DORA IKT pakalpojumu sniedzējiem: ko bankas prasīs līgumā

Kāpēc DORA skar arī jūs

DORA lieto jēdzienu trešā persona, kas sniedz IKT pakalpojumus – jebkurš uzņēmums, kas sniedz IKT pakalpojumus (DORA 3. panta 19. punkts). IKT pakalpojumi definēti plaši: digitālie un datu pakalpojumi, ko ar IKT sistēmām pastāvīgi sniedz lietotājiem, tostarp aparatūras nodrošināšana un atbalsts ar programmatūras vai aparātprogrammatūras atjauninājumiem; izņemti ir tikai tradicionālie analogās telefonijas pakalpojumi (21. punkts). Programmatūras izstrādātājs, mākoņmitinātājs, pārvaldīto pakalpojumu sniedzējs, datu centrs un SaaS platforma visi ietilpst šajā lokā.

Regulas pamatprincips ir 28. panta 1. punktā: finanšu vienība, kas izmanto IKT pakalpojumus, nepārtraukti ir pilnībā atbildīga par visu savu saistību izpildi. Atbildību nevar nodot piegādātājam, tāpēc banka to pārnes uz līgumu. Latvijas Banka pat programmatūras licenču izplatītāju jautājumā norādījusi, ka informācijas reģistrā jāuzrāda arī licences un ka izplatītāja statuss jāvērtē pēc faktiskajām līguma saistībām.

Pirmais jautājums: vai jūsu pakalpojums atbalsta kritiski svarīgu vai svarīgu funkciju

DORA prasības ir divos līmeņos. Visiem IKT līgumiem jāatbilst 30. panta 2. punktam, bet līgumiem par pakalpojumiem, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, papildus jāatbilst 3. punktam un Deleģētajai regulai (ES) 2024/1773. Kritiski svarīga vai svarīga funkcija ir funkcija, kuras traucējums būtiski pasliktinātu finanšu vienības finanšu rezultātus, pakalpojumu stabilitāti vai nepārtrauktību vai apdraudētu tās licences nosacījumu izpildi (3. panta 22. punkts).

Latvijas Banka savā trešo pušu pārvaldības lapā kā piemērus min maksājumu apstrādi un norēķinus, mākoņinfrastruktūru, kas atbalsta pamatpakalpojumu, un klientu datu apstrādi un glabāšanu. Šo novērtējumu veic finanšu vienība, nevis piegādātājs, bet jums ir vērts to uzzināt jau iepirkumā: no tā atkarīgs, cik plašs būs līgums, audits un testēšanas pienākumi.

Līguma noteikumi, kas būs jebkurā DORA līgumā

DORA 30. panta 1. punkts prasa, lai tiesības un pienākumi būtu sadalīti skaidri un rakstiski, un pilns līgums ar pakalpojuma līmeņa vienošanos būtu vienā dokumentā papīra vai lejupielādējamā, noturīgā formātā. 2. punkts uzskaita minimālo saturu.

DORA 30. panta 2. punkts: ko banka prasīs un kas jums jāsagatavo

Noteikums	Ko prasa regula	Ko sagatavot iepriekš
a) Pakalpojumu apraksts	Skaidrs visu funkciju un IKT pakalpojumu apraksts; vai atļauts apakšuzņēmējs kritiski svarīgai funkcijai un ar kādiem nosacījumiem	Pakalpojumu katalogs ar robežām; apakšuzņēmēju saraksts
b) Atrašanās vietas	Reģioni vai valstis, kur pakalpojumu sniedz un datus apstrādā un glabā; iepriekšējs paziņojums par izmaiņām	Datu atrašanās vietu karte, arī rezerves kopijām un atbalsta komandām
c) Datu aizsardzība	Pieejamība, autentiskums, integritāte un konfidencialitāte, arī personas datiem	Drošības pasākumu apraksts; datu apstrādes līgums
d) Datu atgūšana	Piekļuve, atgūšana un atgriešana viegli piekļūstamā formātā maksātnespējas, noregulējuma vai līguma izbeigšanas gadījumā	Eksporta formāts un procedūra, pārbaudīta praksē
e) Pakalpojumu līmeņi	Pakalpojumu līmeņu apraksti un to atjauninājumi	SLA ar mērāmiem rādītājiem
f) Palīdzība incidentos	Palīdzība IKT incidentā bez papildu maksas vai par iepriekš noteiktu cenu	Incidentu atbalsta cenrādis vai iekļaušana pamatmaksā
g) Sadarbība ar iestādēm	Pilnīga sadarbība ar kompetentajām un noregulējuma iestādēm	Kontaktpersona un kārtība iestāžu pieprasījumiem
h) Izbeigšana	Izbeigšanas tiesības un minimālie paziņošanas termiņi	Izbeigšanas klauzulas, kas atbilst 28. panta 7. punktam
i) Mācības	Dalība finanšu vienības IKT drošības izpratnes programmās un noturības mācībās	Gatavība piedalīties galda mācībās un apmācībās

Papildu noteikumi kritiski svarīgām vai svarīgām funkcijām

Ja jūsu pakalpojums atbalsta kritiski svarīgu vai svarīgu funkciju, 30. panta 3. punkts pievieno sešas prasības:

• Pilnīgi pakalpojumu līmeņi ar precīziem kvantitatīviem un kvalitatīviem mērķiem, lai banka varētu tos uzraudzīt un bez kavēšanās rīkoties, ja tie netiek ievēroti.
• Paziņošanas termiņi un ziņošana bankai, tostarp par jebkuru notikumu attīstību, kas var būtiski ietekmēt jūsu spēju sniegt pakalpojumu.
• Ārkārtas rīcības plāni un drošības pasākumi, kurus jūs īstenojat un testējat.
• Dalība bankas draudu vadītā ielaušanās testēšanā (DVIT) un pilnīga sadarbība tajā (26. un 27. pants).
• Neierobežotas piekļuves, pārbaudes un revīzijas tiesības bankai, tās ieceltai personai un kompetentajai iestādei, arī pārbaudes uz vietas un dokumentu kopēšana; tiesības vienoties par alternatīviem garantijas līmeņiem, ja skartas citu klientu tiesības.
• Atkāpšanās stratēģijas ar obligātu pārejas periodu, kurā jūs turpināt sniegt pakalpojumu, kamēr banka migrē pie cita sniedzēja vai uz iekšēju risinājumu.

Bankas šīs prasības nosaka arī savā trešo personu politikā, kuras saturu regulē Deleģētā regula (ES) 2024/1773, un vadības struktūra to pārskata vismaz reizi gadā. Latvijas Banka skaidrojusi, ka prioritāri jāpārskata un jāpārjauno līgumi, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, bet arī pārējos līgumos var būt vajadzīgas izmaiņas, piemēram, revīzijas tiesības un sadarbība ar iestādēm.

Apakšuzņēmēji: Deleģētā regula (ES) 2025/532

Ja jūs kritiski svarīgas funkcijas atbalstam izmantojat apakšuzņēmējus (mākoņa platformu, datu centru, ārpakalpojuma izstrādātāju), piemēro Deleģēto regulu (ES) 2025/532, kas stājās spēkā 2025. gada 22. jūlijā. Pirms līguma banka izlemj, vai apakšuzņēmēji vispār atļauti, un pārbauda, vai jūs spējat apakšuzņēmējus atlasīt, identificēt, uzraudzīt un nodrošināt bankai un iestādēm tādas pašas piekļuves un pārbaudes tiesības (3. pants).

Līgumā jāparedz, ka jūs atbildat par apakšuzņēmēju sniegtajiem pakalpojumiem, uzraugāt tos, vērtējat to atrašanās vietas riskus, nodrošināt nepārtrauktību visā ķēdē, ja apakšuzņēmējs saistības nepilda, un iekļaujat līgumos ar apakšuzņēmējiem ārkārtas rīcības plānus, drošības standartus un revīzijas tiesības (4. pants). Par būtiskām izmaiņām apakšuzņēmuma līgumos jāpaziņo laikus, un tās drīkst ieviest tikai pēc tam, kad banka paziņošanas termiņā tās apstiprinājusi vai nav iebildusi (5. pants). Ja ieviešat izmaiņas pret bankas iebildumu vai pirms termiņa beigām, vai slēdzat neatļautu apakšuzņēmuma līgumu, banka drīkst līgumu izbeigt (6. pants).

Informācijas reģistrs: kādus datus prasīs no jums

Katra finanšu vienība uztur informācijas reģistru par visām IKT līgumiskajām vienošanām (28. panta 3. punkts) pēc Īstenošanas regulas (ES) 2024/2956 veidnēm. Latvijas Bankai reģistru iesniedz katru gadu līdz 1. martam ar iepriekšējā gada 31. decembra datiem, un tieši no šiem reģistriem ES uzraudzības iestādes vāca datus kritiski svarīgo piegādātāju izraudzīšanai. Tāpēc banka jums jautās par juridisko personu, sniegtajiem IKT pakalpojumiem, apstrādes un glabāšanas vietām un apakšuzņēmēju ķēdi.

Praktisks ieteikums: sagatavojiet vienu standarta “DORA datu lapu”, ko atjaunināt reizi gadā pirms janvāra. Latvijas Banka piedāvā arī piegādātāju kategoriju piemēru – mākoņdatošana, programmatūras piegāde un atbalsts, IKT drošības pakalpojumi, datu centri, sakaru pakalpojumi, maksājumu infrastruktūra un citi –, tāpēc jau iepriekš norādiet, kurā kategorijā ietilpst katrs jūsu pakalpojums.

Kritiski svarīgās trešās personas (KST)

DORA 31. pants ļauj ES uzraudzības iestādēm (EBI, EAAPI un EVTI) izraudzīties kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, un pakļaut tās tiešai ES līmeņa pārraudzībai ar galveno pārraugu. Kritēriji ir sistēmiskā ietekme, finanšu vienību sistēmiskais raksturs, paļaušanās kritiski svarīgās funkcijās un aizstājamības pakāpe. 2025. gada 18. novembrī ESA publicēja pirmo sarakstu ar 19 uzņēmumiem, tostarp Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, SAP SE, IBM, Accenture, Capgemini, Deutsche Telekom, Equinix, Orange un Tata Consultancy Services.

Divi punkti ir īpaši svarīgi Latvijas piegādātājiem. Pirmkārt, izraudzīšanu nepiemēro trešām personām, kas sniedz IKT pakalpojumus tikai vienā dalībvalstī finanšu vienībām, kuras darbojas tikai šajā dalībvalstī (31. panta 8. punkta iv) apakšpunkts). Otrkārt, KST statuss nemaina bankas pienākumus: banka joprojām slēdz 30. panta līgumu, uztur reģistru un plāno atkāpšanos arī tad, ja tās piegādātājs ir KST. Sarakstu ESA atjaunina katru gadu (31. panta 9. punkts), tāpēc pirms atsaukšanās uz to pārbaudiet aktuālo versiju ESMA, EBI vai EAAPI tīmekļvietnē.

Ja KST neizpilda galvenā pārrauga pieprasījumus sniegt informāciju vai ļaut veikt pārbaudes, pārraugs var piemērot periodisku soda maksājumu līdz 1 % no tās iepriekšējā finanšu gada vidējā dienas apgrozījuma pasaulē par katru dienu, ne ilgāk par sešiem mēnešiem (35. panta 6.–8. punkts). Finanšu vienības drīkst izmantot trešā valstī iedibinātas KST pakalpojumus, ja tā 12 mēnešu laikā pēc izraudzīšanas iedibinājusi meitasuzņēmumu ES (31. panta 12. punkts).

Atkāpšanās, izbeigšana un koncentrācijas risks

Pirms līguma banka novērtē koncentrācijas risku: vai jūs nav viegli aizstājams un vai tai jau nav vairāku līgumu ar jums vai saistītiem uzņēmumiem (29. pants). Ja apakšuzņēmēji atrodas trešā valstī, tā vērtē arī datu aizsardzības noteikumus un tiesību aktu izpildi šajā valstī. Līgumam jāļauj izbeigšana, ja piegādātājs būtiski pārkāpj noteikumus, ja mainās tā struktūra, ja ir pierādītas nepilnības IKT riska pārvaldībā vai ja iestāde vairs nevar efektīvi uzraudzīt banku (28. panta 7. punkts).

Atkāpšanās stratēģijām (28. panta 8. punkts) jāļauj bankai pāriet pie cita sniedzēja vai uz iekšēju risinājumu bez uzņēmējdarbības traucējumiem un kaitējuma klientiem. Plāni jātestē. Piegādātājam tas nozīmē dokumentētu datu eksportu, migrācijas atbalsta cenu un pārejas periodu līgumā. Uzņēmums, kas to piedāvā pirms jautājuma, iepirkumā izskatās nobriedušāks par konkurentu.

Ko sagatavot pirms nākamā bankas pieprasījuma

1. Pakalpojumu katalogs, kurā katram pakalpojumam norādīts, vai tas var atbalstīt kritiski svarīgu funkciju.
2. Standarta DORA līguma pielikums, kas aptver 30. panta 2. un 3. punktu; Latvijas Banka atzīst, ka var izmantot standartizētu pielikumu.
3. Apakšuzņēmēju reģistrs ar atrašanās vietām un iepriekšēja paziņojuma procedūru par būtiskām izmaiņām.
4. Datu atrašanās vietu karte un datu atgriešanas procedūra, kas reāli pārbaudīta.
5. Incidentu paziņošanas kārtība ar termiņiem, kas ļauj bankai ievērot savu četru stundu un 24 stundu DORA termiņu.
6. Revīzijas un pārbaužu kārtība: kā uzņemat klientu un iestāžu auditorus, kādus neatkarīgus ziņojumus varat sniegt.
7. Gatavība piedalīties bankas DVIT un noturības mācībās.

Ja vēlaties šo komplektu pārbaudīt pirms bankas audita, OffSeq piegādes ķēdes drošības pārskats novērtē jūsu līgumus, apakšuzņēmēju kontroli un pierādījumus no finanšu klienta skatpunkta. Bankas pusi skaidro ceļvedis DORA regula Latvijā, bet regulējuma navigators parāda, kuri citi ES akti attiecas uz jūsu uzņēmumu. Šis ceļvedis sniedz informāciju, nevis juridisku konsultāciju.