Ryzyko stron trzecich bez lawiny ankiet
Zanim tegoroczna ankieta pójdzie do dwustu dostawców, odpowiedz na jedno pytanie: których pięciu z nich może zatrzymać waszą działalność do piątku? Jeśli nikt nie wskaże ich w ciągu dnia, kampania zmierzy wszystko i niczego nie skontroluje, a segregator odesłanych PDF-ów udokumentuje staranność, z której nie skorzystała żadna decyzja.
Najpierw triage, potem pytania
Posortuj dostawców po dwóch osiach: co dzieje się z waszą usługą, gdy ich usługa staje, i jakich waszych danych dotykają. Trzy poziomy zwykle wystarczą. Krytyczni: przestój zatrzymuje główny proces w kilka dni albo dostawca przetwarza dane klientów na dużą skalę. Ważni: obejścia istnieją, a szkoda ma granice. Reszta: wymienialni w tydzień, bez skutków dla klientów.
Wysiłek idzie za poziomem. Najniższy dostaje higienę umów i monitoring wydatków. Środkowy krótki, konkretny zestaw pytań i wgląd w historię incydentów. Krytyczny dowody, twarde zapisy umowne i plan wyjścia. Ankieta tej samej długości dla dostawcy artykułów biurowych i dla dostawcy hostingu mówi jedno: nikt nie podjął tej decyzji.
Dowody, umowy, wyjście
Odhaczone „tak” w ankiecie to deklaracja. Od krytycznych dostawców bierz artefakty: podsumowanie ostatnich testów odporności, powiadomienia o incydentach z minionego roku, łańcuch podwykonawców stojący za usługą, polisę i kondycję finansową. Proś o mniej dokumentów i je czytaj; dziesięć przeczytanych artefaktów bije osiemdziesiąt nieprzeczytanych deklaracji.
Drugą warstwę niesie umowa: prawo do informacji i dostępu, obowiązek powiadamiania o incydentach i zmianach podwykonawców, zdefiniowane poziomy usług, pomoc przy zakończeniu współpracy. Dla usług krytycznych dochodzi plan wyjścia: gdzie leżą wasze dane, w jakim formacie wrócą, kto jest dostawcą zapasowym, ile trwa przełączenie i co przez ten czas działa w trybie awaryjnym. Raz w roku przejdź te założenia na papierze.
Test przychodzi bez zaproszenia. Dostawca hostingu ogłasza przejęcie i nowy cennik; na najbliższym posiedzeniu pada pytanie, co stanie się w poniedziałek, jeśli usługa padnie w piątek. Prowadzony na bieżąco rejestr odpowiada w pięć minut. Bez niego zespół zadaniowy przez trzy tygodnie odkrywa własny łańcuch dostaw.
Czego sektor finansowy uczy pod DORA
Podmioty finansowe działają pod DORA — rozporządzeniem (UE) 2022/2554, stosowanym od 17 stycznia 2025 r. Mechanizm do skopiowania to rejestr informacji: ustrukturyzowany zapis umów ICT, raportowany nadzorcom w cyklach rocznych. Rejestr wymusza pytania, których ankieta nigdy nie zada. Które funkcje zależą od której umowy? Kto komu podzleca? Które umowy podtrzymują funkcje krytyczne?
Od firmy spoza finansów żaden nadzorca tego nie wymaga, co niczego nie zmienia w użyteczności: jedna tabela, jeden właściciel, jeden roczny cykl, i znika inwentaryzacja w panice podczas incydentu.
Co rekomendujemy teraz
Dwa tygodnie, pięć kroków.
- Zbuduj jednostronicowy rejestr: dostawca, usługa, dane, poziom, data końca umowy, okres wypowiedzenia, notatka o wyjściu. Zacznij od dwudziestu największych po wydatkach i po zależności.
- Przypisz trzy poziomy i pozwól operacjom, bezpieczeństwu i właścicielom usług raz zakwestionować podział.
- Dla każdego krytycznego dostawcy sprawdź umowę pod kątem prawa do informacji, powiadamiania o incydentach i pomocy przy zakończeniu. Braki spisz jako wsad do negocjacji przy odnowieniu.
- Napisz jednostronicową notatkę wyjścia dla każdej usługi krytycznej: lokalizacja danych, format eksportu, opcja zapasowa, realny czas przełączenia.
- Odwołaj ankietę do wszystkich i zastąp ją żądaniami warstwowymi: artefakty od krytycznych, krótki zestaw pytań dla ważnych, higiena umów dla reszty.
Źródła: Rozporządzenie (UE) 2022/2554 (DORA), EUR-Lex