IKT-tredjepartsrisk: ansvaret följer inte med tjänsten ut

Dora utgår från att en utlagd funktion fortfarande är er funktion. Det låter självklart tills man ser vad det innebär för avtalen: ni behöver rättigheter som en standardleverantör sällan erbjuder frivilligt, och ni behöver dem innan ni behöver dem.

Det praktiska problemet är förhandlingsläget. En stor molnleverantör förhandlar inte sina standardvillkor med en medelstor finansiell entitet, vilket gör att kravet i förordningen och verkligheten i inköpet kan peka åt olika håll.

Svaret är inte att låtsas att avtalet uppfyller kraven. Det är att dokumentera vilka krav som inte är uppfyllda, vilken risk det innebär, och vad ni gör i stället. En dokumenterad brist med en kompenserande åtgärd är en försvarbar position; en odokumenterad är det inte.

För arrangemang som stödjer kritiska eller viktiga funktioner räcker det inte att avtalet går att säga upp. Det ska finnas en plan för hur verksamheten faktiskt tar sig ur arrangemanget utan avbrott i de funktionerna.

Skillnaden mellan en formell och en verklig exitplan syns i tre frågor. Var finns data och i vilket format kan den lämnas ut. Hur lång tid tar en migrering, mätt och inte uppskattad. Och vad gör verksamheten under tiden.

Den tredje frågan är den som avgör om planen är värd något. En exitplan som förutsätter en fungerande leverantör under migreringen svarar inte på det scenario den finns för, alltså att leverantören inte fungerar.

de flesta företag som i dag står under FI:s tillsyn

Kraven är formulerade som riskhantering men de utförs som avtalsarbete, och det gör att området faller mellan stolarna oftare än de andra tre.

Säkerhetsfunktionen kan bedöma vilken risk en leverantör innebär men kan sällan ändra ett avtal. Inköp kan ändra avtal men har sällan underlaget för att veta vilka villkor som spelar roll. Juridik kan formulera villkoren men behöver veta vilka funktioner som är kritiska.

Det som får det att fungera är en gemensam artefakt, och den finns redan: informationsregistret. Registret tvingar fram funktionsklassificering, leverantörsförteckning och underleverantörskedja i ett dokument som alla tre måste bidra till, vilket är den enda gången på året de gör det.

Levererar ni IKT-tjänster till finansiella entiteter omfattas ni inte av Dora direkt, men kraven når er ändå genom era kunders avtal, och de kommer med kortare varsel än en tillsynsmyndighet skulle ge.

Fyra frågor kommer nästan alltid: var levereras tjänsten ifrån, vilka underleverantörer har ni, hur och när informerar ni om incidenter, och kommer ni att medverka i kundens testning. Att ha svaren nedskrivna innan frågan kommer är skillnaden mellan en veckas fördröjning och en eftermiddag.

Den fjärde frågan är den som brukar överraska. Om er kund omfattas av TLPT-kravet enligt artikel 26 ska den utlagda kedjan ingå i testet, och ert avtal behöver då redan reglera medverkan.