Після реєстрації в Національному управлінні безпеки обов’язки оператора основної послуги лише починаються: протягом дванадцяти місяців із моменту внесення до реєстру він повинен запровадити заходи безпеки, які далеко не обмежуються власною інфраструктурою. Закон № 69/2018 Z. z. про кібербезпеку прямо передбачає, що вимоги безпеки необхідно включити також до договорів із постачальниками. Оператори, внесені до реєстру ще за правилами, що діяли до 2025 року, можуть до 31 грудня 2026 року виконувати заходи також відповідно до попередніх приписів, як це допускає § 34b ч. 5 цього закону. Чи поширюється цей режим на вашу компанію, ми пояснюємо у відповіді NIS2: чи поширюється на нас?. Тут ідеться про те, що відбувається після реєстрації.
Договір із постачальником — не вибір, а обов’язок
З тим, хто виконує для оператора основної послуги діяльність, безпосередньо пов’язану з безпекою його мереж та інформаційних систем, оператор повинен мати окремий договір:
Оператор основної послуги зобов’язаний під час здійснення через третю сторону діяльності, безпосередньо пов’язаної з доступністю, конфіденційністю та цілісністю роботи мереж та інформаційних систем оператора основної послуги, укласти договір про забезпечення виконання заходів безпеки та обов’язків щодо повідомлення відповідно до цього закону на весь період здійснення такої діяльності; під час укладення договору проводиться аналіз ризиків.
Виняток діє лише тоді, коли постачальник сам є оператором основної послуги або коли ризик відповідної діяльності є низьким (§ 19 ч. 3), — низький ризик має підтверджувати аналіз ризиків, а не суб’єктивне відчуття. Ланцюг постачання водночас є однією з обов’язкових сфер заходів безпеки відповідно до § 20 ч. 2 Закону № 69/2018 Z. z., а Постанова № 227/2025 Z. z. у § 7 ч. 2 перелічує, що договір містить зокрема: зобов’язання постачальника дотримуватися безпекових політик оператора, його пряму згоду з ними, обсяг і спосіб контролю та аудиту, а також обов’язок інформувати про інциденти й надавати сприяння в їх усуненні. Зразок договору Національне управління безпеки оприлюднює на своєму вебсайті. Старі договори, укладені до кінця серпня 2025 року, залишаються чинними щонайдовше до спочатку погодженого в них строку, але якщо вони не відповідають цим вимогам, після 31 серпня 2025 року їх не можна продовжити (§ 8 постанови).
Перенесення обов’язків на субпідрядників
Договірний каскад не закінчується на першому постачальнику. Якщо ваш постачальник залучає субпідрядників, які отримують доступ до ваших систем або даних, рекомендуємо договірно поширити обов’язки й на них, інакше ланцюг діє лише до першої ланки. Тому договори з постачальниками мають передбачати:
- повідомлення про інциденти — кому, яким каналом і в який строк. Відповідно до § 24 ч. 3 Закону № 69/2018 Z. z. оператор повідомляє про серйозний кібербезпековий інцидент без зайвої затримки: раннє попередження — не пізніше ніж протягом 24 годин, а повідомлення — не пізніше ніж протягом 72 годин із моменту його виявлення (надавач довірчих послуг подає і повідомлення протягом 24 годин); тому строк для постачальника варто встановити коротшим, а поняття «виявлення» — чітко визначеним;
- контроль та аудит — право оператора перевіряти виконання постачальником заходів, включно з обсягом, способом і розподілом витрат;
- SLA для усунення проблем — строки реагування на вразливості та інциденти, цілодобово доступні контакти для ескалації та сприяння у відновленні роботи;
- припинення та безперервність — план виходу, передання даних і конфігурацій, а також строк дії ліцензій, необхідних для роботи після завершення співпраці. Закон водночас прямо зазначає, що укладення такого договору не повинно перешкоджати конкуренції (§ 19 ч. 2).
Інша сторона столу: чого очікувати, якщо постачальником є ви
Якщо ви надаєте IT-послуги оператору основної послуги, такий договір рано чи пізно опиниться на вашому столі — складений із позиції замовника. Зверніть особливу увагу на чотири аспекти. Перший — строк повідомлення про інцидент, погоджений значно суворіше, ніж законодавчі строки, до того ж без визначення моменту, коли інцидент вважається «виявленим». Другий — відповідальність «за результат», яка може виключати підстави для звільнення від відповідальності згідно з § 374 Торговельного кодексу. Третій — договірні штрафи без верхньої межі: суд хоча й може зменшити їх відповідно до § 301 Торговельного кодексу, однак покладатися на це — не стратегія, верхня межа має бути безпосередньо в договорі. І нарешті, безпекові політики, які можна змінювати в односторонньому порядку: якщо замовник може будь-коли їх посилити, це має супроводжуватися правом постачальника скоригувати ціну або відмовитися від зміни, яка істотно збільшує витрати.
Як до цього підійти
Налаштування обов’язків, включно з договорами з постачальниками, охоплює послуга NIS2 та кібербезпека; вимоги безпеки ми відобразимо у сервісному договорі зі SLA та в договорі про впровадження, а за великої кількості постачальників цілісність каскаду забезпечить договірний нагляд. Перевірити договори з постачальниками варто до виникнення першого інциденту.
Ця стаття містить загальну правову інформацію станом на 26 вересня 2026 р.. Вона не є юридичною послугою чи консультацією щодо вашої конкретної справи. Законодавство змінюється, а обставини вашої ситуації можуть відрізнятися. Перед ухваленням рішення перевірте належний порядок дій або зв’яжіться з нами.
