmoitusajankohta, uusi alipalvelijaketju ja suunniteltu käyttöönottoajankohta.
2. Tarkista sovellettavuus. Arvioi DORA-yksikkö, kriittinen/tärkeä toiminto, olennaisuus, alipalvelijaketju ja sopimuksellinen lupa alipalvelijoiden käyttämiseen.
3. Vahvista ilmoitusajan. Artikkeli 5.2 vaatii kohtuullisen sopimuksellisen ajan hyväksymiseen tai vastalauseeseen. Ei ole yleistä 30 päivän lakisääteistä määräaikaa. Vastuullisen henkilön on määritettävä viimeinen vastausaika todellisen sopimuksen perusteella.
4. Arvioi muutoksen riski. Tutki keskittymistä, jatkuvuutta, turvallisuutta, datan sijaintia, alipalvelijoiden resursseja sekä pääsy-, tarkastus- ja tarkastus-oikeuksia.
5. Pyydä tarvittavat täydennykset. Pyydä pääpalveluntarjoajaa dokumentoimaan ketju ja muutoksen todellinen vaikutus. Rahoitusyrityksellä on edelleen vastuu, vaikka palveluntarjoaja olisi tehnyt oman riskinarviointinsa.
6. Tee ja viesti pätevä päätös. Jos riski ylittää riskinsietokyvyn/toleranssin, rahoitusyksikön on artikkelin 5.4 mukaisesti ilmoitettava palveluntarjoajalle, vastalauseettava ja pyydettävä muutoksia ennen määräajan päättymistä. Tallenna todelliset lähetys- ja vastaanottovahvistukset.
7. Seuraa toteutusta ja mahdollista poistumista. Tarkista todellinen toteutusajankohta. Arvioi artikkelin 6, DORAn artikkelin 28.7 ja oman sopimuksen ennen irtisanomista tai siirtoa.

Mitä DORA ja asetuksena (EU) 2025/532 sanovat?

Artikkeli 3, 2025/532: rahoitusyksikön on suoritettava asianmukaiset arvioinnit alipalvelijoista, jotka tukevat kriittisiä tai tärkeitä toimintoja. Palveluntarjoajan suorittamaan due diligenceen luottaminen ei vapauta yritystä lopullisesta vastuusta.

Artikkeli 4: sopimuksen on tunnistettava, mitkä olennaiset ICT-palvelut voidaan ulkoistaa alipalvelijoille ja millä ehdoilla. Kaikki tarvittavat sopimuksen mukautukset on toteutettava ajoissa ja suunniteltava dokumentoidusti.

Artikkelit 5.1–5.3: olennaiset muutokset on ilmoitettava ajoissa, jotta yritys voi arvioida riskin ja palveluntarjoajan mahdollisuuden täyttää sopimus. Sopimuksessa on oltava kohtuullinen vastalauseaika. Palveluntarjoaja saa toteuttaa muutoksen, kun rahoitusyksikkö on hyväksynyt sen tai ei ole vastalauseenut määräajan päättyessä sovellettavan sopimuksen ja sääntöjen mukaisesti.

Artikkeli 5.4: jos muutos ylittää määritetyn riskinsietokyvyn, yrityksen on ilmoitettava arvioitaan, vastalauseettava ja pyydettävä muutoksia ennen määräajan päättymistä. Se ei ole sama asia kuin järjestelmän automaattinen riskin arviointi.

Artikkeli 6: sopimuksen on sisällettävä irtisanomisoikeus muun muassa silloin, jos palveluntarjoaja toteuttaa muutoksen vastalauseesta huolimatta, toteuttaa sen ennakkohyväksynnän ilman tai ulkoistaa olennaisia palveluita ilman, että sopimus nimenomaisesti sen sallii. Tämä on sopimusoikeudellinen ehto – ei automaattinen peruuttaminen. Tarkista myös DORAn artikkeli 28.7.

Ensisijaiset lähteet: Komission delegoitu asetuksena (EU) 2025/532 ja DORA (EU) 2022/2554. Katso Euroopan komission täytäntöötöasetusluetteloa.

Ero Mallbutiken yleiseen DORA-pakettiin

DORA ICT-palveluntarjoajasopimus- ja vaatimustenmukaisuusmallipakkaus 2026 koskee laajaa sopimusten hallintaa ja vaatimustenmukaisuutta. Tämä erikoistuote ratkaisee rajatumman työtehtävän: todellisuudessa ilmoitetun muutoksen alipalvelijaketjussa, mukaan lukien arviointi, vastaus sopimuksellisen ajan sisällä, vastalause ja erillinen poistumisen arviointi. Yleiseen IT-muutospyyntöön on myös IT-muutospyyntö & muutoshallinta.

Usein kysyttyä

Onko kaikkien alipalvelijavaihtojen hyväksyttävä DORA:n mukaisesti?

Ei. Nämä erityissäännöt koskevat kriittisiä tai tärkeitä toimintoja tai niiden olennaisia osia tukevia ICT-palveluita sekä asiaankuuluvaa olennaista muutosta. Tarkista todellinen palvelu, sen vaikutus ja sopimus.

Onko vastalauseaika aina 30 päivää?

Ei. Asetus vaatii sopimuksellisen kohtuullisen ilmoitusajan. Ei ole universaalia 30 päivän määräaikaa. Tällainen aika pätee vain, jos se seuraa asianmukaisesta sopimuksesta ja on sovellettavissa.

Mitä teemme, jos riskinarvio ylittää riskinsietokyvyn?

Artikkeli 5.4 osoittaa, että yrityksen on ilmoitettava riskinarvioinnistaan, vastalauseettava ja pyydettävä muutoksia ennen sopimuksellista määräajan päättymistä. Sen on tehtävä pätevän toiminnon toimesta ja dokumentoitava.

Voimmeko irtisanoa sopimuksen, jos vaihto on jo tehty?

Artikkeli 6 osoittaa sopimuspohjaisia irtisanomismahdollisuuksia tietyissä tilanteissa. Tarkista sopimus, todellinen tapahtumien kulku, riski ja jatkuvuus ja anna vastuullisen lakimiehen arvioida toimenpidettä. Kaikki toteutetut muutokset eivät anna automaattista irtisanomisoikeutta.

Voiko palveluntarjoajan riskitutkinta korvata meidän?

Ei. Asetuksessa todetaan, että rahoitusyksikkö ei vapene lopullisesta vastuustaan pelkästään luottamalla palveluntarjoajan due diligenceen.

Voiko Excel laskea automaattisesti oikean oikeudellisen vastalauseajan?

Ei. Työkirja rekisteröi vastuullisen henkilön sopimustarkastelun jälkeen vahvistaman määräajan; se ei itse laske sopimusoikeudellista määräaikaa tai hyväksyntää.

Ovatko kaikki asiakirjat englanniksi?

Ei. Viisi työkaavaa, ruotsinkielinen opas ja Excel ovat ruotsinkielisiä. Erillinen English User Guide kuvaa käyttöä, mutta ei ole täydellinen käännös työkaavoista.

Ovatko PDF-tiedostot täytettävissä?

Ei. Ne ovat hakukelpoisia ja tulostettavia A4-kopioita Word-tiedostoista, eivätkä PDF-lomakkeita interaktiivisilla kentillä.

Versio, lähdekontrolli ja rajoitukset

Versio 1.0 – 9. marraskuuta 2026. Oikeudellinen lähdekontrolli on suoritettu virallisten EU-oikeusasetusten ja teknisen DOCX-, PDF- ja XLSX-tiedostotarkastuksen avulla. Mitään ulkopuolista lakimiestä, valvontaviranomaista tai riippumatonta ICT-tarkastajaa ei ole tarkistanut tai hyväksynyt materiaalia. Kaavoja ei voi lähettää sopimusilmoituksia, vahvistaa alipalvelijan todellista turvallisuutta tai hyväksyä irtisanomispäätöstä. Käytä niitä hallinnollisena pohjana erilliselle asiantuntija- ja pätevä arvioinnille.