SMLUVNÍ DODATEK OD BANKY

Proč dodatek dorazil a co jím protistrana plní

Nařízení (EU) 2022/2554 o digitální provozní odolnosti finančního sektoru, zkráceně DORA, se podle čl. 64 používá ode dne 17. ledna 2025. Povinnosti z něj dopadají na finanční subjekty — banky, pojišťovny, platební instituce, obchodníky s cennými papíry a další. Vám jako dodavateli informačních a komunikačních technologií z nařízení přímé povinnosti obvykle nevznikají. Vznikají vám ze smlouvy, protože finanční subjekt smlouvu bez určitých ustanovení uzavřít ani udržovat nesmí.

To je celý důvod, proč dodatky chodí. Není to iniciativa právního oddělení a většinou ani prostor pro to, aby si protistrana vymýšlela: čl. 30 obsahuje výčet, který ve smlouvě musí být. Praktický rozdíl proti běžnému vyjednávání je v tom, že argument „tohle nám nevyhovuje“ u těchto bodů nefunguje — protistrana je nemůže vypustit, ani kdyby chtěla.

Definice dodavatele je přitom široká a nemá velikostní hranici. Podle čl. 3 bodu 19 je poskytovatelem služeb IKT z řad třetích stran „podnik poskytující služby IKT“ a podle čl. 3 bodu 21 jsou službami IKT digitální a datové služby poskytované průběžně prostřednictvím systémů IKT jednomu nebo více interním nebo externím uživatelům, včetně hardwaru jako služby a hardwarových služeb s technickou podporou formou aktualizací softwaru nebo firmwaru. Výslovně vyňaté jsou jen tradiční analogové telefonní služby. Tříčlenný softwarový dům je tedy dodavatelem ICT stejně jako globální poskytovatel cloudu.

Druhý zdroj požadavků je evidenční. Podle čl. 28 odst. 3 vede finanční subjekt registr informací ke všem smluvním ujednáním o využívání služeb IKT, a to na úrovni subjektu i na subkonsolidované a konsolidované úrovni. Proto se v dotaznících objevují položky, které se smlouvou zdánlivě nesouvisejí: identifikátor právnické osoby, země poskytování služby, výpovědní lhůty ve dnech nebo seznam subdodavatelů. Nejsou to zvědavé otázky, ale políčka ve výkazu.

• Jeden dokument, ne pět příloh. Podle čl. 30 odst. 1 musí být práva a povinnosti jasně rozděleny a stanoveny písemně a úplná smlouva včetně dohod o úrovni služeb je vyhotovena v jednom písemném dokumentu dostupném stranám v papírové podobě nebo v jiném formátu, který lze stáhnout, je trvalý a přístupný. Odtud plyne tlak na konsolidované znění místo řetězu e-mailových příloh.
• Rozhodnutí padlo před dodatkem. Podle čl. 28 odst. 4 finanční subjekt před uzavřením smlouvy posuzuje mimo jiné to, zda ujednání podporuje zásadní nebo důležitou funkci, jaká rizika z něj plynou včetně rizika koncentrace, a provádí u dodavatele náležitou péči. Dotazník, který přišel před dodatkem, je právě tohle.
• Odpovědnost se neposouvá. Podle čl. 28 odst. 1 písm. a) zůstává finanční subjekt plně odpovědný za dodržení nařízení bez ohledu na to, kolik toho nakoupil zvenčí. Proto po vás chce podklady, a ne prohlášení — prohlášením svou odpovědnost nesplní.
• Co v dodatku není z nařízení. Bezpečnostní dotazníky, certifikáty, smluvní pokuty, pojistné limity nebo požadavek na konkrétní normu jsou obchodní požadavky. Mohou být legitimní a mohou vycházet z vnitřní politiky protistrany, ale nejsou to citace čl. 30 — a to je při vyjednávání zásadní rozdíl.
• Kritický poskytovatel je jiný příběh. Samostatný režim přímého dohledu podle čl. 31 se týká poskytovatelů určených evropskými orgány dohledu podle kritérií v čl. 31 odst. 2, tedy systémového dopadu výpadku, systémové povahy závislých subjektů, míry spoléhání u zásadních funkcí a nahraditelnosti. Pro běžný softwarový dům je to scénář mimo dosah.

Užitečná první otázka do e-mailu, ještě než začnete číst dodatek po odstavcích: podporuje naše služba zásadní nebo důležitou funkci? Odpověď rozhoduje o polovině textu, který jste dostali, a protistrana ji zná — právě podle ní dodatek sestavila.

Dvě úrovně dodatku: devět prvků, nebo devět plus šest

Článek 30 je postavený dvoustupňově a stojí za to to poznat hned. Odstavec 2 obsahuje devět prvků, písmena a) až i), které musí obsahovat každé smluvní ujednání o využívání služeb IKT — bez ohledu na to, co vaše služba podporuje. Odstavec 3 k nim přidává dalších šest okruhů, písmena a) až f), a to výslovně „kromě prvků uvedených v odstavci 2“. U služby, která podporuje zásadní nebo důležitou funkci, tedy platí obojí kumulativně.

Co je zásadní nebo důležitá funkce, vymezuje čl. 3 bod 22: funkce, jejíž narušení by významně narušilo finanční výkonnost finančního subjektu nebo řádný průběh či kontinuitu jeho služeb a činností, nebo jejíž přerušení či chybný průběh by významně narušily dodržování podmínek a povinností plynoucích z povolení k činnosti nebo z jiných povinností podle práva finančních služeb. Posouzení dělá finanční subjekt, ne vy — a poznáte ho podle toho, jak tvrdý dodatek dostanete.

Devět prvků z odstavce 2 vypadá na první čtení nevinně a většinu z nich má rozumná smlouva na dodávku softwaru stejně. Dva z nich ale mění cenový model a jeden mění provozní režim, takže je nemá smysl odklikávat jako formality. Odstavec 3 je pak ta část, kvůli které se dodatky vyjednávají měsíce; věnují se jí samostatné sekce níž.

• a) Popis funkcí a služeb — srozumitelný a úplný, s uvedením, zda je povoleno zajišťování služeb IKT podporujících zásadní nebo důležité funkce nebo jejich podstatných součástí subdodavatelem, a v kladném případě podmínky. Tohle je zákonný háček, na který navazuje celý režim subdodávek.
• b) Místa — konkrétně regiony nebo země, kde se funkce a služby poskytují a kde se zpracovávají data včetně místa jejich uchovávání, plus povinnost oznámit předem plánovanou změnu těchto míst.
• c) Ochrana údajů — ustanovení o dostupnosti, hodnověrnosti, integritě a důvěrnosti při ochraně údajů, včetně osobních. Pozor, není to duplikát smlouvy o zpracování osobních údajů: týká se to všech dat, ne jen osobních.
• d) Přístup, obnova a vrácení dat ve snadno přístupném formátu při platební neschopnosti, řešení krize nebo přerušení činnosti dodavatele a při ukončení smlouvy.
• e) Popis úrovně služeb včetně aktualizací a revizí. U služby mimo zásadní funkce stačí popis; u zásadní funkce se požadavek zpřísňuje, viz odstavec 3.
• f) Pomoc při incidentu v oblasti IKT souvisejícím s poskytovanou službou, a to bez dodatečných nákladů, nebo za náklady stanovené ex ante. Prakticky to znamená, že krizová podpora nesmí být naceněná až ve chvíli, kdy hoří.
• g) Spolupráce s orgány — plná spolupráce s příslušnými orgány a s orgány příslušnými k řešení krize finančního subjektu, včetně osob jimi jmenovaných.
• h) Ukončení a výpovědní lhůty — práva na ukončení smlouvy a minimální výpovědní lhůty v souladu s očekáváními příslušných orgánů a orgánů příslušných k řešení krize.
• i) Školení — podmínky pro účast dodavatele na programech zvyšování povědomí o bezpečnosti v oblasti IKT a na školeních o digitální provozní odolnosti podle čl. 13 odst. 6.

Z devíti prvků odstavce 2 se v praxi nejčastěji podcení písmeno f). Věta o pomoci bez dodatečných nákladů nebo za náklady stanovené předem se čte jako samozřejmost, ale znamená, že mimořádná součinnost při incidentu musí mít cenu dohodnutou dopředu — a když ji dopředu nedohodnete, platí varianta bez dodatečných nákladů.

Práva na přístup, kontrolu a audit: co odmítnout nejde

U služeb podporujících zásadní nebo důležité funkce dává čl. 30 odst. 3 písm. e) finančnímu subjektu právo nepřetržitě sledovat výsledky dodavatele a rozpadá ho na čtyři body. Bod i) je neomezené právo na přístup, kontrolu a audit vykonávané finančním subjektem nebo určenou třetí stranou a příslušným orgánem a právo pořizovat na místě kopie dokumentace, která je zásadní z hlediska provozu dodavatele. A hned k tomu dodává, že účinný výkon těchto práv nesmí být znemožňován či omezován jinými smluvními ujednáními nebo prováděcími politikami.

Tahle poslední věta je důvod, proč obvyklá klauzule typu „audit probíhá výhradně podle auditní politiky poskytovatele“ v dodatku neprojde. Není to tvrdohlavost protistrany: kdyby ji přijala, uzavřela by smlouvu, která odporuje textu nařízení. Totéž platí pro odkazy na obchodní podmínky, které audit fakticky vylučují.

Zbývající tři body se čtou mnohem lépe, protože právě v nich je prostor. Bod ii) výslovně počítá s právem sjednat alternativní úroveň záruky, budou-li dotčena práva jiných klientů — typicky ve sdíleném prostředí. Bod iii) žádá plnou spolupráci při kontrolách na místě a auditech prováděných příslušnými orgány, hlavním orgánem dohledu, finančním subjektem nebo určenou třetí stranou. Bod iv) pak povinnost poskytnout podrobnosti o rozsahu, postupech a četnosti těchto kontrol a auditů, což je oboustranná věc: jakmile je četnost popsaná, přestává být neomezená v praktickém slova smyslu.

Druhá strana téže mince je v regulační technické normě, kterou se řídí politika finančního subjektu, tedy v nařízení (EU) 2024/1773. Podle jeho čl. 8 odst. 2 má finanční subjekt k dispozici čtyři metody: vlastní interní audit nebo audit určenou třetí stranou, ve vhodných případech společné audity a společné testování s jinými zákazníky téhož dodavatele, ve vhodných případech osvědčení vydávaná třetími stranami a auditní zprávy vypracované interně nebo třetími stranami. Podle čl. 8 odst. 3 se ale nesmí dlouhodobě spoléhat pouze na osvědčení nebo auditní zprávy, a i krátkodobě jen za podmínek, které tentýž odstavec vyjmenovává.

• Nevyjednatelné: existence práva. Právo na přístup, kontrolu a audit pro finanční subjekt, jím určenou třetí stranu i příslušný orgán ve smlouvě být musí a nesmí být vyprázdněno odkazem na jiné ujednání nebo na vaši interní politiku.
• Nevyjednatelné: spolupráce a informace o rozsahu. Plná spolupráce při kontrolách na místě a povinnost sdělit rozsah, postupy a četnost auditů plynou přímo z bodů iii) a iv).
• Prostor: forma výkonu. Společný audit organizovaný pro více zákazníků, který nařízení (EU) 2024/1773 v čl. 8 odst. 2 písm. b) výslovně předpokládá, je pro sdílenou platformu obvykle rozumnější než deset individuálních návštěv ročně.
• Prostor: podklady místo návštěv. Osvědčení a auditní zprávy protistrana použít smí, ale musí být spokojena s vaším plánem auditu, ověřit, že rozsah pokrývá určené systémy a klíčové kontroly, průběžně posuzovat, zda zprávy nejsou zastaralé, a mít smluvní právo požadovat rozšíření rozsahu i právo provést audit vlastní. Nabídnout zprávu tedy dává smysl, spoléhat na to, že vás zbaví auditního práva, ne.
• Prostor: alternativní záruka ve sdíleném prostředí. Bod ii) je jediné místo, kde nařízení samo pojmenovává, že práva jiných klientů mohou být překážkou — a nabízí náhradní řešení.
• Prostor: provozní podmínky. Ohlašovací lhůta, počet auditorů, pracovní doba, mlčenlivost, ochrana dat ostatních zákazníků při pořizování kopií a rozsah dokumentace jsou běžné předměty jednání. Zákaz auditu z nich udělat nelze, režim ano.
• Prostor: rozumný strop četnosti. Neomezené právo neznamená, že se audit musí konat každý měsíc. Dohodnutá plánovaná četnost s možností mimořádného auditu při konkrétní události je běžné a fungující řešení.

Jedna odchylka existuje a pravidelně se plete. Podle pododstavce následujícího za čl. 30 odst. 3 písm. f) se dodavatel a finanční subjekt, který je mikropodnikem, mohou dohodnout, že práva na přístup, kontrolu a audit budou přenesena na nezávislou třetí stranu určenou dodavatelem, přičemž mikropodnik od ní může kdykoli žádat informace a ujištění. Odchylka je navázaná na velikost finančního subjektu, ne na velikost dodavatele, a týká se výhradně písmene e).

Subdodavatelé: nejtvrdší část dodatku

Základ je v čl. 30 odst. 2 písm. a): popis služeb musí uvádět, zda je povoleno zajišťování služeb IKT podporujících zásadní nebo důležité funkce nebo jejich podstatných součástí subdodavatelem, a v kladném případě podmínky. Na tenhle háček navazuje nařízení v přenesené pravomoci (EU) 2025/532, přijaté podle čl. 30 odst. 5, které má sedm článků a upřesňuje, co musí finanční subjekt u subdodávek určit a posoudit.

Pro dodavatele jsou podstatné tři z nich. Podle čl. 3 odst. 1 uvedeného nařízení musí finanční subjekt ještě před uzavřením smlouvy rozhodnout, zda subdodávky vůbec povolí, a smlouvu uzavře jen tehdy, jsou-li splněny všechny podmínky pod písmeny a) až j). Mezi nimi je i to, že subdodavatel přizná finančnímu subjektu, příslušným orgánům a orgánům příslušným k řešení krize stejná smluvní práva na přístup a kontrolu jako vy sami, že finanční subjekt posoudil riziko koncentrace podle čl. 29 DORA a že neexistují překážky výkonu auditu a práv na přístup.

Článek 4 pak popisuje, co k tomu musí stát ve smlouvě — dvanáct věcí pod písmeny a) až l). Vedle odpovědnosti za služby poskytované subdodavateli a povinnosti je sledovat je tam i požadavek, aby vaše smlouvy se subdodavateli obsahovaly požadavky na plány zachování provozu podle čl. 30 odst. 3 písm. c) DORA a upřesňovaly normy bezpečnosti IKT, a aby subdodavatel přiznal práva na přístup, kontrolu a audit ve stejném rozsahu jako čl. 30 odst. 3 písm. e). Tomu se říká propsání požadavků do řetězce a je to nejpracnější část celého dodatku, protože se týká smluv, které už máte podepsané.

Článek 5 zavádí mechanismus schvalování podstatných změn: o zamýšlených podstatných změnách ujednání o subdodávkách musíte informovat s dostatečným předstihem, smlouva obsahuje přiměřenou oznamovací lhůtu pro schválení nebo námitku a změnu smíte provést až poté, co ji finanční subjekt schválí nebo proti ní do konce lhůty nevznese námitku. Článek 6 k tomu přidává důvody, pro které smí protistrana smlouvu ukončit — mimo jiné tehdy, když zadáte službu podporující zásadní nebo důležitou funkci subdodavateli, ačkoli to smlouva výslovně nepovoluje.

• Nevyjednatelné: výslovné povolení. Subdodávka u zásadní nebo důležité funkce musí být ve smlouvě povolená výslovně. Mlčení se nevykládá ve váš prospěch a nepovolená subdodávka je podle čl. 6 písm. c) nařízení (EU) 2025/532 samostatný důvod k ukončení smlouvy.
• Nevyjednatelné: přehled o vlastním řetězci. Musíte být schopni identifikovat všechny subdodavatele poskytující služby podporující zásadní nebo důležité funkce, oznámit je a poskytnout informace potřebné k posouzení. Bez udržovaného seznamu tuhle podmínku nesplníte.
• Nevyjednatelné: propsání práv do řetězce. Auditní a kontrolní práva a požadavky na plány zachování provozu a bezpečnostní normy musí projít do vašich smluv se subdodavateli. Tohle je práce, kterou za vás nikdo neudělá, a je dobré ji začít dřív, než dorazí dodatek.
• Prostor: seznam předem schválených subdodavatelů jako příloha smlouvy s režimem změn. Je to výrazně provozuschopnější než schvalování ad hoc a protistraně to zároveň dává, co potřebuje.
• Prostor: definice podstatné změny. Nařízení pojem nekvantifikuje. Dohodnout, co je podstatná změna (nový subdodavatel u zásadní funkce, změna země zpracování, změna kategorie služby) a co se jen oznamuje, je legitimní a šetří obě strany.
• Prostor: délka oznamovací lhůty. Nařízení žádá lhůtu „přiměřenou“. Číslo se doplňuje ve smlouvě a je předmětem jednání — s vědomím, že do ní musí protistrana stihnout posouzení, ne jen evidenci.
• Prostor: rozsah režimu. Přísný režim se týká subdodavatelů zajišťujících služby podporující zásadní nebo důležité funkce nebo jejich podstatné součásti. Vymezit, kteří dodavatelé vaší firmy do téhle kategorie nespadají, je legitimní a obvykle to zmenší seznam na zvládnutelnou velikost.

Podle čl. 3 odst. 3 nařízení (EU) 2025/532 nezbavuje spoléhání se na výsledky posouzení, která u svých subdodavatelů provádějí sami dodavatelé, finanční subjekt konečné odpovědnosti za plnění jeho povinností. Proto po vás protistrana chce podklady a ne prohlášení — a proto se vyplatí mít je připravené v použitelné podobě, místo abyste je sestavovali ke každému dotazníku znovu.

Lokalizace dat a oznamování změn

Čl. 30 odst. 2 písm. b) patří mezi devět prvků povinných u každé smlouvy o službách IKT, tedy i tam, kde o zásadní funkci nejde. Smlouva musí uvádět místa — konkrétně regiony nebo země —, kde mají být nasmlouvané nebo subdodavatelem zajišťované funkce a služby IKT poskytovány a kde mají být zpracovávána data, včetně místa jejich uchovávání. A k tomu povinnost oznámit finančnímu subjektu předem, plánujete-li tato místa změnit.

Sousloví „konkrétně regiony nebo země“ je důvod, proč formulace typu „v rámci Evropské unie“ obvykle neprojde. Souvisí to s registrem informací: prováděcí nařízení (EU) 2024/2956 v příloze I ve vzoru B_02.02 žádá zemi poskytování služeb IKT, umístění uchovávaných dat a místo správy, tedy zpracování údajů. Vykazuje se dvoupísmenným kódem podle ISO 3166-1, takže odpověď „EU“ do políčka nepatří a protistrana ji nemůže použít.

Zvláštní pozornost si zaslouží třetí země. Podle čl. 29 odst. 2 finanční subjekt u smluv na zásadní nebo důležité funkce zvažuje výhody a rizika subdodávek, zejména je-li subdodavatel usazen ve třetí zemi, řádně zvažuje ustanovení insolvenčního práva a omezení, jež mohou vzniknout při naléhavé obnově dat, a posuzuje, zda a jak mohou potenciálně dlouhé nebo složité subdodavatelské řetězce ovlivnit jeho schopnost sledovat nasmlouvané funkce a schopnost orgánů provádět účinný dohled. Když tedy vaše architektura obsahuje službu provozovanou mimo EU, počítejte s tím, že se dodatek v téhle části zpřísní.

• Nevyjednatelné: uvedení míst ve smlouvě. Regiony nebo země poskytování služby, zpracování dat i jejich uchovávání musí být ve smlouvě uvedené. Odkaz na obecnou politiku poskytovatele požadavek nesplní.
• Nevyjednatelné: oznámení předem. Změnu míst je nutné oznámit předem, ne zpětně. Písmeno b) mluví o oznámení, ne o souhlasu — což je zároveň to, co lze při vyjednávání použít.
• Prostor: oznámení versus souhlas. Požadavek na předchozí písemný souhlas se změnou lokality jde nad rámec písmene b). Je legitimní ho odmítnout u nekritických služeb a přijmout tam, kde jde o zásadní funkci a kde protistranu tlačí režim podstatných změn u subdodávek.
• Prostor: granularita. Země nebo region jsou to, co nařízení žádá. Adresa konkrétního datového centra je požadavek nad rámec — u některých provozů dává smysl, u sdílené infrastruktury bývá nesplnitelný.
• Prostor: lhůta oznámení. Nařízení ji nečísluje. Číslo ve smlouvě je předmětem jednání a má odpovídat tomu, jak dlouho trvá protistraně posouzení a případná aktualizace registru.
• Prostor: seznam schválených regionů. Vymezit dopředu množinu zemí, ve kterých se smíte pohybovat bez dalšího schvalování, je pro obě strany výrazně provozuschopnější než jednorázová oznámení.
• Nezapomeňte na okraje architektury. Zálohy, replikace, síť pro doručování obsahu, monitoring, systém pro hlášení chyb i podpora dostupná mimo pracovní dobu jsou místa, kde data reálně bývají — a kde se nejčastěji zjistí, že mapa v dodatku neodpovídá provozu.

Písmeno b) se často zamění se smlouvou o zpracování osobních údajů. Jsou to dvě různé vrstvy: ochrana osobních údajů má vlastní právní režim, kdežto DORA se ptá na všechna data zpracovávaná finančním subjektem a na místa poskytování služby jako takové. Obojí spolu bývá v jednom dodatku, ale ustanovení se nenahrazují.

Incidenty: lhůty v dodatku nejsou vaše, ale odvozené

Nařízení dodavateli žádnou lhůtu pro hlášení incidentu nestanoví. Číslo, které v dodatku najdete, je odvozené z lhůt, které musí stihnout protistrana. Podle nařízení v přenesené pravomoci (EU) 2025/301 čl. 5 předkládá finanční subjekt prvotní oznámení co nejdříve, v každém případě do čtyř hodin od klasifikace incidentu jako závažného a nejpozději do 24 hodin od okamžiku, kdy se o incidentu dozvěděl. Průběžná zpráva následuje nejpozději do 72 hodin od prvotního oznámení a závěrečná zpráva nejpozději jeden měsíc po průběžné zprávě nebo po její poslední aktualizaci.

Odtud plyne, proč po vás protistrana chce hlášení v jednotkách hodin nebo desítkách minut. Nepotřebuje ho proto, aby vás kontrolovala, ale proto, že bez vaší informace nedokáže incident klasifikovat, a lhůta na klasifikaci jí přitom běží. Tohle je při vyjednávání dobré vědět: cílem není nejkratší číslo, ale to, aby protistrana dostala použitelné informace včas.

Ve smlouvě jsou k tomu dvě ustanovení. Čl. 30 odst. 2 písm. f) žádá povinnost poskytnout pomoc při incidentu IKT bez dodatečných nákladů nebo za náklady stanovené ex ante. Čl. 30 odst. 3 písm. b) pak u zásadních nebo důležitých funkcí přidává výpovědní lhůty a povinnosti hlášení, včetně oznámení jakéhokoli vývoje, který by mohl mít významný dopad na vaši schopnost poskytovat službu ve sjednané úrovni. Poslední část se často přehlédne: nejde jen o incidenty, ale i o změny na vaší straně, které se incidentem teprve mohou stát.

• Nevyjednatelné: hlásit budete. Povinnost hlášení a oznamování vývoje s významným dopadem plyne z čl. 30 odst. 3 písm. b) a ve smlouvě na zásadní nebo důležitou funkci musí být.
• Nevyjednatelné: cena součinnosti dopředu. Pomoc při incidentu je buď bez dodatečných nákladů, nebo za náklady stanovené ex ante. Cena krizové podpory tedy musí být dohodnutá předem, ne nabídnutá během incidentu.
• Prostor: konkrétní lhůta a její začátek. Nařízení lhůtu dodavatele nečísluje. Vyjednává se jak číslo, tak okamžik, od kterého běží — zjištění, potvrzení, nebo interní klasifikace na vaší straně.
• Prostor: co je hlásitelná událost. Rozumné je navázat definici na dopad do služby poskytované protistraně, ne na každou interní událost. Bez toho hlásíte i to, co se jí nijak netýká, a v šumu zapadne podstatné.
• Prostor: kanál a obsah prvního hlášení. Dohodnutý formát — co se stalo, co je dotčené, co zatím nevíte, kdy přijde další zpráva — pomáhá protistraně ke klasifikaci víc než rychlejší, ale prázdná zpráva.
• Prostor: eskalace a dostupnost. Kdo je dosažitelný mimo pracovní dobu, jak se předává směna a kdo má u vás pravomoc rozhodnout, se dá popsat konkrétně. Je to lepší obrana proti sporům než obecná formulace o „bezodkladném informování“.
• Připravte se na dotazy zpětně. Protistrana bude po incidentu potřebovat podklady do průběžné a závěrečné zprávy. Když víte, co v nich bude, můžete si k tomu rovnou vést záznamy — a ne je dohledávat měsíc po události.

Zvláštní režim má víkend. Podle čl. 5 odst. 4 nařízení (EU) 2025/301 může finanční subjekt při lhůtě připadající na víkend nebo státní svátek podat oznámení nejpozději v poledne následujícího pracovního dne, ale podle odstavce 5 se tenhle odklad nepoužije pro prvotní oznámení a průběžnou zprávu úvěrových institucí, ústředních protistran, provozovatelů obchodních systémů a dalších subjektů považovaných za základní nebo důležité podle směrnice (EU) 2022/2555. Když je vaším zákazníkem banka, na víkendovou úlevu nespoléhejte.

Exit, přechodné období a vrácení dat

U služeb podporujících zásadní nebo důležité funkce žádá čl. 30 odst. 3 písm. f) strategii ukončení smluvního vztahu, a to zejména stanovení povinného přiměřeného přechodného období. Během něj dodavatel dál poskytuje příslušné funkce nebo služby, aby se snížilo riziko výpadku, a finanční subjekt může přejít k jinému dodavateli nebo k vlastnímu řešení odpovídajícímu složitosti poskytované služby. Není to tedy jen výpovědní lhůta: je to závazek pokračovat v provozu ve chvíli, kdy už je rozhodnuto, že vztah končí.

Ruku v ruce s tím jde čl. 30 odst. 2 písm. d), povinný už u každé smlouvy o službách IKT: zajištění přístupu, obnovy a vrácení osobních i jiných než osobních údajů ve snadno přístupném formátu v případě platební neschopnosti, řešení krize nebo přerušení činnosti dodavatele a při ukončení smluvního ujednání. Formulace „ve snadno přístupném formátu“ je bez dalšího upřesnění zdrojem sporů, a proto se vyplatí ji ve smlouvě rozepsat.

Tlak na tuhle část dodatku nevychází jen z čl. 30. Podle čl. 28 odst. 7 musí být smlouva ukončitelná za čtyř okolností — zásadní porušení právních předpisů nebo smluvních podmínek, zjištění okolností, které mohou změnit plnění nasmlouvaných funkcí, zjištěná slabá místa v celkovém řízení rizika IKT u dodavatele a situace, kdy příslušný orgán kvůli danému ujednání už nedokáže efektivně dohlížet na finanční subjekt. Podle čl. 28 odst. 8 musí být finanční subjekt schopen smlouvu ukončit, aniž by tím narušil své činnosti a dodržování regulatorních požadavků nebo zhoršil kontinuitu a kvalitu služeb klientům, a plány ukončení musí být zdokumentované, dostatečně otestované a pravidelně přezkoumávané.

Praktický důsledek pro vás: protistrana bude chtít exit popsaný tak, aby ho šlo nacvičit. Nařízení v přenesené pravomoci (EU) 2024/1773 jí v čl. 10 ukládá plán ukončení pro každé smluvní ujednání, sestavený pro tři scénáře — nepředvídané a přetrvávající přerušení služeb, nevhodné či chybné poskytování služeb a neočekávané ukončení ujednání — a požaduje, aby byl realistický, proveditelný a s harmonogramem slučitelným s podmínkami ukončení ve smlouvě.

• Nevyjednatelné: existence přechodného období. U zásadních nebo důležitých funkcí musí být ve smlouvě a musí být přiměřené složitosti služby. Jeho úplné vypuštění není možné.
• Nevyjednatelné: vrácení dat. Přístup, obnova a vrácení dat ve snadno přístupném formátu platí u každé smlouvy o službách IKT, ne jen u těch na zásadní funkce, a týká se i situace, kdy končíte činnost vy.
• Prostor: délka přechodného období. Konkrétní počet měsíců nařízení nestanoví. Odvíjí se od složitosti migrace, a proto se vyplatí mít vlastní odhad podložený tím, jak dlouho trvá reálné převzetí služby.
• Prostor: úhrada za přechodné období. Že služba pokračuje, neznamená, že je bez úhrady. Nařízení cenu neupravuje — cenové podmínky přechodného období jsou předmětem smlouvy.
• Prostor: co znamená snadno přístupný formát. Popsat konkrétně, co odevzdáte (formát exportu, schéma, dokumentace, konfigurace) a v jakém termínu, je lepší pro obě strany než neurčitý závazek. U formátů, které jdou k vaší platformě, počítejte s otázkou, jak se z nich data dostanou dál.
• Prostor: rozsah součinnosti při migraci. Kolik dnů odborné kapacity, kdo řídí projekt, jak se testuje převzetí. Tohle je klasické místo pro odstupňované ceníkové plnění dohodnuté předem.
• Počítejte s nácvikem. Protistrana má plány ukončení testovat. V praxi to znamená požadavek na zkušební export dat nebo na ověření, že popsaný postup funguje — u velkého zákazníka je lepší mít to připravené, než improvizovat.

Do registru informací se z téhle sekce propisují konkrétní údaje: výpovědní lhůta pro finanční subjekt a pro dodavatele ve dnech, existence plánu ukončení a náročnost reintegrace služby zpět dovnitř organizace. Jinými slovy — to, co vyjednáte, se objeví v datech, která protistrana odesílá dohledovému orgánu.

Co ještě po vás protistrana bude chtít: registr, LEI a testování

Vedle dodatku dorazí obvykle i tabulka. Formát registru informací stanoví prováděcí nařízení (EU) 2024/2956 a údaje, které od vás protistrana potřebuje, jsou z velké části strojově kontrolované — proto se ptá tak formalizovaně. Podle čl. 3 odst. 5 se k identifikaci všech dodavatelů, kteří jsou právnickými osobami, používá platný a aktivní identifikační kód právnické osoby (LEI) nebo jedinečný evropský identifikační kód (EUID), případně oba. Výjimkou jsou fyzické osoby jednající v rámci podnikatelské činnosti.

U služeb podporujících zásadní nebo důležité funkce jde požadavek dál. Podle čl. 3 odst. 6 zajišťuje finanční subjekt prostřednictvím přímého dodavatele, aby platný a aktivní LEI používali nebo EUID poskytli i všichni subdodavatelé, kteří tyto služby fakticky zajišťují. Jinými slovy: požadavek na identifikátor se vámi propíše do řetězce a je to praktická věc, na kterou je dobré subdodavatele upozornit dřív, než přijde termín výkazu.

Druhá věc, která překvapuje, je penetrační testování na základě hrozeb. Podle čl. 30 odst. 3 písm. d) musí smlouva na zásadní nebo důležitou funkci obsahovat povinnost dodavatele účastnit se penetračního testování na základě hrozeb prováděného finančním subjektem a plně na něm spolupracovat, jak je uvedeno v článcích 26 a 27. Není to totéž co penetrační test, který si možná objednáváte sami: podle čl. 3 bodu 17 jde o řízené testování kritických systémů za provozu, napodobující taktiku, techniky a postupy skutečných útočníků.

Rozsah tohoto testování má váhu i časovou. Určené finanční subjekty ho podle čl. 26 odst. 1 provádějí alespoň jednou za tři roky, podle čl. 26 odst. 2 na systémech skutečně využívaných za provozu a fáze aktivního testování metodou červeného týmu trvá podle čl. 11 odst. 5 nařízení v přenesené pravomoci (EU) 2025/1190 v každém případě nejméně dvanáct týdnů. Pokud jste zahrnuti do rozsahu, není to půldenní součinnost.

• Nevyjednatelné: identifikátor. Bez platného a aktivního LEI nebo EUID vás protistrana do registru nezanese. Zřízení kódu je administrativní úkon, který nemá alternativu v podobě jiného čísla.
• Nevyjednatelné: účast na testování u zásadních funkcí. Povinnost účastnit se penetračního testování na základě hrozeb a plně spolupracovat plyne z čl. 30 odst. 3 písm. d).
• Prostor: podmínky účasti na testu. Rozsah, prostředí, okno pro testování, pravidla eskalace a kontaktní osoby se domlouvají. Nařízení (EU) 2025/1190 počítá i s tím, že vás bude testovat víc zákazníků. Čl. 26 odst. 4 DORA umožňuje písemně dohodnuté společné testování více finančních subjektů pod vedením jednoho z nich, ale jen tam, kde by se od vaší účasti v jednotlivých testech dal rozumně očekávat nepříznivý dopad na kvalitu nebo bezpečnost služeb poskytovaných zákazníkům mimo působnost DORA nebo na důvěrnost jejich dat; smlouvu s externím testerem pak uzavíráte přímo vy. Pro sdílenou platformu je to schůdnější než sekvence samostatných testů.
• Připravte typ služby podle číselníku. Příloha III nařízení (EU) 2024/2956 obsahuje uzavřený seznam typů služeb IKT s kódy S01 až S19 a ve výkazu se uvádí jen kód. Vaše služba do některé kategorie spadne — je lepší navrhnout ji sami, než se dohadovat o zařazení zpětně.
• Připravte údaje o skupině. Registr eviduje i nejvyšší mateřský podnik dodavatele a pořadí jednotlivých článků v dodavatelském řetězci, kde přímý dodavatel má vždy pořadí 1 a subdodavatel vždy vyšší.
• Počítejte s opakováním. Registr se aktualizuje a nároky na kvalitu údajů jsou v čl. 3 odst. 4 uvedeného nařízení vyjmenované jako přesnost, úplnost, konzistentnost, integrita, jednotnost a platnost. Jednorázově vyplněná tabulka bez vlastníka na vaší straně tenhle režim nevydrží.
• Školení nejsou formalita. Podle čl. 30 odst. 2 písm. i) smlouva obsahuje podmínky pro účast dodavatele na programech zvyšování povědomí o bezpečnosti IKT a na školeních o digitální provozní odolnosti finančního subjektu. Rozsah a četnost jsou předmětem dohody, existence ustanovení ne.

Jak přesně registr vypadá, které vzory obsahuje a co se do nich vyplňuje, rozebírá samostatná stránka o registru informací v této kategorii. Pro vyjednávání dodatku stačí vědět, které údaje z vás protistrana potřebuje dostat a proč nemůže přijmout obecnou odpověď.

Jak dodatek projít, aniž ho podepíšete naslepo

Nejrychlejší způsob, jak se v dodatku zorientovat, je rozdělit ho na tři hromádky. Do první patří ustanovení, která doslova odpovídají čl. 30 odst. 2 a 3 — tam se nevyjednává obsah, nejvýš formulace a provozní podrobnosti. Do druhé to, co plyne z technických norem, hlavně z nařízení (EU) 2025/532 u subdodávek a z nařízení (EU) 2024/1773 u auditu a sledování — tam je prostor v tom, jak se povinnost splní. Do třetí všechno ostatní: obchodní požadavky, pokuty, pojištění, certifikáty. Ta třetí hromádka je běžné obchodní jednání.

Při vyjednávání se hodí vědět, že čl. 30 odst. 4 předpokládá, že finanční subjekty a dodavatelé „zváží použití standardních smluvních doložek vypracovaných veřejnými orgány pro konkrétní služby“. Je to úvahová povinnost, ne povinnost takové doložky použít, ale je to legitimní argument proti tomu, aby si každá protistrana psala vlastní znění téhož požadavku.

Druhá věc, která se vyplatí: odpovídat jednou. Většina požadavků se u různých zákazníků opakuje, takže balík podkladů — seznam subdodavatelů s místy zpracování, popis úrovně služeb s kvantitativními cíli, postup exportu dat, kontaktní kanál pro incidenty, doložení bezpečnostních opatření a případné auditní zprávy či certifikáty — ušetří víc času než jednotlivé odpovědi na jednotlivé dotazníky. Zároveň je to přesně to, co po vás protistrana bude potřebovat znovu při každé aktualizaci registru.

A poslední poznámka k tomu, co dodatek doopravdy znamená. Ustanovení podle čl. 30 nejsou papírová: popisují provoz, který má existovat. Podpis pod závazkem hlásit vývoj s významným dopadem nebo pod přechodným obdobím s pokračujícím provozem je závazek, který někdo u vás musí umět splnit v konkrétní den. Proto má smysl číst dodatek s provozním týmem, ne jen s právníkem.

• Zjistěte zařazení služby. Podporuje zásadní nebo důležitou funkci? Odpověď určuje, jestli se vás týká šest okruhů odstavce 3, nebo jen devět prvků odstavce 2.
• Porovnejte dodatek s textem nařízení. Vedle sebe, po písmenech. Věty, které v čl. 30 nemají obdobu, patří do obchodní hromádky.
• Zkontrolujte, co po vás dodatek chce udělat, ne jen slíbit. Hlášení ve lhůtě, export dat, propsání práv do smluv se subdodavateli, dostupnost mimo pracovní dobu.
• Projděte řetězec. Kdo pod vámi zajišťuje část služby, kde sídlí, kde zpracovává data a co má ve smlouvě. U zásadních funkcí to bude potřeba doložit.
• Spočítejte si dopad do ceny. Součinnost při incidentech, přechodné období, audity a účast na testování jsou kapacita. Buď ji naceníte předem, nebo ji budete dodávat bez úhrady.
• Určete vlastníka na své straně. Někdo musí udržovat podklady, hlídat oznamovací lhůty u změn subdodavatelů a odpovídat na dotazy k registru. Bez toho se dodatek splní jen v den podpisu.
• Nepodepisujte formulace, které nedokážete splnit. Nesplnitelný závazek je horší než vyjednaný kompromis — a u ustanovení, která protistrana potřebuje kvůli vlastnímu dohledu, se na jeho nesplnění přijde.

Když jsou dodatky dva a od každé banky jiný, vyplatí se místo vyjednávání každého zvlášť nejdřív popsat vlastní stav — služby, řetězec, místa, lhůty, exit — a teprve proti němu dodatky číst. Jednou zpracovaný popis se použije u dalšího zákazníka i u aktualizace registru.

Postup, kterým dodatek zpracovat

Pořadí, které se nám osvědčuje u dodavatelů, jimž dorazil první dodatek. Není to požadavek nařízení — je to způsob, jak se v textu vyznat dřív, než se začne vyjednávat o jednotlivých větách. Kroky se překrývají a u druhého a dalšího zákazníka většina z nich odpadne, protože podklady už budete mít.

Oficiální zdroje

Tvrzení o povinnostech na této stránce vycházejí z následujících předpisů, stav k 9. 8. 2026. Materiál znění předpisů nenahrazuje — závazné je české znění v Úředním věstníku.