Dr. mogyorósi istván
- ügyvéd
- irodája
Informatikai beszállítói szerződés
Egy jelentősebb informatikai beszerzés, rendszerintegráció vagy külső üzemeltetési és fejlesztési együttműködés évekre meghatározhatja a vállalkozás működési biztonságát. A technológiai beszállító által előkészített szerződéstervezet ugyanakkor természetes módon elsődlegesen a szolgáltató saját üzleti és felelősségi kockázatait védi, míg beszállítói oldalon a pontosan nem határolt vállalások és az alvállalkozói lánc kezelése jelenthet komoly veszélyt.
Egy informatikai beszállítói szerződés kialakításakor vagy véleményezésekor ezért az első lépés mindig annak tisztázása, hogy mit vállal ténylegesen a szállító: össze kell vetni az üzleti ajánlatot, a műszaki specifikációt, az értékesítési prezentációt, a szolgáltatási szint megállapodást (SLA), az egyedi szerződéstervezetet és a háttérben alkalmazott ÁSZF-et.
Jogi támogatást nyújtok egyaránt IT-rendszereket, üzemeltetést és fejlesztői kapacitást beszerző vállalatoknak (megrendelői oldal), valamint technológiai beszállítóknak, rendszerintegrátoroknak és outsourcing szolgáltatóknak (szállítói oldal). A cél olyan kiegyensúlyozott, számonkérhető szerződéses keretrendszer kialakítása, amely üzleti viták és műszaki incidensek esetén is egyértelmű megoldást nyújt.
Miben segítek az informatikai beszállítói szerződések során?
SLA és üzemeltetés: garantált szolgáltatási szintek, válaszidők és kötbérek
A rendelkezésre állás, a hibajavítás és a technikai support csak akkor nyújt valódi biztonságot a megrendelőnek és akkor kalkulálható a beszállítónak , ha a szolgáltatási szintek egzakt módon mérhetők. Az SLA (Service Level Agreement) és üzemeltetési szerződések kialakításakor kiemelten rendezni kell:
- Rendelkezésre állási mutatók és mérési módszertan: a garantált rendelkezésre állási százalék, a mérési időszakok, a tervezett karbantartási ablakok és a kizárt időszakok pontos meghatározása;
- Incidensosztályok és időkorlátok: a hibák súlyossági kategóriáinak (kritikus, súlyos, közepes, alacsony), a garantált reakcióidőnek, a kerülőmegoldási (workaround) és a végleges helyreállítási időnek a rögzítése;
- Eszkaláció és jogkövetkezmények: az eszkalációs útvonalak, az SLA-sértés esetén járó díjjóváírások (service credits), a kötbérek, valamint az ismétlődő súlyos SLA-sértéshez kapcsolódó rendkívüli felmondási jog;
- Tevékenységek elhatárolása: a garanciális hibajavítás, a folyamatos üzemeltetési support, a szoftverkövetés (maintenance) és a külön díjazású továbbfejlesztés egyértelmű szétválasztása.
IT outsourcing: külső fejlesztői csapatok és alvállalkozói láncok szerződései
Amikor egy vállalkozás külső fejlesztői kapacitást (dedicated team, body leasing / staff augmentation) vesz igénybe, vagy a fővállalkozó további technológiai alvállalkozókat von be a teljesítésbe, a szerződéses lánc összehangolása kritikus jelentőségű:
- Teljesítési és elszámolási struktúra: a ráfordítás-alapú (Time & Materials) vagy eredményalapú (fix áras) elszámolás, a teljesítésigazolások, a kulcsszemélyek (key personnel) rendelkezésre állása és cseréjének szabályai;
- Alvállalkozói lánc (Back-to-Back) szinkronizálása: annak biztosítása, hogy a fővállalkozó által az ügyfél felé vállalt SLA-, titoktartási, adatvédelmi és határidős kötelezettségek az alvállalkozói szerződésekben is számonkérhetők legyenek;
- Szellemi tulajdonjogok (IP) átszállása: a külső fejlesztők és szabadúszók (freelancerek) által létrehozott forráskód és dokumentáció vagyoni jogainak hiánytalan megszerzése a teljes beszállítói láncon keresztül;
- Elcsábítási tilalom (Non-solicitation) és titoktartás: a kulcsfontosságú fejlesztők és mérnökök átcsábítását tiltó klauzulák, valamint az üzleti titkok és a forráskód védelme.
Rendszerintegráció: hardver- és szoftverbeszerzési keretszerződések
Komplex vállalati rendszerbevezetések (ERP, CRM, egyedi célrendszerek), infrastruktúra-fejlesztések és API-integrációk esetén a hardverszállítás, a szoftverlicencelés, a testreszabás és az üzemeltetés egyetlen összefüggő projektet alkot:
- Ajánlat és szerződés összhangja: annak megelőzése, hogy a szerződéses szöveg felülírja vagy kiüresítse a műszaki specifikációban és az ajánlati prezentációban tett beszállítói vállalásokat;
- Mérföldkövek és rendszer-átvétel (Acceptance): az integrációs tesztek, a terheléses tesztek, a próbaüzem és az éles indulás (Go-Live) műszaki-jogi feltételeinek és díjütemezésének rögzítése;
- Vendor lock-in csökkentése és exit-stratégia: a szerződés megszűnésekor irányadó adatmigráció, az exportformátumok, az API-hozzáférések, a műszaki dokumentáció, a migrációs közreműködés és az átmeneti szolgáltatások előzetes rendezése.
Felelősségkorlátozás, auditjogok és NIS2 / GDPR megfelelés
Informatikai beszállítói szerződéseknél kiemelten kell vizsgálni a felelősségi plafont és a kizárt károk körét. Egy túl alacsonyra húzott felelősségi limit teljesen aránytalan lehet ahhoz az üzleti és reputációs kárhoz képest, amelyet egy kritikus IT-szolgáltatás leállása vagy egy adatvesztés okoz.
Szabályozott környezetben működő vállalatoknál a szerződés vizsgálata mellett a teljes digitális beszállítói kockázati környezet kontrolljára is szükség van: a NIS2 kiberbiztonsági követelmények, a GDPR adatfeldolgozói szabályok és az üzletmenet-folytonosság érdekében rögzíteni kell a beszállítói biztonsági tanúsítványokat, az incidensjelentési határidőket, az alvállalkozói adatszolgáltatást és a megrendelői auditjogokat.
Miért igényel külön jogi kontrollt egy informatikai beszállítói szerződés?
A nagy technológiai szállítók standard szerződései és ÁSZF-jei gyakran szinte teljes egészében kizárják a felelősséget a közvetett károkért, az adatvesztésért és az üzletmenet-kiesésért, miközben szigorú fizetési és hűségidős kötelezettségeket rónak a megrendelőre. Ha a szerződéskötés előtt nem történik meg a műszaki mellékletek, az SLA és az exit-feltételek jogi összehangolása, a megrendelő súlyos szolgáltatófüggőségbe (vendor lock-in) kerülhet.
Beszállítói és rendszerintegrátori oldalon ezzel szemben az a legnagyobb kockázat, ha a cég egymásnak ellentmondó keretszerződéseket és mellékleteket ír alá, nem korlátozza ésszerűen a felelősségét, vagy nem hárítja tovább (back-to-back) a kötelezettségeket a saját szoftver- és infrastruktúra-alvállalkozóira.
Referenciák és szakmai háttér
- nagyvállalati IT-beszerzések, rendszerbevezetési, integrációs és infrastruktúra-szerződések megrendelői és szállítói véleményezése;
- SLA-, support-, maintenance- és üzemeltetési szerződéses rendszerek kialakítása;
- IT outsourcing, dedikált fejlesztői csapatok és összetett alvállalkozói láncok szerződéses strukturálása;
- NIS2 kiberbiztonsági, GDPR adatvédelmi, üzletmenet-folytonossági és beszállítói auditkövetelmények szerződéses integrálása;
- vendor lock-in csökkentését, adatmigrációt és kontrollált szolgáltatóváltást (exit) biztosító klauzulák kidolgozása.
Jogi támogatás informatikai beszállítói szerződésekhez
1. IT beszállítói szerződés és SLA átvilágítása (Megrendelőknek)
- Kinek ajánlott? Vállalkozásoknak, amelyek nagy értékű informatikai rendszert, üzemeltetést, felhőinfrastruktúrát vagy külső fejlesztői kapacitást szereznek be.
- Eredmény: Írásos kockázatelemzés és szövegszerű módosítási javaslatok az ajánlat és a szerződés összhangjáról, az SLA-ról, a felelősségi plafonról, az auditjogokról és az exit-feltételekről.
- Következő lépés: A szállítói szerződéstervezet, az ÁSZF és a műszaki mellékletek előzetes áttekintése az aláírás előtt.
2. Beszállítói és IT outsourcing keretszerződések kialakítása (Szállítóknak)
- Kinek ajánlott? Rendszerintegrátoroknak, üzemeltető cégeknek, szoftverházaknak és IT outsourcing szolgáltatóknak.
- Eredmény: Moduláris keretszerződés, egyedi megrendelő (SOW), SLA- és support-melléklet, valamint a kötelezettségeket lekövető alvállalkozói szerződésminták.
- Következő lépés: A szolgáltatási portfólió, a teljesítési folyamat és a felelősségkorlátozási célok egyeztetése.
3. NIS2 és compliance alapú beszállítói szerződés-felülvizsgálat
- Kinek ajánlott? A NIS2 irányelv vagy szigorú ágazati szabályozás hatálya alá tartozó szervezeteknek és azok IT-beszállítóinak.
- Eredmény: A meglévő és új IT beszállítói szerződések kiegészítése a kötelező kiberbiztonsági, incidensjelentési, alvállalkozói kontroll- és auditklauzulákkal.
- Következő lépés: A kritikus informatikai beszállítói szerződésállomány célzott felülvizsgálata.
Gyakran Ismételt Kérdések az informatikai beszállítói szerződésekről
Igen. A jogi átvilágítás ilyen esetben is feltárja, hogy pontosan milyen működési és pénzügyi kockázatot vállal a vállalkozás, hol szükséges belső kontroll, kiegészítő biztosítás vagy technikai mentési megoldás beépítése, illetve mely kulcspontokon (pl. egyedi mellékletekben, SLA-ban vagy adatkezelésben) érdemes mégis tárgyalást kezdeményezni.
A felelősségi plafon összege mellett külön vizsgálni kell, hogy mely károk tartoznak bele a limitbe, melyek vannak teljesen kizárva, és vonatkozik-e a felelősségkorlátozás az olyan kritikus esetekre is, mint az adatvesztés, az üzleti titoksértés, a kiberbiztonsági incidens vagy a harmadik személyekkel szembeni szerzői jogi (IP) jogsértés.
A szerződésben már az aláíráskor előre rendezett adatexport-szabályokkal, interoperabilitási követelményekkel, API-hozzáféréssel, naprakész műszaki dokumentációval, a beszállító migrációs támogatási kötelezettségével, megfelelő felmondási jogokkal és a megszűnés utáni átmeneti üzemeltetési szolgáltatásokkal.
A NIS2 hatálya alá tartozó szervezeteknél igen, a kritikus beszállítói szerződések felülvizsgálata és kiegészítése indokolt. A beszállítói lánc kockázatkezelése, a szigorú incidensjelentési határidők, az auditálhatóság, a minimum biztonsági követelmények és az alvállalkozók bevonásának szabályozása a kiberbiztonsági megfelelés kötelező eleme.
Az SLA akkor számonkérhető, ha a rendelkezésre állási százalék számítási képlete, a hibakategóriák definíciója és a mérés módja egyértelmű, továbbá ha a puszta reakcióidő (a hiba tudomásulvétele) mellett konkrét hibaelhárítási vagy kerülőmegoldási határidőt és automatikusan érvényesíthető kötbért vagy díjjóváírást is tartalmaz.
Tisztázni kell, hogy a beszállító konkrét eredményért (mérföldkőért) vagy rendelkezésre álló fejlesztői kapacitásért (Time & Materials) felel-e, hogyan történik a teljesítések elfogadása, biztosított-e a létrehozott forráskód vagyoni jogainak átszállása az alvállalkozói láncon keresztül, és milyen szabályok vonatkoznak a kulcsemberek cseréjére.
Előzetes jogi kontroll IT-beszerzés vagy beszállítói szerződéskötés előtt
Informatikai rendszer beszerzése, üzemeltetési és SLA-szerződés aláírása vagy IT outsourcing együttműködés indítása előtt célszerű előzetesen áttekinteni a szerződéses feltételeket. Egy célzott jogi felülvizsgálat segít összehangolni a műszaki vállalásokat, a felelősségi korlátokat, a NIS2/GDPR követelményeket és a biztonságos kilépési (exit) szabályokat.
Következő lépés: Személyes vagy online konzultáció keretében áttekintjük az informatikai beszállítói szerződést még az érdemi üzleti kötelezettségvállalás előtt.