Na cestě ke cloudu. Jaké legislativní povinnosti očekávat?

DORA dává na jedno místo pravidla outsourcingu cloudů od většiny evropských regulátorů pro finanční sektor, EIOPA nevyjímaje. Cloud byl přitom už dříve pod palbou úpravy NIS³ , která se v českém právním řádu projevila především zákonem o kybernetické bezpečnosti a souvisejícími vyhláškami. Pojišťovny také musely respektovat úřední sdělení ČNB⁴ a vyhlášky ČNB⁵ , které upravovaly využívání cloudů dohlíženými subjekty, pojišťovny nevyjímaje.

V roce 2020 dále na základě tehdejšího evropského fintech akčního plánu⁶ přišla EIOPA se svými pokyny⁷ . V těchto velmi přehledně shrnula právní úpravu využívání cloudových služeb (na evropské úrovni) a sama nastavila pravidla jejich využívání v pojišťovnictví.

Důvod je jasný: cloud se v posledních letech těší velké (a nepřekvapivé) oblibě. Výhodou je krom jiného možnost přenesení některých legislativních požadavků na externí partnery, byť za cenu plnění povinností souvisejících s outsourcováním a přijetí odpovědnosti za činnost partnerů.

Legislativní požadavky pro externí cloudy v pojišťovnách

V prvé řadě musíme posoudit, jestli vůbec jde o regulovaný outsourcing. Musíme zhodnotit, zda funkci outsourcovanou skrze cloud budeme využívat pravidelně a jak moc pravidelně. Přihlédneme i k tomu, zda outsourcovaná funkce spadá mezi činnosti, které by pojišťovna měla v rámci svého běžného byznysu vykonávat. V tom případě zjevně půjde o regulované činnosti, které se řídí legislativními požadavky.

A co když půjde ještě navíc o nějakou „rozhodující nebo důležitou provozní funkci“? I tady máme poměrně nekonkrétní regulaci, která nám říká, že každý takový outsourcing podléhá důkladnému posouzení rizik, že by měl být v souladu se strategiemi pojišťovny (bez ohledu na to, jestli jde o strategii k IT, operačním rizikům, nebo informační bezpečnosti). Pojišťovna by měla upravit svůj rizikový profil v případě jeho využití. A především pojišťovna nesmí ztratit vliv na výkon outsourcované činnosti a nechat poskytovatele cloudů zajišťovat funkci zcela autonomně (což bude jednoduché u pouhého outsourcingu infrastruktury jako služby – IaaS –, naopak mnohem složitější u outsourcingu aplikací podílejících se na klíčových činnostech pojišťovny jako SaaS). Za vše uvedené pak zodpovídá „řídící nebo kontrolní orgán“ pojišťovny.

Nyní přichází na řadu smlouva, popř. smluvní podmínky s poskytovatelem outsourcingu. Ta musí být v souladu s legislativními požadavky a jasně popisovat, kdy nese svůj díl odpovědnosti pojišťovna a kdy poskytovatel cloudu. Smlouva musí samozřejmě obsahovat jasný popis externě zajištěné funkce, kdy se začne poskytovat a do kdy včetně možnosti odstoupení a jeho podmínek, zda je povoleno řetězení dodavatelů a za jakých podmínek, jakož i vzájemné finanční závazky. Musí být upravená pravidla a podmínky testování, auditů nebo service-level agreement (SLA). Sporným bodem bývá právo na audit poskytovatele: EIOPA nicméně přímo stanovila, že poskytovatel cloudu nesmí pojišťovně omezovat „účinné uplatňování práv na přístup a na audit“. Naopak pojišťovna má mít neomezená práva tyto kontroly a audity provádět.

Samostatným prvkem jsou data a jejich bezpečnost. Už před využitím poskytovatele cloudového řešení musí samozřejmě pojišťovna zjistit a posoudit, kde má poskytovatel datová centra a zda bude docházet k předávání mimo EU do USA nebo jiných třetích zemí. Zde se vedle regulace outsourcingu, který stanovuje zejména povinnost dostat se okamžitě k datům v případě krize poskytovatele, dostává ke slovu i GDPR, které bude doplňovat do smluv jak obvyklou zpracovatelskou doložku, tak podrobnější systémy řízení a řešení incidentů. V případě předávání dat do třetích zemí se bude řešit také vhodný nástroj pro toto předávání. Pokud půjde o předávání do USA, bude nutno doplnit také tzv. transfer impact assessment a často i zavést dodatečná opatření k ochraně dat – ale to je na samostatný článek.

Posledním, co v souvislosti se smlouvou zmíníme, je již naznačená exitová strategie. S problémem vendor lock-inu, který s nepřipravenou exitovou strategií úzce souvisí, se dodnes setkáváme u některých významných institucí nebo ústředních orgánů státní správy. Exit má dva aspekty: jedním z nich je právě vhodné smluvní nastavení, aby měla pojišťovna možnost od poskytovaného cloudu odstoupit, a to i za spolupráce původního poskytovatele při přenosu dat k poskytovateli novému, aniž by ji to nějak poškodilo. Druhým a taktéž povinným aspektem je strategie exitu, která musí pojišťovně připravit seznam kroků a odpovědných osob pro exit, aniž by to mělo škodlivý vliv na její služby. Právě nedostatečně nebo nevhodně upravený exit je semeništěm mnoha sporů a vícenákladů: nezapomínejte tedy upravovat vzájemnou povinnost součinnosti včetně přípravy dokumentace a předávání dat. Ne vždy je možné přemigrovat celou funkci způsobem, který umožní plynulý přechod mezi řešeními: počítejte zde s obdobími, kdy budete platit poskytovatele dva. I tak se vám to oproti nemožnosti odstoupit nebo problémům vzniklým při migraci mnohonásobně vyplatí. Dobře nastavený exit poznáte tak, že pracovníci vašeho IT oddělení nebo konkurenčního poskytovatele dokážou s tím, co vám má poskytovatel cloudu v rámci exitu poskytnout, převzít provoz cloudového řešení. Pokud ne, zpřesněte exitové povinnosti poskytovatele, a to vždy podle konkrétní povahy outsourcovaného řešení.

Co přináší DORA a co se nejspíš změní

Dosud byly regulovány pouze finanční instituce, které měly povinnost zajistit správné využívání poskytovatelů cloudů. DORA ale nově přichází s definicí „poskytovatele služeb informační a komunikační techniky z řad třetích stran“, která poskytovatele cloudových služeb zahrnuje přímo pod svou působnost. Na ty pak chystá rizikově založený přístup, kdy si pojišťovny musí zařadit outsourcing mezi svá řízená rizika dle zásady proporcionality s tím, že za jejich využívání jsou plně odpovědny.

I DORA nachystala hlavní smluvní ustanovení, která popisují základní povinné body smlouvy. Oproti současnému stavu bude kladen větší důraz na správně nastavené právo sledovat výsledky poskytovatele při poskytování služby, pro kterou má stanovené kvantitativní i kvalitativní výkonové cíle, které v sobě explicitně nese právo sjednat alternativní úroveň záruky nebo povinnosti hlášení vývoje poskytované služby s ohledem na možný významný dopad na outsourcing. Zkrátka určitě nepřijde ani povinnost poskytnout v případě incidentu pomoc, kterou lze vykládat způsobem, že v případě, že si ve smlouvě strany za tuto pomoc neurčí předem stanovenou cenu, bude muset být pomoc poskytována bezplatně.

Nejzásadnější a nejpraktičtější změnou ale má být přijetí standardních smluvních doložek pro jednotlivé služby. Ty známe již z GDPR jako efektivní nástroj pro compliance dokument, obsahující na jednom místě vše potřebné. V případě, že se tak skutečně stane, bude mít pojišťovna na jednom místě klíčové vzory ustanovení, které je potřeba ve svých smlouvách s cloudovými poskytovateli zohlednit.

Jak i s ohledem na novou regulaci nastavit vztah s poskytovatelem cloudu

První kroky budou vždy zcela neprávní: zmapujte si požadavky vašeho byznysu, co za funkci chcete zajišťovat a co tedy má outsourcovaný cloud plnit. Zásadní bude také analýza finančních úspor – jinak by outsourcing ztrácel smysl. Návazně musíte posoudit, jak vám jednotlivé komerčně poskytované služby zapadají do vašich strategií a stávající IT architektury, jakož i připravit analýzu rizik. S tou se zaměřte zejména na vaše bezpečnostní zásady: jak bezpečnost monitorujete a jak řídíte bezpečnostní incidenty. Mějte přitom na paměti zajišťovanou funkci a typ cloudové služby, které budou mít na analýzu rizik velký vliv. Analýzu rizik doporučujeme připravovat už s přihlédnutím k DORA: revizím se pravděpodobně po přijetí nevyhnete, ale jejich rozsah se může značně zmenšit.

Pokud budete mít přijaté všechny interní dokumenty, máte půl práce hotovo. Následně nastává čas na hloubkovou kontrolu poskytovatele cloudu a přípravu smlouvy. Obojí se může protáhnout do několika měsíců, počítejte s takovými lhůtami předem. Nezapomínejte, že i když se poskytovatel cloudu bude v jejich případě bránit, některé smluvní požadavky jsou pro pojišťovny dané platnou legislativou a v rámci smlouvy musí být řádně ošetřeny. V opačném případě se samozřejmě vystavujete riziku sankcí, včetně možného zákazu plnění smlouvy.

Snažte se smlouvu upravit způsobem, abyste měli pokryté všechny problematické body, které se během trvání smlouvy budou objevovat: z naší zkušenosti jde zejména o rozsah a četnost práva na kontrolu a audit, jakož i přímý dohled ČNB nad poskytovatelem, SLA s ohledem na podílové rozdělení sankcí při nedostupnosti nebo výpadku a informační povinnost poskytovatele, skrze kterou vás bude poskytovatel na základě jasně definovaného rozsahu držet pravidelně v obraze. A hlavně nezapomeňte na správně nastavenou možnost exitu.