Umowa ICT a cyberbezpieczeństwo?

Michał Nowakowski · 12 października 2026

Czy umowa na dostawę usług ICT powinna mieć klauzule cyberbezpieczeństwa? Nie, nie powinna. Co? Dlaczego?

Czy umowa na dostawę usług ICT powinna mieć klauzule cyberbezpieczeństwa? Nie, nie powinna. Co? Dlaczego?

A no dlatego, że nie "powinna", ale "musi" mieć takie klauzule, jeżeli poważnie podchodzimy do kwestii bezpieczeństwa nas i naszych klientów. Możemy nie być instytucją finansową (DORA) czy podmiotem ważnym lub kluczowym (uKSC), ale nadal pozostajemy odpowiedzialni za dane.

Dlatego też, jeżeli chcemy dobrze zarządzać naszym łańcuchem dostaw, to zawarcie odpowiednich postanowień w umowie z dostawcą jest "must have". Jest jedno "ale". Dostawca może nie być tak samo chętny do gwarantowania odpowiednich poziomów bezpieczeństwa, bo:

❌ usługi nie wiążą się z przetwarzaniem "krytycznych" lub "wrażliwych" danych,

❌ dostawca nie ma rozbudowanego systemu zarządzania bezpieczeństwem informacji i nie chce obiecywać gruszek na wierzbie,

❌ bo wartość umowy nie uzasadnia dodatkowych instytucji w bezpieczeństwo.

Najczęściej będziemy mieli jednak do czynienia z dość prostą argumentacją - przepisy prawa na nas nie nakładają takiego obowiązku. Sytuacja jest o tyle skomplikowana, że rzeczywiście przepisy mogą czynić to nie do końca wprost. Ale czy to oznacza, że dostawca nie powinien? Oczywiście powinien, ale tu wchodzą w grę nasze zdolności negocjacyjne 🧠.

Klauzule, które powinny znaleźć się w umowie dotyczą takich aspektów jak:

✅ posiadanie odpowiedniej polityk(i) bezpieczeństwa informacji i ich operacjonalizacji na poziomie spółki,

✅ zarządzania podatnościami (tutaj kłania się CRA i Andrzej) w odpowiednich ramach czasowych (regularne aktualizacje, działanie "od razu" po wykryciu),

✅ zarządzania incydentami i przekazywania informacji na żądanie zamawiającego,

✅ kwestii (nie)bezpiecznego przetwarzania informacji czy też

✅ zarządzania łańcuchem podwykonawców.

Oczywistym jest, że kwestie odpowiedzialności i ciągłości działania również będziemy chcieli tutaj zawrzeć.

I teraz ważna kwestia do uświadomienia - postanowienia umowne nie są gwarancją, a jedynie oświadczeniem, że ktoś coś robi. Jeżeli nie wypracujemy sobie mechanizmów weryfikacji (na początku, np. wyciągi z polityk etc. i w trakcie trwania umowy), to pozostanie to jedynie pustym zobowiązaniem, które będziemy mogli wyegzekwować często po czasie. I po utracie reputacji.

Tak więc dobry mechanizm zarządzania umowami z dostawcami ICT wymaga świadomości i kompetencji. Widziałem ostatnio w jednym banku nową rolę do zarządzania tylko relacjami z dostawcami usług ICT. U nas może to być za dużo, ale kierunek widzicie.

W sektorze finansowym jest wiele dobrych praktyk, które można zaadoptować do mniejszych podmiotów, więc jeżeli myślicie o tym lub jesteście dostawcą usług i chcecie wyróżnić się na tle konkurencji, to warto o to zadbać. ✅ Jeśli zastanawiacie się, jak przełożyć te praktyki na Wasze umowy i relacje z dostawcami, chętnie porozmawiam o tym, od czego warto zacząć ✅.

Macie podobne doświadczenia? Dajcie znać, bo warto dzielić się dobrymi praktykami.