Riadenie zmien ďalších sprostredkovateľov pre SaaS a MSP

Sarah, CISO rýchlo rastúceho FinTech poskytovateľa SaaS, otvorila správu, ktorá vyzerala ako bežná servisná aktualizácia od dodávateľa kritickej infraštruktúry. Pod „optimalizáciami služby“ bola ukrytá jedna veta, ktorá jej zmenila celý týždeň:

„Na zvýšenie výkonnosti analytiky budú pracovné záťaže spracúvania údajov s účinnosťou o 30 dní migrované k nášmu novému partnerovi, DataCrunch Analytics.“

Tridsať dní. Nový analytický partner. Rýchla kontrola ukázala, že poskytovateľ sídli mimo EÚ.

Vývojový tím to vnímal ako bežné zlepšenie dodávateľskej služby. Obstarávanie predpokladalo, že existujúca zmluva to pokrýva. Tím starostlivosti o zákazníkov nemal naplánovanú žiadnu oznamovaciu kampaň. Právne oddelenie nepreskúmalo dôsledky prenosu. Sarah okamžite videla skutočný problém: jej spoločnosť vystupovala ako sprostredkovateľ pre stovky finančných inštitúcií v celej Európe. Títo zákazníci boli podľa GDPR prevádzkovateľmi. Niektorí mali dohodnuté predchádzajúce oznámenie nových ďalších sprostredkovateľov. Niektorí mali právo vzniesť námietku. Viacerí mali povinnosti v oblasti outsourcingu a rizika IKT tretích strán vyplývajúce z DORA. Niekoľkí mali prísne vyhlásenia o lokalite spracúvania, ktoré nebolo možné potichu zmeniť.

Toto je okamih, keď mnohí poskytovatelia SaaS, MSP, MSSP a cloudových služieb zistia, že riadenie ďalších sprostredkovateľov nie je administratívna úloha ochrany súkromia. Je to riadenie dodávateľského rizika, dodržiavanie zmluvných podmienok, prevádzková odolnosť, komunikácia so zákazníkmi a auditný dôkaz v jednom pracovnom toku.

Verejná stránka so zoznamom ďalších sprostredkovateľov nestačí. Poznámka v texte od dodávateľa nestačí. Bezpečnostný dotazník nestačí. Obhájiteľný proces musí ukázať, kto ďalšieho sprostredkovateľa posúdil, aké údaje sa spracúvajú, ktorých zákazníkov sa to týka, ktoré zmluvy vyžadujú oznámenie, či boli námietky vyriešené pred použitím, ako boli prepojené dôkazy o medzinárodnom prenose a kde sa uchovávajú konečné dôkazy.

Clarysec k tomu pristupuje ako k riadenému vzoru kontrol, nie ako k ad hoc e-mailovej komunikácii. Pracovný tok prepája riadenie ochrany súkromia, uistenie dodávateľov, právne preskúmanie, riziko dodávateľského reťazca IKT, oznámenie zákazníkovi a auditné dôkazy prostredníctvom politík Clarysec, Zenith Blueprint: 30-kroková roadmapa pre audítora a Zenith Controls: Sprievodca súladom naprieč rámcami.

Prečo sú zmeny ďalších sprostredkovateľov vysoko rizikové dodávateľské udalosti

Zmena ďalšieho sprostredkovateľa môže cez noc zmeniť rizikový profil služby. Môže zmeniť, kde sú osobné údaje zákazníkov hostované, odkiaľ sa k nim pristupuje, kto má privilegovaný prístup technickej podpory, ako dlho sa uchovávajú logy, ako sa eskalujú incidenty, ktoré zodpovednosti za šifrovanie sa uplatňujú a či je potrebný nový mechanizmus medzinárodného prenosu.

Pri poskytovateľoch SaaS a spravovaných služieb sú ďalší sprostredkovatelia často súčasťou reťazca dodania produktu. Môžu zahŕňať poskytovateľov cloudového hostingu, tiketovacie platformy, služby doručovania e-mailov, nástroje analytiky AI, platformy úloh na pozadí, dodávateľov observability, podporné nástroje, sprostredkovateľov platieb, poskytovateľov riadených bezpečnostných služieb a služby obohacovania údajov. Mnohí z týchto poskytovateľov prichádzajú do kontaktu s osobnými údajmi zákazníkov aj vtedy, keď ich tímy označujú ako nástroje „infraštruktúry“ alebo „prevádzky“.

Podľa GDPR je to dôležité, pretože Článok 28 vyžaduje, aby sprostredkovatelia riadili následných sprostredkovateľov na základe povolenia prevádzkovateľa. Ak sa používa všeobecné písomné povolenie, sprostredkovateľ musí prevádzkovateľa informovať o zamýšľanom pridaní alebo nahradení a dať mu možnosť vzniesť námietku. Článok 28(4) tiež vyžaduje, aby boli ďalšiemu sprostredkovateľovi uložené rovnaké povinnosti ochrany údajov. Článok 5(2) dopĺňa zásadu preukázateľnej zodpovednosti, čo znamená, že organizácia musí byť schopná preukázať súlad, nielen ho deklarovať.

DORA zvyšuje požiadavky pre finančné služby. Finančné subjekty musia riadiť riziko IKT tretích strán ako neoddeliteľnú súčasť riadenia rizík IKT. Musia viesť registre zmluvných dojednaní, posudzovať riziko koncentrácie, rozumieť subdodávateľským reťazcom, definovať zmluvné ochranné opatrenia, zabezpečiť práva na audit a prístup, podporovať spoluprácu pri incidentoch a plánovať ukončenie. Aj keď poskytovateľ SaaS nie je priamo finančným subjektom, jeho finanční zákazníci budú očakávať dôkazy, pretože sami musia splniť požiadavky DORA.

NIS2 rozširuje pohľad na bezpečnosť dodávateľského reťazca a zodpovednosť manažmentu. Článok 21 vyžaduje primerané technické, prevádzkové a organizačné opatrenia vrátane bezpečnosti dodávateľského reťazca, riešenia incidentov, kontinuity činností, riadenia prístupu, správy aktív, bezpečného nadobúdania a údržby a posudzovania účinnosti. Článok 20 kladie zodpovednosť za dohľad na riadiace orgány. Pre poskytovateľov cloudových služieb, poskytovateľov spravovaných služieb, poskytovateľov spravovaných bezpečnostných služieb, poskytovateľov služieb dátových centier, poskytovateľov dôveryhodných služieb, online trhoviská, vyhľadávače a určité komunikačné služby sa viditeľnosť ďalších sprostredkovateľov stáva súčasťou riadenia kybernetickej bezpečnosti.

ISO/IEC 27001:2022 a ISO/IEC 27701:2025 z toho robia prevádzkovú požiadavku. ISO/IEC 27001:2022 vyžaduje, aby ISMS rozumel kontextu, požiadavkám zainteresovaných strán, rizikám, plánom ošetrenia rizík, prevádzkovým kontrolám a zdokumentovaným informáciám. ISO/IEC 27701:2025 rozširuje túto disciplínu systému manažérstva na systém manažérstva informácií o ochrane súkromia. PIMS orientovaný na sprostredkovateľa musí preukázať, že následné spracúvanie osobných údajov zákazníkov je pochopené, kontrolované, zmluvne riadené, monitorované a podložené dôkazmi.

Vzor Clarysec: evidovať, posúdiť, oznámiť, riešiť námietky, zazmluvniť, prepojiť prenos, uchovať dôkazy

Najsilnejší model riadenia ďalších sprostredkovateľov je dostatočne jednoduchý, aby ho vedeli dodržiavať prevádzkové tímy, a dostatočne dôsledný, aby ho vedeli testovať audítori. Clarysec používa sedem slovies:

1. Evidovať každého aktuálneho a navrhovaného ďalšieho sprostredkovateľa.
2. Pred použitím posúdiť riziká ochrany súkromia, bezpečnosti, odolnosti a závislosti.
3. Oznámiť zákazníkom zmenu podľa príslušnej zmluvy.
4. Riešiť námietky v dohodnutej lehote.
5. Aktualizovať DPA, bezpečnostnú prílohu a prenesené povinnosti.
6. Prepojiť dôkazy o hostingu, lokalite spracúvania a medzinárodnom prenose.
7. Uchovať dôkazy v registroch ochrany súkromia a dodávateľov.

Prvou prevádzkovou kotvou je Politika riadenia prevádzkovateľov, ďalších sprostredkovateľov a tretích strán v oblasti ochrany súkromia. Uvádza:

[Sprostredkovateľ] Vlastník dodávateľa / obstarávania MUSÍ pred použitím viesť v REG08 zoznam ďalších sprostredkovateľov a subdodávateľov používaných na spracúvanie osobných údajov zákazníkov a po schválenej zmene aktualizovať REG08 do 10 pracovných dní.

Toto ustanovenie mení zoznam ďalších sprostredkovateľov na riadený register. Zároveň explicitne stanovuje časovanie: REG08 sa aktualizuje pred použitím a následne sa obnoví do 10 pracovných dní po schválenej zmene.

Tá istá politika robí oznámenie zákazníkovi auditovateľným:

[Sprostredkovateľ] Vlastník dodávateľa / obstarávania MUSÍ zákazníkovi pred použitím oznámiť zamýšľaných nových alebo náhradných ďalších sprostredkovateľov podľa príslušnej zákazníckej zmluvy a zaznamenať oznámenie, lehotu na vznesenie námietky a výsledok v REG08.

Toto je detail, ktorý v mnohých programoch chýba. Otázkou nie je iba to, či bola aktualizovaná verejná stránka. Otázkou je, či boli správni zákazníci informovaní požadovaným spôsobom pred tým, ako ďalší sprostredkovateľ spracúval ich osobné údaje, a či sa lehota na vznesenie námietky a výsledok uchovali ako dôkaz.

Politika zároveň prepája riadenie zmien s due diligence:

[Všetci] Vlastník dodávateľa / obstarávania MUSÍ pred výberom, obnovením alebo podstatnou zmenou akéhokoľvek vzťahu so sprostredkovateľom, ďalším sprostredkovateľom alebo treťou stranou, ktorý spracúva osobné údaje alebo k nim pristupuje, doplniť dôkazy due diligence ochrany súkromia v REG08.

Podstatná zmena môže zahŕňať nahradenie infraštruktúry, pridanie následného poskytovateľa analytiky, presun hostingových regiónov, povolenie prístupu technickej podpory z novej krajiny, rozšírenie kategórií údajov alebo zmenu správania služby pri uchovávaní údajov.

Napokon politika uzatvára medzeru v prenesení zmluvných povinností:

[Sprostredkovateľ] Vlastník dodávateľa / obstarávania MUSÍ zabezpečiť, aby každá zmluva s ďalším sprostredkovateľom obsahovala prenesené povinnosti v oblasti ochrany súkromia, bezpečnosti, súčinnosti, vrátenia, výmazu, rozhrania pre incidenty a prepojenia s prenosmi pred tým, ako ďalší sprostredkovateľ začne spracúvať osobné údaje.

Je to dôležité, pretože všeobecný bezpečnostný dodatok nie vždy stačí. Povinnosti špecifické pre sprostredkovateľa sa musia preniesť nižšie v reťazci pred začatím spracúvania.

Kde politiky Clarysec prepájajú ochranu súkromia, dodávateľov a prenosy

Riadenie ďalších sprostredkovateľov funguje iba vtedy, keď ochrana súkromia, právne oddelenie, bezpečnosť dodávateľov a prevádzkové riadenie zmien používajú ten istý dôkazový reťazec.

Politika právneho a regulačného súladu - SME zavádza pravidlo pred zdieľaním:

Ustanovenia zmluvy o spracúvaní osobných údajov (DPA) alebo rovnocenné zmluvné podmienky musia byť dohodnuté pred zdieľaním akýchkoľvek osobných alebo citlivých údajov.

Pre podnikové prostredia Politika právneho a regulačného súladu spresňuje očakávania na dôkazy tým, že vyžaduje:

Poskytnutie informácií o ďalších sprostredkovateľoch a vyhlásení o geografických prenosoch údajov

Zároveň identifikuje spúšťače riadenia týkajúce sa:

Zmien mechanizmov prenosu údajov, ďalších sprostredkovateľov alebo cezhraničných tokov údajov

Bezpečnostná politika tretích strán a dodávateľov uvádza:

Použitie subdodávateľov podlieha predchádzajúcemu písomnému súhlasu

Pre menšie organizácie poskytuje Politika bezpečnosti tretích strán a dodávateľov - SME škálovateľnú verziu:

Obmedzenia ďalšieho subdodávania bez schválenia

Zároveň explicitne stanovuje prehodnotenie zmien dodávateľa:

Všetky zmeny dodávateľa — vrátane vlastníctva, typu služby, miesta hostovania alebo subdodávania — musia byť prehodnotené z hľadiska vplyvu na riziko a zmluvnej relevantnosti.

Politika ochrany údajov a súkromia obsahuje:

Požiadavky na schvaľovanie ďalších sprostredkovateľov

Politika riadenia rizík závislosti od dodávateľov dopĺňa pohľad odolnosti:

Zverejňovanie subdodávateľov: dodávateľ nás musí informovať o kľúčových subdodávateľoch a akýchkoľvek ich zmenách, najmä ak vytvárajú ďalšie vrstvy závislosti.

Spoločne tieto politiky vytvárajú úplné prevádzkové pravidlo: žiadne zdieľanie osobných údajov bez zmluvných podmienok, žiadni skrytí ďalší sprostredkovatelia, žiadne neriadené subdodávanie, žiadna neposúdená zmena hostingu alebo lokality a žiadne schválenie bez dôkazov o prenose tam, kde sú relevantné.

Ako Zenith Controls rámcuje súbor dodávateľských kontrol

V Zenith Controls Clarysec mapuje riadenie zmien ďalších sprostredkovateľov primárne na dodávateľské a právne kontroly ISO/IEC 27002:2022. Je to dôležité, pretože to ukazuje, že riadenie ďalších sprostredkovateľov nie je iba proces ochrany súkromia. Je to aj kontrola informačnej bezpečnosti, riadenia dodávateľov, právnych požiadaviek a odolnosti.

Zenith Controls opisuje kontrolu 5.22, „Monitorovanie, preskúmanie a riadenie zmien služieb dodávateľov“, ako preventívnu kontrolu podporujúcu dôvernosť, integritu a dostupnosť, zosúladenú s kybernetickým konceptom Identify a prevádzkovými schopnosťami pre bezpečnosť vzťahov s dodávateľmi a uistenie informačnej bezpečnosti. Presne to si vyžaduje zmena ďalšieho sprostredkovateľa: identifikovať zmenu, prehodnotiť riziko, potvrdiť zmluvné pokrytie a uchovať dôkazy na účely uistenia.

Pri kontrole 5.20 rámcuje Zenith Controls zmluvy s dodávateľmi ako preventívne kontroly pokrývajúce dôvernosť, integritu a dostupnosť. Sem patria podmienky DPA, bezpečnostné prílohy, doložky o subdodávaní, práva na audit, súčinnosť pri incidentoch, vrátenie a výmaz, ako aj povinnosti prepojenia s dôkazmi o prenose.

Pri kontrole 5.21 je dôležitý pohľad dodávateľského reťazca, pretože ďalší sprostredkovateľ môže vytvoriť závislosť od štvrtej strany. Dodávateľ SaaS sa môže spoliehať na poskytovateľa infraštruktúry, ten na poskytovateľa dátovej analytiky a ten zasa na ďalší cloudový región alebo podporného partnera. Organizácia musí reťazcu rozumieť dostatočne na to, aby riadila riziká, záväzky voči zákazníkom a možnosti ukončenia.

30-kroková roadmapa: premena politiky na prevádzkový postup

Zenith Blueprint umiestňuje dodávateľské a následné riziko do kroku 23, Organizačné opatrenia. Vysvetľuje, že zmluvy s dodávateľmi zvyčajne riešia dôvernosť, riadenie prístupu, technické a organizačné opatrenia, lehoty nahlasovania incidentov, právo na audit, kontroly subdodávateľov a ustanovenia pri skončení zmluvy. Blueprint zdôrazňuje kľúčový bod:

Štruktúra zmluvy je dôležitá. Tieto ustanovenia môžu byť v hlavnej zmluve o poskytovaní služieb, v samostatnej zmluve o spracúvaní osobných údajov (DPA) alebo v samostatnej bezpečnostnej prílohe. Dôležité je, že existujú a že im obe strany rozumejú a akceptujú ich.

Blueprint zároveň tímom hovorí, čo majú robiť so subdodávateľmi:

Pri každom kritickom dodávateľovi zistite, či využíva subdodávateľov (ďalších sprostredkovateľov), ktorí môžu pristupovať k vašim údajom alebo systémom. Zdokumentujte, ako sa vaše požiadavky na informačnú bezpečnosť prenášajú na tieto strany, a to buď prostredníctvom zmluvných podmienok vášho dodávateľa, alebo prostredníctvom vašich vlastných priamych doložiek.

Pri riadení zmien dodávateľov je správnym prevádzkovým zosúladením kontrola ISO/IEC 27002:2022 5.22:

Zaviesť jednoduchý a škálovateľný postup na posudzovanie zmien služieb dodávateľov (5.22), ako je migrácia do cloudu, noví ďalší sprostredkovatelia alebo redizajn infraštruktúry. Definovať spúšťače, ktoré vyžadujú opätovné bezpečnostné posúdenie.

CISO a DPO tak získavajú praktickú trasu. Krok 23 definuje zámer kontroly. REG08 zachytáva dôkazy o ochrane súkromia pri sprostredkovateľoch, ďalších sprostredkovateľoch a tretích stranách. REG09 zachytáva dôkazy o prenose. Zmluvy s dodávateľmi, DPA a tickety zmien prepájajú pracovný tok s prevádzkovou realitou.

Praktický pracovný tok pre oznámenie zmeny ďalšieho sprostredkovateľa

Pracovný tok zmeny ďalšieho sprostredkovateľa má byť správnym spôsobom nudný. Každá etapa má mať vlastníka, dôkazy a kontrolný bod, ktorý zabráni predčasnému použitiu v produkčnom prostredí.

Kľúčová zásada je jednoduchá: ak to zmluva vyžaduje, oznámenie zákazníkovi musí prebehnúť pred použitím. Aktualizácia verejnej webovej stránky po implementácii môže podporiť transparentnosť, ale nepreukazuje zákaznícky špecifické oznámenie, zmluvné povolenie ani riešenie námietok.

Uplatnenie pracovného toku na krízu Sarah

Oznámenie dodávateľa o DataCrunch Analytics u Sarah spúšťa celý proces.

Najprv vlastník dodávateľa otvorí záznam zmeny v REG08. Záznam identifikuje CoreStack, DataCrunch Analytics, účel služby, vplyv na zákaznícke tenanty, rolu pri spracúvaní, kategórie údajov, lokality spracúvania, model prístupu technickej podpory, dobu uchovávania a to, či môžu byť prítomné osobitné kategórie údajov alebo regulované údaje finančných zákazníkov.

Následne tímy ochrany súkromia a bezpečnosti vykonajú due diligence. Preskúmajú technické a organizačné opatrenia DataCrunch Analytics, šifrovanie, riadenie prístupu, logovanie, oznamovanie incidentov, možnosti výmazu, uistenie z auditu, zoznam ďalších sprostredkovateľov a bezpečnostné certifikácie. Keďže poskytovateľ je mimo EÚ, preskúmanie lokality a prenosu je povinné.

Po tretie, právne oddelenie skontroluje, či zákaznícke DPA používajú osobitné povolenie alebo všeobecné povolenie s oznámením. Zákazníci sa rozdelia do oznamovacích skupín: zákazníci so štandardnou 30-dňovou lehotou oznámenia, podnikoví zákazníci so 45-dňovou lehotou na vznesenie námietky, zákazníci vyžadujúci osobitné schválenie, obmedzení zákazníci s lokalizačnými limitmi a nedotknutí zákazníci, ktorých údaje neprechádzajú analytickou pracovnou záťažou.

Po štvrté, prepoja sa dôkazy o prenose. Politika riadenia prevádzkovateľov, ďalších sprostredkovateľov a tretích strán v oblasti ochrany súkromia vyžaduje:

[Obe roly] Vlastník dodávateľa / obstarávania MUSÍ v REG08 zaznamenať lokality spracúvania, miesta hostovania a indikátory medzinárodného prenosu a pred schválením sprostredkovateľa, ďalšieho sprostredkovateľa, zmeny lokality alebo zmeny služby relevantnej pre prenos prepojiť príslušné dôkazy o prenose s REG09.

Po piate, tím starostlivosti o zákazníkov odošle formálne oznámenia cez schválené kanály. Každé oznámenie obsahuje zamýšľaného ďalšieho sprostredkovateľa, účel, kategórie údajov, zhrnutie lokality, dátum účinnosti, lehotu na vznesenie námietky a kontaktný kanál.

Po šieste, námietky sa riadia. Ak finančná inštitúcia namieta, pretože zmena ovplyvňuje kritickú funkciu alebo prenos do tretej krajiny, tím Sarah vyhodnotí alternatívy: vylúčiť tenant, ponechať pôvodnú cestu spracúvania, vyžadovať podporu iba z EÚ, doplniť zmluvné ochranné opatrenia alebo odložiť zmenu, kým sa námietka nevyrieši.

Po siedme, Engineering dostane schválenie iba pre tenanty a pracovné záťaže, ktoré prešli kontrolným bodom. Ticket produkčnej zmeny odkazuje na REG08, REG09, právne schválenie, dôkazy o oznámení a všetky zákaznícky špecifické výluky. Po spustení do produkčného prostredia sa aktualizujú interný register, verejná stránka ďalších sprostredkovateľov a úložisko zmlúv.

To je rozdiel medzi reaktívnym hasením problémov a obhájiteľným riadením.

Mapovanie súladu naprieč rámcami pre jeden dôkazový reťazec

Výhodou Clarysec je, že jeden pracovný tok môže splniť požiadavky viacerých rámcov, ak sú dôkazy od začiatku navrhnuté správne.

NIST CSF 2.0 je užitočný ako neutrálna organizačná vrstva. Jeho funkcia GOVERN zahŕňa pochopenie právnych, regulačných a zmluvných povinností, povinností ochrany súkromia a občianskych slobôd, priraďovanie rolí, ustanovovanie politík, preskúmanie výkonnosti a riadenie kybernetického rizika dodávateľského reťazca. Kategória GV.SC očakáva procesy dodávateľského rizika, kritickosť dodávateľov, zmluvné požiadavky na kybernetickú bezpečnosť, due diligence, monitorovanie počas životného cyklu, plánovanie incidentov a činnosti po skončení vzťahu.

DORA je pre finančné subjekty preskriptívnejšia. Články 28 až 30 vyžadujú riadenie rizika IKT tretích strán, zmluvné registre, klasifikáciu kritických alebo dôležitých funkcií, viditeľnosť subdodávateľského reťazca, prehľad lokalít, zmluvné ochranné opatrenia, práva na audit, spoluprácu pri incidentoch a plánovanie ukončenia. Ak vaša SaaS platforma podporuje finančných zákazníkov, vaše dôkazy o ďalších sprostredkovateľoch sa stávajú súčasťou ich balíka dôkazov podľa DORA.

NIS2 dopĺňa zodpovednosť manažmentu. Článok 20 vyžaduje, aby riadiace orgány schvaľovali opatrenia riadenia kybernetických rizík a dohliadali na ich implementáciu. Článok 21 vyžaduje bezpečnosť dodávateľského reťazca a posúdenie praktík kybernetickej bezpečnosti dodávateľov. Významná zmena ďalšieho sprostredkovateľa má byť preto viditeľná v reportovaní rizík, nie skrytá v priečinku obstarávania.

Čo budú audítori testovať

Zrelý proces ďalších sprostredkovateľov vytvára priamu líniu od politiky k dôkazom.

Audítor ISO/IEC 27001:2022 začne rozsahom ISMS, požiadavkami zainteresovaných strán, rizikami, vyhlásením o aplikovateľnosti a prevádzkovými kontrolami. Pravdepodobne bude testovať vzťahy s dodávateľmi, zmluvy s dodávateľmi, dodávateľský reťazec IKT, monitorovanie a riadenie zmien dodávateľov, právne požiadavky, cloudové služby, ochranu súkromia, logovanie a prevádzkové riadenie zmien.

Audítor ISO/IEC 27701:2025 PIMS sa zameria na jasnosť rolí. Ste sprostredkovateľ, prevádzkovateľ, spoloční prevádzkovatelia alebo kombinácia týchto rolí v rôznych službách? Pri sprostredkovateľských činnostiach si vyžiada zoznam ďalších sprostredkovateľov, základ povolenia, dôkazy o oznámení, riešenie námietok, následné zmluvy, dôkazy o prenose, podporu výmazu, rozhranie pre incidenty a záznamy z monitorovania.

Dozorný orgán ochrany osobných údajov podľa GDPR bude testovať preukázateľnú zodpovednosť. Bude sa pýtať, kto spracúva osobné údaje, na aký účel, podľa akej zmluvy, v akej lokalite, s akými ochrannými opatreniami a s akou transparentnosťou voči zákazníkovi. Ak zákazník vzniesol námietku, bude sa pýtať, čo sa stalo pred začatím spracúvania.

Zákaznícky audítor podľa DORA sa bude pýtať, či ďalší sprostredkovateľ podporuje kritickú alebo dôležitú funkciu, či sú viditeľné subdodávateľské reťazce, či sú zdokumentované lokality údajov, či je zmluvne garantovaná súčinnosť pri incidentoch, či sa práva na audit prenášajú nižšie v reťazci, či bolo zohľadnené riziko koncentrácie a či je možné ukončenie.

Posudzovateľ podľa NIS2 sa zameria na bezpečnosť dodávateľského reťazca, dohľad manažmentu, pripravenosť na incidenty a primerané kontroly. Môže sa pýtať, ako sa zisťujú zmeny dodávateľov, ako sa posudzujú priami dodávatelia, ako sa zohľadňujú zraniteľnosti dodávateľov a ako sa eskalujú incidenty týkajúce sa príjemcov služby.

Súbor dôkazov má byť jednoducho rekonštruovateľný:

• Schválená žiadosť o zmenu ďalšieho sprostredkovateľa.
• Záznam due diligence v REG08.
• Posúdenie kategórie údajov a účelu spracúvania.
• Dôkazy o lokalite spracúvania a hostingu.
• Dôkazy o prenose v REG09, ak sú relevantné.
• Preskúmanie prenesených povinností v DPA a zmluve.
• Zoznam oznámení zákazníkom, dátumy, znenie a dôkaz doručenia.
• Log námietok a dôkazy o vyriešení.
• Ticket produkčnej zmeny prepojený so schválením.
• Aktualizovaný zoznam ďalších sprostredkovateľov a harmonogram monitorovania.
• Akceptácia rizika alebo schválenie výnimky, ak je potrebné.

Bežné vzorce zlyhania

Prvým zlyhaním je považovať stránku ďalších sprostredkovateľov za celý proces. Verejná stránka podporuje transparentnosť, ale nepreukazuje zákaznícky špecifické oznámenie, riešenie námietok ani povolenie.

Druhým zlyhaním je oddelenie dôkazov ochrany súkromia, bezpečnosti a obstarávania. Ochrana súkromia môže schváliť DPA, bezpečnosť môže preskúmať SOC 2 report a obstarávanie môže založiť zmluvu, ale žiadny jednotný záznam neprepája rozhodnutie.

Tretím zlyhaním je chýbajúce prepojenie s prenosmi. Tímy zaznamenajú názov dodávateľa, ale nie lokality spracúvania, miesta hostovania, lokality podpory, indikátory medzinárodného prenosu ani dôkazy v REG09.

Štvrtým zlyhaním je povolenie produkcie pred uplynutím lehôt na vznesenie námietky. Keď nový ďalší sprostredkovateľ začne spracúvať osobné údaje zákazníkov, organizácia už mohla porušiť zmluvu.

Piatym zlyhaním je slabé prenesenie povinností. Priamy dodávateľ akceptuje prísne podmienky, ale jeho následní poskytovatelia nie sú viazaní rovnocennými povinnosťami v oblasti ochrany súkromia, bezpečnosti, súčinnosti, vrátenia, výmazu, incidentov, auditu a prenosu.

Šiestym zlyhaním je slabá detekcia zmien. Dodávateľ zmení vlastníctvo, miesto hostovania, typ služby, model podpory alebo subdodávateľský reťazec a nikto neprehodnotí riziko.

Siedmym zlyhaním je chýbajúca auditná stopa. Tímy si rozhodnutie pamätajú, ale nevedia preukázať, kedy sa prijalo, kto ho schválil, ktorí zákazníci boli informovaní a ako boli námietky vyriešené.

Reportovanie manažmentu pre CISO a DPO

Riadenie ďalších sprostredkovateľov má vytvárať manažérske informácie, nielen artefakty súladu.

Toto reportovanie zapadá do modelu systému manažérstva. ISO/IEC 27001:2022 očakáva vedenie, prevádzkové riadenie, hodnotenie výkonnosti a neustále zlepšovanie. DORA a NIS2 zvyšujú zodpovednosť manažmentu. Riadenie ďalších sprostredkovateľov má byť podľa relevantnosti súčasťou stretnutí riadiaceho výboru pre ochranu súkromia, preskúmaní dodávateľského rizika, preskúmania ISMS manažmentom a reportovania rizík IKT.

Vybudujte si balík dôkazov k zmene ďalšieho sprostredkovateľa

Začnite jednou nedávnou zmenou dodávateľa a otestujte, či vaša organizácia vie odpovedať na tieto otázky:

• Bol poskytovateľ identifikovaný ako sprostredkovateľ, ďalší sprostredkovateľ, dodávateľ, poskytovateľ IKT alebo ako všetky tieto roly?
• Bol REG08 alebo rovnocenný register aktualizovaný pred použitím?
• Boli zaznamenané lokality spracúvania a miesta hostovania?
• Boli posúdené indikátory medzinárodného prenosu?
• Boli dôkazy o prenose prepojené s REG09 alebo rovnocenným súborom?
• Obsahovala zmluva prenesené povinnosti v oblasti ochrany súkromia, bezpečnosti, súčinnosti, vrátenia, výmazu, incidentov, auditu a prenosu?
• Boli zákazníci informovaní podľa svojich zmlúv pred začatím spracúvania?
• Boli lehoty na vznesenie námietky sledované a vyriešené?
• Bolo povolenie do produkcie zablokované až do schválenia?
• Vedel by audítor zrekonštruovať rozhodovaciu stopu za menej ako 30 minút?

Ak je odpoveď nie, medzera nie je iba právna. Je prevádzková, zmluvná, súvisí s dodávateľským rizikom, ochranou súkromia aj pripravenosťou na audit.

Clarysec pomáha tímom túto medzeru rýchlo uzavrieť. Použite Zenith Blueprint na zaradenie riadenia ďalších sprostredkovateľov do vašej roadmapy implementácie ISMS a PIMS. Použite Zenith Controls na mapovanie kontrol vzťahov s dodávateľmi, zmlúv s dodávateľmi, dodávateľského reťazca IKT, zmien dodávateľov, cloudových služieb a právnych požiadaviek naprieč ISO/IEC 27001:2022, ISO/IEC 27701:2025, GDPR, DORA, NIS2, NIST CSF 2.0 a COBIT 2019. Použite Politiku riadenia prevádzkovateľov, ďalších sprostredkovateľov a tretích strán v oblasti ochrany súkromia, Bezpečnostnú politiku tretích strán a dodávateľov, Politiku právneho a regulačného súladu, Politiku ochrany údajov a súkromia a Politiku riadenia rizík závislosti od dodávateľov na premenu mapovania na každodennú prevádzku.

Nečakajte na prekvapivú poznámku pod čiarou v e-maile od dodávateľa. Vybudujte pracovný tok, balík dôkazov a mapu kontrol už teraz, aby sa každá zmena ďalšieho sprostredkovateľa stala dôkazom zrelého riadenia, nie krízou súladu.