W przeglądzie umowy na usługi IT warto prześledzić drogę jednej informacji: wykonawca wykrywa zdarzenie mogące wpłynąć na system klienta. Kto dowiaduje się o tym po stronie zamawiającego, jak szybko uzyskuje użyteczne dane i do kogo zwraca się z pytaniami? Jeżeli odpowiedź wymaga poszukiwania opiekuna handlowego i odczytywania kilku niespójnych załączników, sam zapis o wsparciu technicznym może okazać się niewystarczający.

Sprawdź proces, który kupujesz wraz z usługą

Warto zacząć od uporządkowania zakresu współpracy. Inne informacje ma firma utrzymująca aplikację, inne dostawca infrastruktury, a jeszcze inne wykonawca obsługujący jedynie wybrany moduł. Przegląd powinien pokazać, za jakie elementy odpowiada każda ze stron, kto monitoruje ich działanie i jakie zależności pozostają poza bezpośrednią kontrolą wykonawcy. Bez tej mapy łatwo wymagać od partnera danych, do których nie ma dostępu, albo przeoczyć obszar nieprzypisany nikomu.

• Jakie zdarzenia uruchamiają informowanie klienta i gdzie opisano tę przesłankę?
• Czy wskazane kanały są obsługiwane w godzinach odpowiadających potrzebom usługi?
• Kto ma uprawnienie do eskalacji oraz kto zastępuje osoby kontaktowe?
• Jak strony wymieniają uzupełnienia, potwierdzają odbiór i oznaczają pilne sprawy?

To pytania do rozmowy o konkretnej usłudze, a nie gotowy wzór klauzuli. Uzgodniony model trzeba zestawić z organizacją obu stron i właściwymi dla nich obowiązkami prawnymi.

Pierwsza wiadomość nie musi być końcowym raportem

W umowie warto odróżnić przekazanie wstępnej informacji od zakończenia analizy przyczyn. Oczekiwanie na pełny raport może pozbawić klienta czasu potrzebnego na własną ocenę i działania ochronne. Z drugiej strony pierwsze zgłoszenie nie powinno zamieniać przypuszczeń w pewniki. Użyteczny standard wskazuje, co wykonawca przekazuje na podstawie aktualnej wiedzy, jak oznacza braki i kiedy podaje kolejną aktualizację.

Zamawiający może potrzebować opisu objawów, usług objętych problemem, czasu wykrycia oraz podejmowanych czynności. Jeśli te informacje nie są jeszcze dostępne, warto uzgodnić sposób ich uzupełniania. Należy również odróżniać moment wystąpienia zdarzenia od chwili jego wykrycia i przekazania wiadomości. Wspólna chronologia pomaga obu stronom odtworzyć przebieg reakcji, bez zgadywania, co oznacza data wpisana w nagłówku raportu.

Sformułowanie „niezwłocznie” nie zastępuje organizacji dyżuru. Nawet dobrze dobrany termin umowny wymaga działającego kanału kontaktu oraz osoby, która potrafi rozpoznać wagę otrzymanej informacji.

Warto też ustalić, czy wiadomość trafia wyłącznie do centrum obsługi, czy również do wskazanego koordynatora incydentu po stronie klienta. Automatyczne potwierdzenie przyjęcia zgłoszenia nie dowodzi jeszcze, że ktoś rozpoczął ocenę sytuacji. Próg dalszej eskalacji powinien wynikać z uzgodnionego procesu, szczególnie gdy zdarzenie wpływa na krytyczną dla zamawiającego funkcję.

Obowiązki prawne nie sprowadzają się do jednego czasu reakcji

Parametr określający czas odpowiedzi serwisu służy zarządzaniu usługą. Nie należy traktować go jako uniwersalnej odpowiedzi na wszystkie wymagania dotyczące zgłoszeń incydentów. Odrębnej analizy mogą wymagać ochrona danych osobowych, przepisy o cyberbezpieczeństwie oraz zobowiązania branżowe. To, czy i jakie obowiązki powstają, zależy od konkretnych ról stron, rodzaju zdarzenia i zakresu zastosowania regulacji.

Umowa powinna wspierać wykonanie obowiązków zamawiającego, a nie tworzyć pozorne poczucie, że dostawca przejął całą odpowiedzialność. Trzeba sprawdzić, kto ocenia zdarzenie, kto sporządza wymagane zgłoszenie oraz jakie informacje i pomoc zapewnia druga strona. Jeżeli w danym procesie dostawca przetwarza dane osobowe w imieniu klienta, należy również przejrzeć odpowiednie ustalenia dotyczące powierzenia i obsługi naruszeń. Samo nazwanie wykonawcy procesorem nie rozstrzyga jego roli we wszystkich usługach.

Kontekst zarządczy takiego przeglądu przedstawiono w materiale: https://polmagazyn.pl/cyberatak-to-nie-tylko-problem-it-co-zarzad-musi-wiedziec-o-nis2-ksc-i-odpowiedzialnosci-prawnej/. Przy negocjowaniu zapisów warto odnieść te zagadnienia do rzeczywistego podziału zadań w firmie.

Przywrócenie działania i zachowanie informacji

Wyobraźmy sobie sytuację roboczą: aplikacja przestaje działać, wykonawca proponuje odtworzenie środowiska, a zespół klienta chce najpierw zabezpieczyć informacje potrzebne do ustalenia przyczyny. Nie jest to opis konkretnego incydentu. Taki przykład pozwala jednak sprawdzić, czy strony wiedzą, kto zatwierdza czynności, jakie dane mają być zachowane i jak uzgadnia się kolejność prac. Odtwarzanie usługi oraz analiza zdarzenia powinny być ze sobą skoordynowane.

W umowie i dokumentach operacyjnych warto ustalić zasady dostępu do potrzebnych zapisów, zakres ich dostępności oraz sposób przekazania uprawnionym osobom. Nie oznacza to bezwarunkowego prawa klienta do wszystkich systemów i danych wykonawcy. Trzeba uwzględnić ochronę innych klientów, poufność, bezpieczeństwo dostępu oraz rzeczywiste możliwości techniczne.

Przydatne jest także wskazanie, kto dokumentuje przeprowadzone działania. Krótkie odnotowanie decyzji o zmianie konfiguracji lub odtworzeniu kopii pomaga później ustalić, na jakiej podstawie i w jakiej kolejności wykonano prace.

Podwykonawcy i koszty współpracy podczas zdarzenia

Zamawiający powinien wiedzieć, jak informacje przepływają przez łańcuch usług. Jeżeli dostawca korzysta z podwykonawcy, warto zapytać o sposób uzyskiwania od niego wiadomości i pomocy potrzebnej przy incydencie. Odpowiedź „czekamy na partnera” opisuje stan sprawy, lecz nie wyjaśnia, kto prowadzi kontakt, kiedy następuje eskalacja i jak klient otrzyma aktualizację. Uzgodnienia z bezpośrednim wykonawcą powinny odpowiadać temu, co rzeczywiście może on zapewnić.

Osobnym tematem jest rozliczenie dodatkowych czynności. Warto ustalić, co mieści się w obsłudze incydentu, jak zatwierdza się prace wykraczające poza zakres i kto może zaakceptować koszt w trybie pilnym. Rozmowa o cenie analizy dopiero po jej rozpoczęciu utrudnia współpracę. Równie niepraktyczny może być wymóg uzyskania zgody od osoby, która poza godzinami pracy pozostaje nieosiągalna.

Przed podpisaniem aneksu poproś obie strony o przejście jednego przykładowego zgłoszenia. Niech wskażą adresata, sposób potwierdzenia odbioru, następną informację i osobę podejmującą decyzję. Wynik takiej rozmowy może ujawnić konieczność poprawienia numeru dyżurnego, załącznika albo podziału uprawnień. Te szczegóły warto uporządkować równocześnie z treścią prawną, aby ustalenia dało się wykonać podczas rzeczywistego zdarzenia.

Artykuł partnera