DORA-kontraktklausulerne, artikel 30: ni eller femten, en status for hver

Besvar spørgsmålet, og klausulerne opregnes her.

Alle klausuler, med forordningens egne ord

9 klausuler i enhver kontrakt om IKT-tjenester, 6 flere når tjenesten understøtter en kritisk eller vigtig funktion, og 12 betingelser om underentreprise når kontrakten tillader det. Værktøjet ovenfor afgør, hvilke der gælder for jer; her står de alle.

I enhver kontrakt: 9 klausuler

Artikel 30, stk. 2. Dem bærer enhver kontrakt om IKT-tjenester, uanset hvad tjenesten understøtter.

• 30(2)(a) en klar og fuldstændig beskrivelse af alle funktioner og IKT-tjenester, som tredjepartsudbyderen af IKT-tjenester skal levere, med angivelse af, om underentreprise af en IKT-tjeneste, der understøtter en kritisk eller vigtig funktion eller væsentlige dele heraf er tilladt, og, hvis det er tilfældet, de betingelser, der gælder for en sådan underentreprise ISO 27001: Clause 4.3, A.5.19, A.5.20, A.5.21
• 30(2)(b) de steder, navnlig de regioner eller lande, hvor de udliciterede funktioner og IKT-tjenester eller funktionerne og IKT-tjenesterne i underentreprise skal leveres, og hvor data skal behandles, herunder lagringsstedet, og kravet om, at tredjepartsudbyderen af IKT-tjenester på forhånd skal underrette den finansielle enhed, hvis den har planer om at ændre disse steder ISO 27001: A.5.9, A.8.9, A.8.32
• 30(2)(c) bestemmelser om tilgængelighed, autenticitet, integritet og fortrolighed med hensyn til databeskyttelse, herunder personoplysninger ISO 27001: Clause 6.1, Clause 8.2, A.8.13, A.8.24
• 30(2)(d) bestemmelser om sikring af adgang, genopretning og tilbagesendelse i et lettilgængeligt format af personoplysninger og andre data end personoplysninger, der behandles af den finansielle enhed, i tilfælde af insolvens, afvikling eller afbrydelse af de forretningsaktiviteter, som tredjepartsudbyderen af IKT-tjenester varetager, eller i tilfælde af opsigelse af de kontraktlige ordninger ISO 27001: A.5.30, A.8.10, A.8.13
• 30(2)(e) beskrivelser af serviceniveauet, herunder ajourføringer og revisioner heraf ISO 27001: A.5.30, A.8.6, A.8.16
• 30(2)(f) forpligtelsen for tredjepartsudbyderen af IKT-tjenester til at yde bistand til den finansielle enhed uden yderligere omkostninger eller til en omkostning, der fastsættes på forhånd, hvis der opstår en IKT-hændelse, der vedrører den IKT-tjeneste, som leveres til den finansielle enhed ISO 27001: A.5.24, A.5.26, A.5.28
• 30(2)(g) forpligtelsen for tredjepartsudbyderen af IKT-tjenester til at samarbejde fuldt ud med den finansielle enheds kompetente myndigheder og afviklingsmyndigheder, herunder personer, som de har udpeget ISO 27001: ren kontrakt, ingen registrering
• 30(2)(h) opsigelsesrettigheder og dertil knyttet minimumsfrister for opsigelse af de kontraktlige ordninger i overensstemmelse med de kompetente myndigheders og afviklingsmyndighedernes forventninger ISO 27001: ren kontrakt, ingen registrering
• 30(2)(i) betingelserne for deltagelse af tredjepartsudbydere af IKT-tjenester i de finansielle enheders programmer til bevidstgørelse om IKT-sikkerhed og kurser i digital operationel modstandsdygtighed, jf. artikel 13, stk. 6. ISO 27001: Clause 7.3, A.6.3

Når tjenesten understøtter en kritisk eller vigtig funktion: 6 flere

Artikel 30, stk. 3. Kunden afgør, om funktionen er kritisk eller vigtig efter artikel 28, stk. 4, litra a); leverandøren forbereder sig på et ja.

• 30(3)(a) en fuldstændig beskrivelse af serviceniveauer, herunder ajourføringer og revisioner heraf, med præcise kvantitative og kvalitative præstationsmål inden for de aftalte serviceniveauer, således at den finansielle enhed kan foretage en effektiv overvågning af IKT-tjenester, og således at der uden unødigt ophold kan træffes passende afhjælpende foranstaltninger, når de aftalte serviceniveauer ikke overholdes ISO 27001: A.5.30, A.8.6, A.8.16
• 30(3)(b) opsigelsesfrister og indberetningsforpligtelser for tredjepartsudbyderen af IKT-tjenester over for den finansielle enhed, herunder underretning om enhver udvikling, som kan have væsentlig indvirkning på, hvorvidt tredjepartsudbyderen af IKT-tjenester har evnen til effektivt at levere IKT-tjenester, der understøtter kritiske eller vigtige funktioner i overensstemmelse med de aftalte serviceniveauer ISO 27001: A.8.32, A.5.20
• 30(3)(c) krav til tredjepartsudbyderen af IKT-tjenester om at gennemføre og teste beredskabsplaner og indføre IKT-sikkerhedsforanstaltninger, -værktøjer og -politikker, som giver et passende niveau af sikkerhed for, at den finansielle enhed kan foretage levering af tjenester i overensstemmelse med dens reguleringsramme ISO 27001: A.5.29, A.5.30, A.8.14
• 30(3)(d) forpligtelsen for tredjepartsudbyderen af IKT-tjenester til at deltage i og fuldt ud samarbejde om den finansielle enheds TLPT som omhandlet i artikel 26 og 27 ISO 27001: A.8.8, A.8.29
• 30(3)(e) retten til løbende at overvåge det præstationsniveau, som tredjepartsudbyderen af IKT-tjenester leverer, hvilket indebærer følgende: (i) den finansielle enheds eller en udpeget tredjeparts og den kompetente myndigheds uindskrænkede ret til adgang, inspektion og revision og ret til at tage kopier af relevant dokumentation på stedet, hvis denne har afgørende betydning for tredjepartsudbyderen af IKT-tjenesters operationer, hvis faktiske udøvelse ikke hindres eller begrænses af andre kontraktlige ordninger eller gennemførelsespolitikker (ii) retten til at nå til enighed om alternative sikkerhedsniveauer, hvis andre kunders rettigheder påvirkes (iii) forpligtelsen for tredjepartsudbyderen af IKT-tjenester til fuldt ud at samarbejde under de inspektioner og revisioner på stedet, som de kompetente myndigheder, den ledende tilsynsførende, den finansielle enhed eller en udpeget tredjepart udfører, og (iv) forpligtelsen til at give nærmere oplysninger om omfanget af, de procedurer, som skal følges, og hyppigheden af sådanne inspektioner og revisioner ISO 27001: Clause 9.2, Clause 9.3, A.5.35
• 30(3)(f) exitstrategier, navnlig indførelse af en obligatorisk passende overgangsperiode: (i) i løbet af hvilken tredjepartsudbyderen af IKT-tjenester fortsat leverer de respektive funktioner eller IKT-tjenester med henblik på at mindske risikoen for forstyrrelser i den finansielle enhed eller sikre en effektiv afvikling eller omstrukturering heraf (ii) som giver den finansielle enhed mulighed for at migrere til en anden tredjepartsudbyder af IKT-tjenester eller skifte til interne løsninger, der stemmer overens med den leverede tjenestes kompleksitet. ISO 27001: A.5.30, A.8.10

Når underentreprise er tilladt: 12 betingelser

Artikel 4, stk. 1, i delegeret forordning (EU) 2025/532, som gælder, når kontrakten tillader, at tjenesten eller væsentlige dele af den gives i underentreprise.

• RTS 4(1)(a) at tredjepartsudbyderen af IKT-tjenester har ansvar for leveringen af de tjenester, der leveres af underleverandørerne ISO 27001: A.5.19, A.5.21
• RTS 4(1)(b) at tredjepartsudbyderen af IKT-tjenester er forpligtet til at overvåge alle de IKT-tjenester, der er givet i underentreprise, og som understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, for at sikre, at dennes kontraktlige forpligtelser over for den finansielle enhed opfyldes løbende ISO 27001: A.5.22
• RTS 4(1)(c) overvågnings- og indberetningsforpligtelserne for tredjepartsudbyderen af IKT-tjenester over for den finansielle enhed vedrørende underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf ISO 27001: A.5.22
• RTS 4(1)(d) at tredjepartsudbyderen af IKT-tjenester skal vurdere alle risici i tilknytning til hjemstedet for de nuværende eller potentielle underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, og deres modervirksomhed og til det sted, hvor den pågældende IKT-tjeneste leveres fra ISO 27001: Clause 6.1, A.5.21
• RTS 4(1)(e) det sted, hvor de data, der behandles eller lagres af underleverandøren, befinder sig, hvis det er relevant ISO 27001: A.5.9, A.5.21
• RTS 4(1)(f) at tredjepartsudbyderen af IKT-tjenester i sin kontraktlige ordning med sine underleverandører skal angive den pågældende underentreprenørs overvågnings- og indberetningsforpligtelser over for tredjepartsudbyderen af IKT-tjenester og, hvis det er aftalt, over for den finansielle enhed ISO 27001: A.5.20
• RTS 4(1)(g) at tredjepartsudbyderen af IKT-tjenester skal sikre kontinuiteten i de IKT-tjenester, der understøtter kritiske eller vigtige funktioner i hele underleverandørkæden, såfremt en IKT-underleverandør ikke opfylder sine kontraktlige forpligtelser ISO 27001: A.5.29, A.5.30
• RTS 4(1)(h) at den kontraktlige ordning mellem tredjepartsudbyderen af IKT-tjenester og dennes underleverandører indeholder de krav til beredskabsplaner, der er omhandlet i artikel 30, stk. 3, litra c), i forordning (EU) 2022/2554, og præciserer de serviceniveauer, som IKT-underentreprenørerne skal opfylde i tilknytning til disse planer ISO 27001: A.5.20, A.5.30
• RTS 4(1)(i) at den kontraktlige ordning mellem tredjepartsudbyderen af IKT-tjenester og dennes underleverandører præciserer de IKT-sikkerhedsstandarder og eventuelle yderligere sikkerhedskrav, der er omhandlet i artikel 30, stk. 3, litra c), i forordning (EU) 2022/2554 ISO 27001: A.5.20, Clause 6.1.3
• RTS 4(1)(j) at underleverandøren skal give den finansielle enhed og relevante kompetente myndigheder og afviklingsmyndigheder de samme rettigheder vedrørende adgang, inspektion og revision som dem, der er omhandlet i artikel 30, stk. 3, litra e), i forordning (EU) 2022/2554 ISO 27001: A.5.20, A.5.35
• RTS 4(1)(k) at tredjepartsudbyderen af IKT-tjenester skal underrette den finansielle enhed om enhver væsentlig ændring af underentrepriseordningerne ISO 27001: A.8.32, A.5.22
• RTS 4(1)(l) at den finansielle enhed har ret til at opsige kontrakten med tredjepartsudbyderen af IKT-tjenester, når betingelserne i enten nærværende forordnings artikel 6 eller betingelserne i artikel 28, stk. 7, i forordning (EU) 2022/2554 er opfyldt. ISO 27001: ren kontrakt, ingen registrering

DORA for en softwareleverandør: klausulerne, registret, retsakterneISO 27001-foranstaltningerne, én side hver