DORA – zmiana podwykonawcy usług IT, ocena ryzyka i zgłoszenie zastrzeżeń | Word/PDF/Excel

Twój dostawca chmurowy lub partner operacyjny informuje, że ważny podwykonawca usług ICT ma zostać zastąpiony. Czy Twoja instytucja finansowa musi zaakceptować tę zmianę? Gdy usługa ICT wspiera funkcję krytyczną lub istotną albo istotną jej część, DORA i szczególne unijne standardy dotyczące podwykonawców mogą wymagać udokumentowanej oceny ryzyka, pisemnego powiadomienia zgodnie z umową oraz podjęcia decyzji w odpowiednim terminie. Ten specjalistyczny pakiet pomaga zarządzać konkretnym powiadomieniem o zmianie – nie tylko tworzyć ogólną politykę IT.

Obowiązujące przepisy: DORA, rozporządzenie (UE) 2022/2554, ma zastosowanie od 17 stycznia 2025 r.. Uzupełniające rozporządzenie delegowane (UE) 2025/532 obowiązuje od 22 lipca 2025 r. i określa ocenę ryzyka oraz warunki świadczenia usług ICT przez podwykonawców wspierających funkcje krytyczne lub istotne. Artykuł 5 reguluje istotne zmiany; artykuł 6 określa niektóre warunki prawa do wypowiedzenia umowy.

Zawartość: 5 szwedzkich szablonów roboczych, szwedzki przewodnik użytkownika i osobny angielski przewodnik użytkownika w formacie Word (DOCX) oraz przeszukiwalnym/drukowalnym PDF A4, a także arkusz Excel z dziewięcioma zakładkami i 730 formułami administracyjnymi. Łącznie 7 DOCX + 7 PDF + 1 XLSX = 15 plików w formacie ZIP. Cena jednorazowa: 79 SEK; brak dostawy fizycznej, makr i zautomatyzowanej integracji z dostawcą.

Kiedy jest to właściwy szablon DORA?

Typowymi użytkownikami są pracownicy działów ryzyka IT, zgodności, prawny, zakupów i zarządzania dostawcami, bezpieczeństwa informacji oraz zarządzający funkcjami krytycznymi lub istotnymi w instytucjach finansowych. Przykład zdarzenia: firma świadcząca krytyczną usługę finansową otrzymuje pisemne powiadomienie, że obsługa, infrastruktura, funkcja bezpieczeństwa lub przechowywanie danych zostaną przeniesione do innego podwykonawcy, być może w innym kraju lub na niższym poziomie łańcucha dostaw.

Zakres: Nie każdy zakup IT ani zwykła zmiana dostawcy stanowi istotną zmianę w rozumieniu artykułu 5. Najpierw sprawdź, czy podmiot podlega DORA oraz czy konkretny łańcuch podwykonawców wspiera funkcję krytyczną lub istotną albo jej istotną część. Takich samych wymogów prawnych nie można przypisywać firmom spoza właściwego zakresu stosowania.

Wszystkie 15 plików dla klienta

Excel – dziewięć zakładek do procesu umownego i oceny ryzyka

Arkusz składa się z zakładek: Czytaj mnie, Przegląd, Zmiany, Umowy, Ryzyka, Odpowiedzi, Decyzje, Wyjście i Źródła. Każdej rzeczywistej zmianie przypisuje się identyfikator zdarzenia. Przegląd liczy powiadomienia, niekompletne podstawy oceny ryzyka, umowy wymagające wyjaśnienia, wnioski bez odpowiedzi, zastrzeżenia bez faktycznego przekazania oraz zdarzenia związane z wyjściem.

Zawiera 730 formuł i przeszedł 23 z 23 testów scenariuszy, w tym ryzyko przekraczające tolerancję, świadczenie usług przez podwykonawcę niedozwolone na mocy umowy, niekompletne powiadomienie o zmianie, brak dowodu dostarczenia przez dostawcę, zastrzeżenie bez dowodu dostarczenia oraz zdarzenie związane z wyjściem bez podstawy do decyzji. Automatyczne etykiety, takie jak „SPRAWDŹ ZAKRES ZASTOSOWANIA”, „UZUPEŁNI UMOWĘ”, „OCENA ZASTRZEŻEN PRZED TERMINEM” i „WYJŚCIE WYMAGA DECYZJI RĘCZNEJ”, nigdy nie oznaczają spełnienia wymogów prawnych. Plik dla klienta jest zresetowany i nie zawiera fikcyjnych zdarzeń testowych.

Jak w praktyce zarządzać zmianą

1. Odbierz i zachowaj oryginalne powiadomienie. Ustal rzeczywistego nadawcę, umowę, czas przekazania wiadomości, nowy łańcuch podwykonawców i planowaną datę wdrożenia.
2. Sprawdź zakres zastosowania. Oceń podmiot podlegający DORA, funkcję krytyczną/istotną, istotność, łańcuch podwykonawców i umowne zezwolenie na angażowanie podwykonawców.
3. Zweryfikuj termin powiadomienia. Artykuł 5.2 wymaga rozsądnego, umownie określonego terminu na zatwierdzenie lub zgłoszenie zastrzeżeń. Nie istnieje ogólna zasada prawna określająca dokładnie 30 dni. Odpowiedzialna osoba powinna ustalić ostateczny termin odpowiedzi na podstawie rzeczywistej umowy.
4. Oceń ryzyko związane ze zmianą. Zbadaj koncentrację, ciągłość działania, bezpieczeństwo, lokalizację danych, zasoby podwykonawców oraz prawa dostępu, kontroli i audytu.
5. Poproś o niezbędne uzupełnienia. Poproś dostawcę głównego o udokumentowanie łańcucha i rzeczywistego wpływu zmiany. Instytucja finansowa zachowuje odpowiedzialność nawet wtedy, gdy dostawca przeprowadził własną ocenę ryzyka.
6. Podjęte i przekazane odpowiednio decyzję. Jeśli ryzyko przekracza apetyt/tolerancję na ryzyko, instytucja finansowa zgodnie z artykułem 5.4 powinna poinformować dostawcę, zgłosić zastrzeżenia i poprosić o modyfikacje przed upływem terminu. Zachowaj rzeczywiste dowody wysyłki i otrzymania.
7. Monitoruj wdrożenie i ewentualne wyjście. Sprawdź rzeczywistą datę wdrożenia. Przed wypowiedzeniem lub migracją przeanalizuj artykuł 6, artykuł 28.7 DORA oraz własną umowę.

Co mówią DORA i rozporządzenie UE 2025/532?

Artykuł 3 rozporządzenia 2025/532: instytucja finansowa ma przeprowadzić odpowiednie oceny podwykonawców wspierających funkcje krytyczne lub istotne. Poleganie na badaniu należytej staranności dostawcy usług ICT nie zwalnia firmy z ostatecznej odpowiedzialności.

Artykuł 4: umowa ma określać, jakie istotne usługi ICT mogą być powierzane podwykonawcom i na jakich warunkach. Ewentualne niezbędne dostosowania umowy należy przeprowadzić w odpowiednim terminie i udokumentować ich planowanie.

Artykuły 5.1–5.3: istotne zmiany należy zgłaszać z odpowiednim wyprzedzeniem, aby firma mogła ocenić ryzyko i zdolność dostawcy do wypełnienia zobowiązań umownych. Należy zapewnić rozsądny, umownie określony termin zgłaszania zastrzeżeń. Dostawca może przeprowadzić zmianę, gdy instytucja finansowa ją zatwierdzi lub nie zgłosi zastrzeżeń przed upływem terminu zgodnie z obowiązującą umową i przepisami.

Artykuł 5.4: jeśli zmiana przekracza ustaloną tolerancję na ryzyko, firma przed upływem terminu powinna przekazać swoją ocenę, zgłosić zastrzeżenia i poprosić o zmiany. Nie jest to to samo, co automatyczne określenie ryzyka przez system.

Artykuł 6: umowa ma zawierać prawo do wypowiedzenia, m.in. w przypadku, gdy dostawca przeprowadzi zmianę mimo zgłoszonych zastrzeżeń, przeprowadzi ją przed terminem bez zatwierdzenia lub powierzy istotne usługi bez wyraźnego zezwolenia na to umowy. Jest to prawo wypowiedzenia warunkowe – nie automatyczne rozwiązanie umowy. Sprawdź również artykuł 28.7 DORA.

Źródła pierwotne: Delegowane rozporządzenie Komisji (UE) 2025/532 oraz DORA (UE) 2022/2554. Zobacz wykaz akt wykonawczych Komisji Europejskiej.

Różnica w stosunku do ogólnego pakietu DORA Mallbutiken

Pakiet szablonów DORA Umowa z dostawcą usług ICT & Zgodność 2026 dotyczy szerokiego zarządzania umowami i przestrzegania przepisów. Ten specjalistyczny produkt rozwiązuje bardziej konkretny etap pracy: faktycznie powiadomioną zmianę w łańcuchu podwykonawców, wraz z oceną, odpowiedzią w umownym terminie, zgłoszeniem zastrzeżeń i osobną oceną wyjścia. W przypadku ogólnego wniosku o zmianę IT dostępny jest również Wniosek o zmianę IT & Zarządzanie zmianami.

Często zadawane pytania

Czy wszystkie zmiany podwykonawców muszą być zatwierdzane zgodnie z DORA?

Nie. Te szczególne przepisy dotyczą usług ICT wspierających funkcje krytyczne lub istotne albo ich istotne części oraz istotnych zmian. Przeanalizuj rzeczywistą usługę, jej wpływ i umowę.

Czy termin zgłaszania zastrzeżeń zawsze wynosi 30 dni?

Nie. Rozporządzenie wymaga rozsądnego, umownie określonego terminu powiadomienia. Nie istnieje uniwersalny, ustawowo określony termin 30-dniowy. Taki termin obowiązuje tylko wtedy, gdy wynika z właściwej umowy i ma zastosowanie.

Co robimy, gdy ocena ryzyka przekracza apetyt na ryzyko?

Artykuł 5.4 określa, że firma przed upływem umownego terminu powinna poinformować o swojej ocenie ryzyka, zgłosić zastrzeżenia i poprosić o zmiany. Powinno to zrobić odpowiedni dział i udokumentować.

Czy możemy wypowiedzieć umowę, jeśli zmiana już nastąpiła?

Artykuł 6 określa możliwości wypowiedzenia umowy na podstawie umowy w określonych sytuacjach. Sprawdź umowę, rzeczywisty przebieg zdarzenia, ryzyko i ciągłość działania oraz poproś odpowiedzialnego prawnika o ocenę działania. Nie każda przeprowadzona zmiana daje automatyczne prawo do wypowiedzenia umowy.

Czy badanie ryzyka dostawcy może zastąpić nasze?

Nie. Rozporządzenie określa, że instytucja finansowa nie zostaje zwolniona z ostatecznej odpowiedzialności tylko dlatego, że polega na badaniu należytej staranności dostawcy.

Czy Excel może automatycznie obliczyć prawnie prawidłowy termin zgłaszania zastrzeżeń?

Nie. Arkusz rejestruje termin ustalony przez odpowiedzialną osobę po przeglądzie umowy; nie oblicza samodzielnie terminu prawnego ani nie zatwierdza go.

Czy wszystkie dokumenty są dostępne w języku angielskim?

Nie. Pięć szablonów roboczych, szwedzki przewodnik i arkusz Excel są w języku szwedzkim. Osobny angielski przewodnik użytkownika opisuje sposób korzystania z nich, ale nie stanowi pełnego tłumaczenia szablonów roboczych.

Czy pliki PDF można uzupełniać?

Nie. Są przeszukiwalnymi i drukowalnymi kopiami dokumentów Word w formacie A4, a nie formularzami PDF z interaktywnymi polami.

Wersja, kontrola źródeł i ograniczenia

Wersja 1.0 – 9 listopada 2026 r.. Kontrola prawnych źródeł została przeprowadzona na podstawie oficjalnych aktów prawnych UE, a dokumenty DOCX, PDF i XLSX poddano technicznej weryfikacji. Żaden zewnętrzny prawnik, organ nadzorczy ani niezależny audytor IT nie ocenił ani nie zatwierdził materiałów. Szablony nie mogą wysyłać powiadomień umownych, weryfikować rzeczywistego bezpieczeństwa podwykonawcy ani zatwierdzać decyzji o wypowiedzeniu umowy. Używaj ich jako podstawy administracyjnej do osobnej, fachowej i odpowiedniej oceny.