DORA – зміна ІКТ-субпідрядника, оцінка ризиків та заперечення | Word/PDF/Excel

Ваш хмарний постачальник або партнер з експлуатації повідомляє, що важливий ІКТ-субпідрядник буде замінено. Чи має ваша фінансова установа прийняти ці зміни? Якщо ІКТ-послуга підтримує критичну або важливу функцію або значну її частину, DORA та спеціальний стандарт ЄС щодо субпідрядників можуть вимагати задокументованої оцінки ризиків, повідомлення відповідно до договору та своєчасного рішення. Цей спеціалізований пакет допомагає вам опрацювати конкретне повідомлення про зміни — а не просто розробити загальну ІТ-політику.

Застосовне законодавство: DORA, Регламент (ЄС) 2022/2554, застосовується з 17 січня 2025 року. Доповняльний делегований регламент (ЄС) 2025/532 діє з 22 липня 2025 року і регулює оцінку ризиків та умови надання ІКТ-послуг за підряду, які підтримують критичні або важливі функції. Стаття 5 регулює суттєві зміни; стаття 6 визначає певні умови права на розірвання договору.

Зміст: 5 шведських робочих шаблонів, шведський посібник користувача та окремий English User Guide у форматах Word (DOCX) та пошукового/придатного для друку PDF-файлу формату A4, а також реєстр Excel із дев'ятьма вкладками та 730 адміністративними формулами. Усього 7 DOCX + 7 PDF + 1 XLSX = 15 файлів у ZIP-архіві. Одноразова ціна 79 крон; немає фізичної доставки, макросів або автоматизованої інтеграції з постачальником.

Чи є це правильним шаблоном DORA?

Типовими користувачами є фахівці з ІКТ-ризиків, комплаєнсу, юристи, відповідальні за закупівлі та роботу з постачальниками, відповідальні за інформаційну безпеку та власники критичних або важливих функцій у фінансових установах. Приклад події: компанія, що надає критичну фінансову послугу, отримує письмове повідомлення про те, що експлуатація, інфраструктура, функція безпеки або зберігання даних переносяться до іншого субпідрядника, можливо, у новій країні або на нижчий рівень ланцюга постачання.

Обмеження: не кожна ІТ-закупівля або звичайна заміна постачальника є суттєвою зміною відповідно до статті 5. Спочатку задокументуйте, чи підпадає установа під дію DORA і чи конкретний ланцюг субпідрядників підтримує критичну або важливу функцію або її значну частину. Аналогічних вимог законодавства не слід застосовувати до компаній, що не підпадають під відповідну сферу застосування.

Усі 15 клієнтських файлів

Excel — дев'ять вкладок для договірних і ризикових процесів

Робоча книга складається з вкладок «Прочитайте мене», «Огляд», «Зміни», «Договори», «Ризики», «Відповіді», «Рішення», «Вихід» та «Джерела». Кожній фактичній зміні присвоюється ідентифікатор справи. Вкладка «Огляд» підраховує повідомлення, неповні матеріали для оцінки ризиків, договори, що потребують розслідування, запити без відповідей, заперечення без фактичного повідомлення та справи щодо виходу. Вона містить 730 формул і успішно пройшла 23 із 23 сценаріїв тестування, зокрема ризики, що перевищують допуск, недозволені за договором підрядні роботи, неповні повідомлення про зміни, відсутність підтвердження постачання, заперечення без підтвердження доставки та справи щодо виходу з відсутністю підґрунтя для рішення. Автоматичні мітки, такі як «ПЕРЕВІРИТИ ЗАСТОСОВНІСТЬ», «ДОПОВНИТИ ДОГОВІР», «ОЦІНКА ЗАПЕРЕЧЕННЯ ДО ЗАВЕРШЕННЯ ТЕРМІНУ» та «ВИХІД ПОТРІБНА РУЧНА РІШЕННЯ», ніколи не означають, що вимоги законодавства виконано. Клієнтський файл скидається до початкового стану без вигаданих тестових справ.

Як опрацювати зміни на практиці

1. Отримайте та збережіть оригінальне повідомлення. Зафіксуйте фактичного відправника, договір, час надсилання, новий ланцюг субпідрядників та заплановану дату впровадження.
2. Перевірте застосовність. Оцініть чи підпадає установа під дію DORA, чи є функція критичною/важливою, чи є зміни суттєвими, чи відповідає ланцюг субпідрядників вимогам і чи надає договір дозвіл на найм субпідрядників.
3. Перевірте термін повідомлення. Стаття 5.2 вимагає розумного договірного терміну для схвалення або висловлення заперечень. Універсального законодавчого правила про рівно 30 днів не існує. Нехай відповідальна особа визначить останній термін для відповіді на основі фактичного договору.
4. Оцініть ризики змін. Дослідіть концентрацію, безперервність, безпеку, місцезнаходження даних, ресурси субпідрядників, а також права доступу, нагляду та аудиту.
5. Запитуйте необхідні доповнення. Попросіть головного постачальника задокументувати ланцюг постачання та фактичний вплив змін. Фінансова установа зберігає відповідальність, навіть якщо постачальник провів власну оцінку ризиків.
6. Прийміть і повідомте про належне рішення. Якщо ризик перевищує апетит/допуск до ризику, фінансова установа відповідно до статті 5.4 має повідомити постачальника, висловити заперечення та запропонувати зміни до закінчення терміну. Збережіть фактичні підтвердження надсилання та отримання.
7. Відстежуйте реалізацію та можливий вихід. Перевірте фактичну дату впровадження. Перед розірванням договору або міграцією перевірте статтю 6, статтю 28.7 DORA та власний договір.

Що каже DORA та Регламент ЄС 2025/532?

Стаття 3, 2025/532: фінансова установа повинна проводити відповідні оцінки субпідрядників, які підтримують критичні або важливі функції. Покладання на перевірку належності ІКТ-постачальника не звільняє компанію від кінцевої відповідальності.

Стаття 4: договір повинен визначати, які відповідні ІКТ-послуги можна передавати субпідрядникам і на яких умовах. Будь-які необхідні договірні зміни мають бути впроваджені вчасно та задокументовані.

Статті 5.1–5.3: про суттєві зміни необхідно повідомляти заздалегідь, щоб компанія могла оцінити ризики та здатність постачальника виконувати договір. Має бути передбачено розумний договірний термін для висловлення заперечень. Постачальник може впровадити зміни, якщо фінансова установа їх схвалила або не висловила заперечень до закінчення терміну відповідно до застосовного договору та законодавства.

Стаття 5.4: якщо зміни перевищують встановлений допуск до ризику, компанія до закінчення терміну має повідомити про свою оцінку, висловити заперечення та запропонувати зміни. Це не означає, що система може автоматично визначити ризик.

Стаття 6: договір повинен містити право на розірвання, зокрема якщо постачальник впроваджує зміни попри заперечення, впроваджує їх завчасно без схвалення або передає відповідні послуги без прямого дозволу договору. Це умовне договірне право — не автоматичне розірвання. Також перевірте статтю 28.7 DORA.

Першоджерела: делегований регламент Комісії (ЄС) 2025/532 та DORA (ЄС) 2022/2554. Дивіться перелік виконавчих актів Європейської Комісії.

Відмінність від загального пакета DORA від Mallbutiken

Пакет шаблонів DORA для договорів з ІКТ-постачальниками та комплаєнсу 2026 призначений для широкого управління договорами та дотримання вимог. Цей спеціалізований продукт вирішує більш конкретне завдання: опрацювання фактично повідомлених змін у ланцюгу субпідрядників, включаючи оцінку, відповідь у договірний термін, заперечення та окрему оцінку виходу. Для загального запиту про зміни в ІТ також доступний запит на зміни в ІТ та управління змінами.

Часті запитання

Чи всі зміни субпідрядників мають схвалюватися відповідно до DORA?

Ні. Ці спеціальні правила стосуються ІКТ-послуг, які підтримують критичні або важливі функції або їх значні частини, а також суттєвих змін, що стосуються їх. Оцініть фактичну послугу, її вплив та договір.

Чи термін для висловлення заперечень завжди становить 30 днів?

Ні. Регламент вимагає розумного договірного терміну для повідомлення. Не існує універсального встановленого 30-денного терміну. Такий термін застосовується лише тоді, коли він передбачений відповідним договором і є застосовним.

Що робити, якщо оцінка ризиків перевищує апетит до ризику?

Стаття 5.4 визначає, що компанія до закінчення договірного терміну має повідомити про свою оцінку ризиків, висловити заперечення та запропонувати зміни. Це має бути зроблено відповідним підрозділом і задокументовано.

Чи можемо ми розірвати договір, якщо заміна вже відбулася?

Стаття 6 визначає договірні можливості розірвання у конкретних ситуаціях. Перевірте договір, фактичний перебіг подій, ризики та безперервність і дайте відповідальному юристу оцінити захід. Не кожна реалізована зміна дає автоматичне право на розірвання договору.

Чи може оцінка ризиків постачальника замінити нашу?

Ні. Регламент визначає, що фінансова установа не звільняється від кінцевої відповідальності лише через покладання на перевірку належності постачальника.

Чи може Excel автоматично розрахувати юридично коректний термін для висловлення заперечень?

Ні. Робоча книга реєструє термін, встановлений відповідальною особою після перегляду договору; вона не розраховує договірний дедлайн і не схвалює зміни.

Чи всі документи доступні англійською мовою?

Ні. П'ять робочих шаблонів, шведський посібник і Excel — шведською мовою. Окремий English User Guide описує використання, але не є повним перекладом робочих шаблонів.

Чи можна заповнювати PDF-файли?

Ні. Це пошукові та придатні для друку копії документів Word у форматі A4, а не PDF-форми з інтерактивними полями.

Версія, контроль джерел та обмеження

Версія 1.0 — 9 листопада 2026 року. Юридичний контроль джерел проведено з офіційними актами права ЄС, а технічний перегляд проведено для DOCX, PDF та XLSX. Жоден зовнішній юрист, наглядовий орган або незалежний ІКТ-аудитор не переглядав і не схвалював матеріали. Шаблони не можуть надсилати договірні повідомлення, перевіряти фактичну безпеку субпідрядника або схвалювати рішення про розірвання договору. Використовуйте їх як адміністративну основу для окремого фахового та належного перегляду.