Zmluvy s IT poskytovateľmi v súlade s DORA (čl. 28 a nasl.)

Tvorba zmlúv podľa DORA označuje povinnosť finančných subjektov vybaviť zmluvy s poskytovateľmi IT a AI služieb podľa čl. 28 a nasl. nariadenia (EÚ) 2022/2554 (DORA) záväznými klauzulami: opis služieb, lokality dát, audítorské práva, exit/výpoveď, súhlas so sub-outsourcingom, hlásenie incidentov a service-level. DORA sa uplatňuje od 17. januára 2025 a v dohľadovej praxi BaFin sa primárne zameriava na inštitúcie podľa CRR a poisťovateľov podľa Solvency II.

• Koho sa to týka? Finančných subjektov v rozsahu pôsobnosti DORA (banky, poisťovatelia a ďalšie finančné entity) ako aj ich poskytovateľov IT/AI služieb, ktorí bez povinných klauzúl nie sú zmluvne spôsobilí.
• Čo je jadro? Čl. 28-30 upravujú riziko tretích strán v oblasti IKT; čl. 30 obsahuje záväzný kánon klauzúl. Rozsah sa škáluje s kritickosťou outsourcovanej funkcie.
• Čo je najčastejší kameň úrazu? Pri hyperscaleroch je text klauzúl k stavu roku 2026 štandardom; pri AI startupoch chýbajú audítorské práva, exit a sub-outsourcing klauzuly a stávajú sa blokátorom v procurement procese.

Prečo poskytovatelia AI služieb spadajú pod DORA

Ústredné nastavenie smeru pre AI projekty: AI systémy nie sú osobitným prípadom, ale podprípadom „sieťových a informačných systémov" podľa čl. 3 ods. 2 DORA. Usmernenie BaFin k IKT rizikám pri nasadení AI vo finančných subjektoch z 18. decembra 2025 to výslovne objasňuje a vťahuje tak úplný kánon povinností DORA do AI governance: čl. 5-15 (riadenie IKT rizík), čl. 24-27 (testy odolnosti vrátane Threat-Led Penetration Testing) a čl. 28-30 (riziko tretích strán v oblasti IKT). Adresátmi sú primárne inštitúcie podľa CRR a poisťovatelia podľa Solvency II.

Pre Švajčiarsko existuje analogický, nie úplne zhodný režim: dohľadové oznámenie FINMA 08/2024 z 18. decembra 2024 a obežník FINMA 2023/1 (operačné riziká a odolnosť) formujú očakávania voči externým dodávateľom IKT. V Rakúsku k stavu mája 2026 neexistuje formálne sektorové AI usmernenie FMA; rakúske inštitúcie sa orientujú prevažne podľa BaFin a EBA. Samotná DORA ako nariadenie EÚ platí v Nemecku a Rakúsku priamo.

Dôležité zaradenie vopred: tento článok je odborná orientácia, nie právne poradenstvo. Vzorové zmluvné klauzuly a ich prenos na konkrétny jednotlivý prípad je potrebné posúdiť advokátom.

Kánon klauzúl podľa čl. 30 DORA

Čl. 30 DORA vyžaduje, aby boli práva a povinnosti finančného subjektu a tretieho poskytovateľa IKT jasne pridelené a písomne zafixované. Nariadenie pritom oddeľuje dve úrovne: minimálny rozsah pre všetky IKT zmluvy (čl. 30 ods. 2) a rozšírený katalóg pre služby, ktoré podporujú kritickú alebo dôležitú funkciu (čl. 30 ods. 3).

Kánon klauzúl zahŕňa podľa systematiky DORA najmä povinné audítorské práva, exit klauzuly, kontroly sub-processorov a dohody o service-level so záväzkami týkajúcimi sa rezidencie dát, latencie a výpočtovej kapacity. Pri hyperscaleroch je tento text aktuálne štandardom; pri AI startupoch je častým blokátorom v procurement procese. Pozadie: DORA podstatne modifikovala skoršie EBA Outsourcing Guidelines (EBA/GL/2019/02) ako aj ESMA Outsourcing Guidelines (ESMA50-164-4285) a previedla ich do priamo platného nariaďovacieho štandardu.

Jednoduché verzus kritické/dôležité funkcie

Hĺbka povinností závisí od toho, či outsourcovaná IKT služba podporuje kritickú alebo dôležitú funkciu – teda funkciu, ktorej výpadok by podstatne narušil finančnú odolnosť, kontinuitu služieb alebo dodržiavanie podmienok povolenia inštitúcie. Táto klasifikácia je prvou úlohou každej tvorby zmlúv podľa DORA a rozhoduje o rozsahu zmluvy.

Pre AI službu znie hlavná otázka konkrétne: zasahuje agent do kritického procesu (napr. detekcia podvodov v reálnom čase v platobnom styku, regulačný reporting) alebo podporuje len následný, ľahko nahraditeľný pomocný proces (napr. interná tvorba textov bez väzby na zákaznícke dáta)? Pri kritických/dôležitých funkciách sa uplatňujú dodatočné požiadavky čl. 30 ods. 3: zdokumentované exit stratégie, úplné a neobmedzené audítorské práva, SLA s presnými kvantitatívnymi a kvalitatívnymi výkonnostnými cieľmi ako aj jednoznačné určenia lokalít dát.

Prehľad povinných klauzúl

Nasledujúca tabuľka priraďuje ústredné súčasti zmluvy k ich účelu a označuje, či platia pre všetky IKT zmluvy alebo sprísnene pre kritické/dôležité funkcie. Priradenie článkov sleduje systematiku DORA (čl. 30 ods. 2 pre minimálny rozsah, čl. 30 ods. 3 pre kritické/dôležité funkcie).

Riziko koncentrácie a designácia CTPP

DORA sa nezameriava len na jednotlivú zmluvu, ale na systémové riziko koncentrácie. Európske orgány dohľadu (ESA) dňa 18. novembra 2025 prvýkrát designovali 19 kritických tretích poskytovateľov IKT služieb (Critical ICT Third-Party Providers, CTPP) – medzi nimi AWS, Microsoft Azure, Google Cloud, Oracle, IBM, SAP, Deutsche Telekom, Equinix a Swift. Týchto 19 poskytovateľov podlieha od roku 2026 priamemu dohľadu EÚ; DORA Joint Oversight Forum vykoná v priebehu roku 2026 prvé komplexné kontroly.

Pre tvorbu zmlúv na strane inštitúcie to má dva praktické dôsledky: exit plány sa musia každoročne testovať a multi-cloud stratégie sa fakticky vynucujú. Workloady AI agentov na hyperscaleroch zostávajú pod dodatočným pozorovaním. K stavu roku 2026 je otvorené, či inštitúcie kvôli tomu skutočne systematicky presadzujú multi-cloud alebo to zostane pri skôr symbolických exit plánoch – úplná multi-cloud AI architektúra pre banky je technicky a komerčne náročná. V praxi DACH z toho vyplýva preferovaný vzor sourcingu: suverénne alebo on-premise riešenia pre citlivé workloady, hyperscaler tam, kde sa riziko koncentrácie CTPP aktívne riadi.

Praktický príklad: zapojenie detekcie podvodov podporovanej AI

Poisťovateľ podľa Solvency II chce nasadiť AI agenta tretieho poskytovateľa pre detekciu podvodov v reálnom čase v platobnom styku. Kroky tvorby zmluvy v súlade s DORA možno načrtnúť takto:

1. Klasifikácia: Detekcia podvodov je kritickou alebo dôležitou funkciou, pretože jej výpadok podstatne narúša kontinuitu služby. Tým platí rozšírený katalóg čl. 30 ods. 3.
2. Opis služieb a SLA: Zmluva fixuje rozsah funkcií, dostupnosť a merateľné cieľové hodnoty. Napríklad v združení systém KIWI od Finanz Informatik kontroluje platobný styk podľa 460 kritérií – orientačný bod pre potrebnú presnosť opisu služieb a výkonnostných záväzkov.
3. Lokality dát: Určenie, že tréningové a inferenčné dáta sa spracúvajú v rámci EÚ; pri švajčiarskych zákazníckych dátach treba zohľadniť očakávanie FINMA ohľadom uchovávania dát v CH.
4. Audítorské práva a sub-outsourcing: Neobmedzené kontrolné práva pre inštitúciu a dohľad; každý subdodávateľ, ktorý spoluvykonáva kritickú funkciu, podlieha výhrade súhlasu.
5. Hlásenie incidentov: Poskytovateľ je zmluvne zaviazaný hlásiť IKT incidenty tak bezodkladne, aby poisťovateľ mohol splniť svoju oznamovaciu povinnosť podľa čl. 19 DORA. Na zaradenie relevancie: v prvých troch štvrťrokoch 2025 bolo BaFin nahlásených 525 závažných IKT incidentov, približne 70 percent z nich od úverových inštitúcií.
6. Exit: Zdokumentovaná exit stratégia s vrátením dát v použiteľnom formáte a podporou pri migrácii; exit plán sa každoročne testuje.

K tomu sa pridáva rozhranie k EU AI Act: pre finančné subjekty hlásenie incidentov podľa DORA podľa čl. 19 nahrádza oznamovaciu povinnosť podľa čl. 73 AI Act – s výnimkou hlásenia porušení základných práv. Dvojitým hláseniam sa tak možno vyhnúť, ak sú workflow vzájomne zladené.

Pre agentúry a B2B

Pre marketingové agentúry a B2B poskytovateľov, ktorí predávajú AI riešenia bankám alebo poisťovateľom, je posolstvo jednoznačné: bez kánonu klauzúl podľa čl. 30 výber dodávateľa pravidelne zlyháva vo finálnom kole. Kto od začiatku dodá v štandardnej zmluve audítorské práva, exit a sub-outsourcing klauzuly, záväzky ohľadom lokalít dát a spoľahlivý reťazec hlásenia incidentov, skráti procurement a vôbec sa kvalifikuje pre regulovaných zadávateľov. Pre B2B rozhodovateľov na strane inštitúcie sa odporúča štandardizovať klasifikáciu kritickosti ako prvý krok a škálovať zmluvné klauzuly podľa nej. Blck Alpaca sprevádza obsahové a komunikačné spracovanie takýchto compliance tém – právne posúdenie konkrétnych zmlúv zostáva úlohou advokáta.