De DORA-contractclausules, artikel 30: negen of vijftien, een status voor elk

Beantwoord de vraag en de clausules worden hier opgesomd.

Alle clausules, in de woorden van de verordening

9 clausules in elk contract voor ICT-diensten, 6 extra wanneer de dienst een kritieke of belangrijke functie ondersteunt, en 12 voorwaarden voor uitbesteding wanneer het contract dat toestaat. Het hulpmiddel hierboven bepaalt welke voor u gelden; dit zijn ze allemaal.

In elk contract: 9 clausules

Artikel 30, lid 2. Elk contract voor ICT-diensten draagt deze, wat de dienst ook ondersteunt.

• 30(2)(a) een duidelijke en volledige beschrijving van alle door de derde aanbieder van ICT-diensten te leveren functies en ICT-diensten, met vermelding of het uitbesteden van een ICT-dienst die een kritieke of belangrijke functie ondersteunt, of van materiële onderdelen daarvan, is toegestaan en indien dit het geval is, welke voorwaarden op die uitbesteding van toepassing zijn; ISO 27001: Clause 4.3, A.5.19, A.5.20, A.5.21
• 30(2)(b) de locaties, met name de regio’s of landen, waar de contractueel overeengekomen of uitbestede functies en ICT-diensten moeten worden geleverd en waar gegevens moeten worden verwerkt, met inbegrip van de opslaglocatie, en de verplichting voor de derde aanbieder van ICT-diensten om de financiële entiteit vooraf in kennis te stellen indien hij voornemens is van locatie te veranderen; ISO 27001: A.5.9, A.8.9, A.8.32
• 30(2)(c) bepalingen inzake beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid met betrekking tot de bescherming van gegevens, met inbegrip van persoonsgegevens; ISO 27001: Clause 6.1, Clause 8.2, A.8.13, A.8.24
• 30(2)(d) bepalingen inzake het waarborgen van de toegang, het herstel en de teruggave in een gemakkelijk toegankelijk formaat van door de financiële entiteit verwerkte persoonsgegevens en niet-persoonsgebonden gegevens in geval van insolventie, afwikkeling of stopzetting van de bedrijfsactiviteiten van de derde aanbieder van ICT-diensten, of in geval van beëindiging van de contractuele overeenkomsten; ISO 27001: A.5.30, A.8.10, A.8.13
• 30(2)(e) beschrijvingen van het dienstenniveau, met inbegrip van actualiseringen en herzieningen daarvan; ISO 27001: A.5.30, A.8.6, A.8.16
• 30(2)(f) de verplichting van de derde aanbieder van ICT-diensten om de financiële entiteit zonder extra kosten, of tegen een vooraf bepaalde kostprijs, bijstand te verlenen wanneer zich een incident voordoet dat verband houdt met de aan de financiële entiteit geleverde ICT-dienst; ISO 27001: A.5.24, A.5.26, A.5.28
• 30(2)(g) de verplichting van de derde aanbieder van ICT-diensten om volledige medewerking te verlenen aan de bevoegde autoriteiten en de afwikkelingsautoriteiten van de financiële entiteit, met inbegrip van de door hen aangestelde personen; ISO 27001: puur contract, geen registratie
• 30(2)(h) beëindigingsrechten en de bijbehorende minimumopzegtermijnen voor de beëindiging van de contractuele overeenkomsten, in overeenstemming met de verwachtingen van de bevoegde autoriteiten en de afwikkelingsautoriteiten; ISO 27001: puur contract, geen registratie
• 30(2)(i) de voorwaarden voor deelname van derde aanbieders van ICT-diensten aan bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleidingen inzake digitale operationele weerbaarheid van de financiële entiteiten, overeenkomstig artikel 13, lid 6. ISO 27001: Clause 7.3, A.6.3

Wanneer de dienst een kritieke of belangrijke functie ondersteunt: 6 extra

Artikel 30, lid 3. De klant bepaalt of de functie kritiek of belangrijk is op grond van artikel 28, lid 4, onder a); de aanbieder bereidt zich voor op ja.

• 30(3)(a) beschrijvingen van het niveau van volledige dienstverlening, met inbegrip van actualiseringen en herzieningen daarvan met nauwkeurige kwantitatieve en kwalitatieve prestatiedoelstellingen binnen de overeengekomen dienstverleningsniveaus, teneinde de financiële entiteit in staat te stellen een doeltreffende monitoring van de ICT-diensten te verrichten en onverwijld passende corrigerende maatregelen te nemen wanneer de overeengekomen dienstverleningsniveaus niet worden gehaald; ISO 27001: A.5.30, A.8.6, A.8.16
• 30(3)(b) kennisgevingstermijnen en rapportageverplichtingen van de derde aanbieder van ICT-diensten ten aanzien van de financiële entiteit, met inbegrip van de kennisgeving van ontwikkelingen die materiële gevolgen kunnen hebben voor het vermogen van de derde aanbieder om op doeltreffende wijze de ICT-diensten die kritieke of belangrijke functies ondersteunen te leveren in overeenstemming met de afgesproken dienstverleningsniveaus; ISO 27001: A.8.32, A.5.20
• 30(3)(c) verplichtingen voor de derde aanbieder van ICT-diensten om bedrijfsnoodplannen in te voeren en te testen en te beschikken over ICT-beveiligingsmaatregelen, -instrumenten en -beleidslijnen waarmee de financiële entiteit kan zorgen voor een passend niveau van veiligheid bij het verlenen van diensten in overeenstemming met haar regelgevingskader; ISO 27001: A.5.29, A.5.30, A.8.14
• 30(3)(d) de verplichting voor de derde aanbieder van ICT-diensten om deel te nemen aan en volledig mee te werken bij de TLPT van de financiële entiteit als bedoeld in de artikelen 26 en 27; ISO 27001: A.8.8, A.8.29
• 30(3)(e) het recht om de prestaties van de derde aanbieder van ICT-diensten permanent te monitoren, hetgeen het volgende inhoudt: (i) onbeperkte rechten van toegang, inspectie en audit door de financiële entiteit of een daartoe aangestelde derde partij alsook door de bevoegde autoriteit, en het recht om ter plaatse kopieën van relevante documenten te maken indien deze cruciaal zijn voor de activiteiten van de derde aanbieder van ICT-diensten, waarbij de doeltreffende uitoefening van dit recht niet wordt belemmerd of beperkt door andere contractuele overeenkomsten of ander uitvoeringsbeleid; (ii) het recht om andere garantieniveaus overeen te komen indien de rechten van andere cliënten worden aangetast; (iii) de verplichting van de derde aanbieder van ICT-diensten om tijdens de door de bevoegde autoriteiten, de lead overseer, de financiële entiteit of een aangestelde derde partij ter plaatse uitgevoerde inspecties en audits volledig mee te werken, en (iv) de verplichting om bijzonderheden te verschaffen over het toepassingsgebied, te volgen procedures en de frequentie van dergelijke inspecties en audits; ISO 27001: Clause 9.2, Clause 9.3, A.5.35
• 30(3)(f) exitstrategieën, met name de invoering van een verplichte passende overgangsperiode: (i) waarin de derde aanbieder van ICT-diensten de levering van de respectieve functies of ICT-diensten zal blijven voortzetten, teneinde het risico op verstoring bij de financiële entiteit te beperken of voor een doeltreffende afwikkeling en herstructurering te zorgen; (ii) waarin de financiële entiteit kan overstappen naar een andere derde aanbieder van ICT-diensten of naar interne oplossingen in overeenstemming met de complexiteit van de geleverde dienst. ISO 27001: A.5.30, A.8.10

Wanneer uitbesteding is toegestaan: 12 voorwaarden

Artikel 4, lid 1, van Gedelegeerde Verordening (EU) 2025/532, van toepassing wanneer het contract uitbesteding van de dienst of materiële onderdelen daarvan toestaat.

• RTS 4(1)(a) dat de derde aanbieder van ICT-diensten verantwoordelijk is voor het leveren van de door de onderaannemers aangeboden diensten; ISO 27001: A.5.19, A.5.21
• RTS 4(1)(b) dat de derde aanbieder van ICT-diensten verplicht is alle uitbestede ICT-diensten die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, te monitoren zodat zijn contractuele verplichtingen ten aanzien van de financiële entiteit doorlopend worden vervuld; ISO 27001: A.5.22
• RTS 4(1)(c) de monitoring- en rapportageverplichtingen van de derde aanbieder van ICT-diensten ten aanzien van de financiële entiteit wat betreft onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen; ISO 27001: A.5.22
• RTS 4(1)(d) dat de derde aanbieder van ICT-diensten alle risico’s moet beoordelen die verbonden zijn aan de locatie van de actuele of potentiële onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, en van hun moederonderneming, en aan de locatie van waaruit de betrokken ICT-diensten worden aangeboden; ISO 27001: Clause 6.1, A.5.21
• RTS 4(1)(e) de locatie van data die worden verwerkt of opgeslagen door de onderaannemer (in voorkomend geval); ISO 27001: A.5.9, A.5.21
• RTS 4(1)(f) dat de derde aanbieder van ICT-diensten in zijn contract met zijn onderaannemers de monitoring- en rapportageverplichtingen van de onderaannemer moet specificeren ten aanzien van de derde aanbieder van ICT-diensten en, wanneer overeengekomen, ten aanzien van de financiële entiteit; ISO 27001: A.5.20
• RTS 4(1)(g) dat de derde aanbieder van ICT-diensten de continuïteit borgt van de ICT-diensten die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, doorheen de hele keten van onderaannemers wanneer een ICT-onderaannemer zijn contractuele verplichtingen niet nakomt; ISO 27001: A.5.29, A.5.30
• RTS 4(1)(h) dat de contractuele regeling tussen de ICT-diensten en zijn onderaannemers de vereisten bevat wat betreft de bedrijfsnoodplannen als bedoeld in artikel 30, lid 3, punt c), van Verordening (EU) 2022/2554 en de met betrekking tot die plannen door de ICT-onderaannemers te leveren dienstenniveaus; ISO 27001: A.5.20, A.5.30
• RTS 4(1)(i) dat de contractuele regelingen tussen de derde aanbieder van ICT-diensten en zijn onderaannemers de ICT-beveiligingsstandaarden en eventuele aanvullende beveiligingseisen specificeert als bedoeld in artikel 30, lid 3, punt c), van Verordening (EU) 2022/2554; ISO 27001: A.5.20, Clause 6.1.3
• RTS 4(1)(j) dat de onderaannemer de financiële entiteit en de betrokken bevoegde autoriteiten en afwikkelingsautoriteiten dezelfde rechten van toegang, inspectie en audit moet verlenen als bedoeld in artikel 30, lid 3, punt e), van Verordening (EU) 2022/2554; ISO 27001: A.5.20, A.5.35
• RTS 4(1)(k) dat de derde aanbieder van ICT-diensten de financiële entiteit in kennis moet stellen van materiële veranderingen in uitbestedingsregelingen; ISO 27001: A.8.32, A.5.22
• RTS 4(1)(l) dat de financiële entiteit het recht heeft het contract met de derde aanbieder van ICT-diensten op te zeggen wanneer de voorwaarden van hetzij artikel 6 van deze verordening, hetzij artikel 28, lid 7, van Verordening (EU) 2022/2554 zijn vervuld. ISO 27001: puur contract, geen registratie

DORA voor een softwareleverancier: de clausules, het register, de handelingenDe ISO 27001-beheersmaatregelen, één pagina per maatregel