Dobre klauzule to proste klauzule.
Michał Nowakowski · 9 listopada 2026
Jak tworzyć klauzule cyberbezpieczeństwa w umowach IT? Ryzyko ICT, podatności, podwykonawcy i ciągłość działania. Praktyczne wskazówki prawnika IT.
Gdybym był prawnikiem przygotowującym dobry zestaw klauzul z zakresu cyberbezpieczeństwa, to…
…nie tworzyłbym nieczytelnego potworka z miliardem parametrów niczym najlepsze duże modele językowe, ale skupiłbym się na celu, który te klauzule mają pomóc osiągnąć. A celem powinno być zapewnienie, że:
✅ obie strony rozumieją swoje obowiązki, ale i uprawnienia wynikające z umowy,
✅ wspólnie działamy w celu ograniczenia ryzyka ICT i ochrony aktywów informacyjnych,
✅ wymieniamy się informacjami istotnymi dla drugiej strony, np. w kontekście ciągłości działania.
Takie określenie celu pozwoli nam stworzyć umowę, która będzie obopólnie korzystna, przejrzysta i wykonalna. Wielu dostawców podpisuje monstrualne tomiszcza dlatego, że albo nie rozumie konsekwencji złożenia konkretnych oświadczeń, albo dlatego, że nie ma właściwie wyboru. Czy tego właśnie byśmy chcieli?
Dobre klauzule w zakresie bezpieczeństwa informacji będą:
✅ nakierowane na zobowiązanie dostawcy do adekwatnego do produktu czy usługi zarządzania ryzykiem ICT, a nie tylko do posiadania konkretnej polityki czy procedur, które składają się na system zarządzania bezpieczeństwem informacji,
✅ wymagały współpracy i rozwiązywania problemów, nie pomijając zasad naprawienia ewentualnej szkody,
✅ skupiały się na konieczności zastosowania zestawu zabezpieczeń wynikających z dobrych praktyk w zakresie cyberbezpieczeństwa, dobranego do ryzyka,
✅ pozwalały na szybką reakcję na podatności, z priorytetyzacją działań i aktualizacjami odpowiednimi do ryzyka,
✅ wymagały staranności przy wyborze podwykonawców, ale nie wykluczały ich wykorzystania, gdy jest to potrzebne do realizacji zadania,
✅ zapewniały uzgodnione wsparcie ciągłości działania i przejścia do innego rozwiązania po zakończeniu umowy, w sposób proporcjonalny dla stron.
Można także pomyśleć o opcjonalnych klauzulach dotyczących AI w procesach wytwórczych / rozwojowych, np. zobowiązujących do stosowania dobrych praktyk bezpiecznego wytwarzania oprogramowania (SDLC), także z użyciem AI.
Ja na koniec zawsze dodaję odniesienie do standardów i dobrych praktyk oraz konieczności nieustannego doskonalenia i szkolenia personelu, ale w niektórych przypadkach może to być nieco nieproporcjonalne. Wszystko zależy od kontekstu.
Oczywiście przepisy takie jak DORA dla sektora finansowego czy uKSC dla podmiotów ważnych lub kluczowych mogą wymagać więcej. Zdrowy rozsądek i elastyczność stosujmy w granicach obowiązkowych wymagań. Umowa nie ma być tylko „śladem audytowym”, ale ma realnie chronić nasze dobro. A przynajmniej powinna.
PS. Jeśli szukacie punktu wyjścia, na cyberszlif.pl jest już kreator klauzul cyber / AI. Projekt załącznika nadal wymaga dopasowania do konkretnej umowy: https://lnkd.in/dYQHNhx9
Klauzule cyberbezpieczeństwa w umowach IT - dalsze materiały
Warto połączyć projektowanie klauzul z oceną konkretnej usługi i dostawcy. Przeczytaj także:
Jeśli potrzebujesz wsparcia przy konkretnej umowie, zobacz zakres współpracy: prawnik IT - przegląd umów i klauzul oraz prawnik ds. cyberbezpieczeństwa - wymagania wobec dostawców.