Pravidlům kybernetické bezpečnosti musí odpovídat i mnohé dodavatelské smlouvy

Základní povinnost

Nová přísnější pravidla zákona o kybernetické bezpečnosti z roku 2025 vycházející ze směrnice NIS2 se vztahují nejen na samotné firmy, ale přímo dopadají i na jejich dodavatelské smlouvy
Povinnost přizpůsobit smlouvy se týká zejména dodavatelů IT systémů, vývojářů softwaru, poskytovatelů cloudových služeb a dalších technologických partnerů

Prvním a klíčovým krokem je správně identifikovat, kterých dodavatelských smluv se nová pravidla týkají a kterých nikoliv
Smlouvy s dodavateli nábytku, klimatizace či jiného netehnologického vybavení pod tato pravidla nespadají
Smlouvy s dodavateli IT zařízení, softwaru a zabezpečovacích systémů naopak pravidlům vždy podléhají, a to s různou mírou intenzity požadavků

Vymezení klíčových dodavatelů musí vycházet z bezpečnostní dokumentace a analýzy kyberbezpečnostních rizik
Výběr dodavatelů a obsah smluv musí být v souladu s § 13 odst. 5 zákona o kybernetické bezpečnosti
Zákon výslovně ukládá, že poskytovatel regulované služby je povinen:
- vybrat dodavatele v souladu s požadavky bezpečnostních opatření
- tyto požadavky následně závazně promítnout přímo do smluvní dokumentace

Každou smlouvu je nutné posoudit z hlediska toho, zda spadá do standardního (nižšího) nebo vyššího režimu bezpečnostních opatření
Rozhodujícím kritériem je charakter a důležitost dodávané služby pro celkovou kybernetickou bezpečnost firmy

Pokud jde o významného dodavatele zajišťujícího klíčové bezpečnostní prvky IT systému, platí přísnější pravidla:
- Samotný výběr dodavatele musí proběhnout v režimu vyšších bezpečnostních opatření
- Dodavatel musí nést vysokou míru odpovědnosti v rámci smluvního vztahu
- Smluvní podmínky musí být nastaveny přesně a jednoznačně
- Smlouva musí obsahovat jasně definovaná pravidla pro rychlé ukončení smluvního vztahu při závažných problémech s dodavatelem

Pokud výběr klíčového dodavatele nebo samotná smluvní dokumentace neodpovídají zákonným požadavkům na kybernetickou bezpečnost, firmě hrozí přísné sankce
V režimu vyšších povinností může být uložena pokuta:
- až 250 000 000 Kč, nebo
- 2 % čistého celosvětového ročního obratu
- přičemž se uplatní ta vyšší z obou částek