Co musí být ve smlouvě s IT dodavatelem, aby nás nezablokoval při incidentu?

Proč se firmy při incidentu ocitají v rukou dodavatele

Bez konkrétních smluvních závazků nemá firma nárok na nic víc než „přiměřenou snahu“ dodavatele. Pokud smlouva mlčí o reakčních časech a přístupu k datům, rozhoduje v krizové chvíli dodavatel sám · kdy zareaguje, jak rychle a jestli vůbec dá zákazníkovi přístup k vlastním systémům. Typický scénář: e-shop má napadený server, dodavatel tvrdí, že řeší „podle priorit“, a zákazník nemá páku, jak si vynutit rychlejší postup.

Problém se často projeví až ve chvíli, kdy je firma v tísni · tedy přesně tehdy, kdy je pozdě cokoliv dodatečně vyjednávat. Klauzule o incidentech se proto řeší už při podpisu smlouvy, ne až po prvním výpadku.

Jaké parametry SLA musí smlouva jasně definovat

Service Level Agreement (SLA) nesmí zůstat u obecné fráze typu „dodavatel se zavazuje reagovat neprodleně“. Musí obsahovat měřitelné hodnoty, na které se dá odvolat.

Konkrétně by smlouva měla stanovit:

1. Klasifikaci incidentů podle závažnosti · typicky kritický, vysoký, střední, nízký, s jasnou definicí, co do které kategorie spadá (např. výpadek platební brány = kritický).
2. Reakční dobu · za jak dlouho od nahlášení dodavatel potvrdí přijetí incidentu a začne jej řešit.
3. Dobu do vyřešení nebo obnovy provozu · oddělenou od reakční doby, protože reakce a skutečná náprava jsou dvě různé věci.
4. Kontaktní kanály a eskalační řetězec · kdo je dostupný mimo pracovní dobu a na koho se eskaluje, pokud první kontakt neřeší.
5. Povinnost informovat zákazníka o průběhu řešení v pravidelných intervalech, ne až po vyřešení.

Modelový příklad: fiktivní firma Papírny Novák s.r.o. má se svým IT dodavatelem sjednáno, že kritický incident musí být potvrzen do 30 minut a provoz obnoven do 4 hodin, jinak nastupuje smluvní pokuta. Díky tomu má firma nástroj, jak dodavatele donutit k rychlé reakci, a ne jen prosit.

Přístup k datům a systémům, když spolupráce skončí nebo vázne

Smlouva musí garantovat, že zákazník má přístup ke svým datům, konfiguracím a přihlašovacím údajům nezávisle na aktuálním stavu vztahu s dodavatelem. Toto ujednání se často nazývá exit plán nebo klauzule o přenositelnosti dat.

Mělo by zahrnovat:

• Výslovné potvrzení, že data, zdrojové kódy a konfigurace jsou vlastnictvím zákazníka, ne dodavatele.
• Povinnost dodavatele předat přístupová hesla, API klíče a dokumentaci do stanoveného počtu dní od výpovědi nebo na vyžádání.
• Formát exportu dat, aby byl použitelný i u jiného dodavatele.
• Zákaz podmiňovat předání dat úhradou sporných faktur · tedy zákaz „držení dat jako rukojmí“.
• Součinnost při migraci k novému poskytovateli po přiměřenou dobu po ukončení smlouvy.

Bez těchto bodů se může stát, že firma sice smlouvu ukončí, ale ke svým vlastním datům se prakticky nedostane, dokud nezaplatí, co dodavatel požaduje. V auditech CIAD se opakovaně ukazuje, že chybějící exit plán patří mezi nejčastější smluvní nedostatky u menších a středních firem.

Kdo nese odpovědnost a jaké sankce má nedodržení lhůt

Smlouva by měla jasně stanovit, kdo je odpovědný, pokud dodavatel lhůty nedodrží, a jaké z toho plynou důsledky. Bez sankčního mechanismu je porušení SLA jen morálním selháním bez reálného dopadu.

Praktická ujednání zahrnují smluvní pokuty odstupňované podle délky prodlení, právo zákazníka na okamžitou výpověď při opakovaném porušení kritických lhůt, a jasné vymezení, kdo hradí škody vzniklé prodlením · zejména pokud incident souvisí s únikem osobních údajů. V takovém případě navíc vstupuje do hry odpovědnost podle GDPR a povinnost hlásit incident úřadu do 72 hodin.

Co to znamená: Firma, která podepisuje smlouvu s IT dodavatelem bez konkrétních čísel u reakčních dob, bez garantovaného přístupu k datům a bez exit plánu, se v okamžiku incidentu ocitá v pozici prosebníka, ne partnera. Tato ujednání se vyplatí vyjednat předem, ideálně s právníkem, který smlouvu projde jako celek · obecná doporučení z tohoto textu nenahrazují individuální právní posouzení konkrétní smlouvy a situace firmy.