Συμβάσεις με παρόχους ΤΠΕ βάσει DORA στην Κύπρο: έλεγχος του άρθρου 30

Καθορίστε την εποπτευόμενη οντότητα, την υπηρεσία ΤΠΕ και τη λειτουργία

Ξεκινήστε από το νομικό πρόσωπο που αγοράζει την υπηρεσία. Ο DORA εφαρμόζεται στις χρηματοοικονομικές οντότητες του άρθρου 2, με τις εξαιρέσεις και την αρχή της αναλογικότητας που προβλέπει. Κυπριακή επιχείρηση επενδύσεων, διαχειριστής κεφαλαίων ή άλλη εποπτευόμενη εταιρεία πρέπει να ελέγξει τη δική της κατηγορία· η υπαγωγή μιας εταιρείας ομίλου δεν μεταφέρεται αυτομάτως στις υπόλοιπες. Η εξέταση αφορά υπηρεσίες ΤΠΕ από τρίτο πάροχο. Επαγγελματίας σύμβουλος που χρησιμοποιεί λογισμικό εσωτερικά δεν γίνεται γι’ αυτόν τον λόγο πάροχος ΤΠΕ της οντότητας. Καταγράψτε πάροχο, συμβαλλόμενο, υπεύθυνο υπηρεσίας και πραγματική χρήση πριν κρίνετε μια αγορά ως σχετική.

Αποτυπώστε την επιχειρησιακή λειτουργία που εξαρτάται από την υπηρεσία και όχι μόνο την τεχνολογική της ονομασία. Τι συμβαίνει αν η πύλη πληρωμών, η πλατφόρμα συναλλαγών, το cloud, η ταυτοποίηση χρηστών ή τα αντίγραφα ασφαλείας δεν είναι διαθέσιμα, αλλοιωθούν ή δεν είναι προσβάσιμα; Κατά τον DORA, κρίσιμη ή σημαντική λειτουργία είναι εκείνη της οποίας η διακοπή θα έβλαπτε ουσιωδώς την οικονομική επίδοση, τη συνέχεια υπηρεσιών και δραστηριοτήτων ή τη διαρκή συμμόρφωση με όρους αδειοδότησης και υποχρεώσεις χρηματοοικονομικών υπηρεσιών. Μικρή συνδρομή μπορεί να στηρίζει καίρια ρυθμιζόμενη δραστηριότητα. Τεκμηριώστε σενάριο αστοχίας, εναλλακτικές και απόφαση ταξινόμησης.

Η ταξινόμηση καθορίζει το βάθος της σύμβασης, τον προληπτικό έλεγχο κινδύνου και το σχέδιο εξόδου. Μην αντιγράφετε μηχανικά την ενισχυμένη δέσμη σε κάθε μικρή σύμβαση χωρίς να διαπιστώνετε αν λειτουργεί πρακτικά. Μην αφαιρείτε όμως τους βασικούς όρους του άρθρου 30 παράγραφος 2 επειδή ο πάροχος χαρακτηρίστηκε εσωτερικά «μη κρίσιμος». Όταν ένας πάροχος στηρίζει πολλές λειτουργίες, εξετάστε κάθε εξάρτηση και τον συνδυασμένο κίνδυνο. Επανεξετάστε την απόφαση αν αυξηθεί η χρήση, προστεθεί εταιρεία ομίλου ή μια προαιρετική πλατφόρμα γίνει ο μοναδικός δίαυλος πελατών. Φυλάξτε την εγκεκριμένη αιτιολόγηση μαζί με την υπογεγραμμένη σύμβαση και τις τροποποιήσεις.

Σχετικός οδηγός: οδηγός υπαγωγής στη NIS2.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2022/2554, DORA, άρθρα 2 και 28–30; Εγκύκλιος CySEC C751 της 19ης Ιανουαρίου 2026 για μητρώο DORA, μορφή υποβολής και πύλη; EBA: προετοιμασία υποβολής του μητρώου πληροφοριών DORA

Ολοκληρώστε την απόφαση του άρθρου 28 πριν υπογράψετε

Το άρθρο 28 διατηρεί την ευθύνη στη χρηματοοικονομική οντότητα ακόμη και όταν αυτή αγοράζει τεχνολογία. Πριν από τη σύναψη συμφωνίας ΤΠΕ εξετάζει αν η υπηρεσία στηρίζει κρίσιμη ή σημαντική λειτουργία, αν πληρούνται οι εποπτικοί όροι και ποιοι κίνδυνοι προκύπτουν, μεταξύ άλλων από συγκέντρωση παρόχων. Αξιολογεί τον υποψήφιο πάροχο και πιθανές συγκρούσεις συμφερόντων. Αυτά είναι βήματα απόφασης με αποδεικτικά στοιχεία, όχι ερωτηματολόγιο που αρχειοθετείται αφού τελειώσουν οι προμήθειες. Ο υπεύθυνος της σύμβασης πρέπει να εξηγεί γιατί ο επιλεγμένος πάροχος μπορεί να καλύψει απαιτήσεις υπηρεσίας, ασφάλειας και ανάκαμψης. Ένα πιστοποιητικό ISO είναι στοιχείο, όχι ολόκληρη η απόφαση.

Ελέγξτε τη συγκέντρωση πέρα από την εμπορική επωνυμία. Δύο φαινομενικά ανεξάρτητοι προμηθευτές μπορεί να χρησιμοποιούν την ίδια υποδομή cloud, κοινή ιδιοκτησία ή τον ίδιο κρίσιμο υπεργολάβο. Συγκρίνετε περιοχές, κέντρα δεδομένων, προνομιούχες προσβάσεις και δυνατότητα υποκατάστασης. Για κρίσιμη ή σημαντική λειτουργία με πάροχο εγκατεστημένο σε τρίτη χώρα, το άρθρο 29 απαιτεί ειδική εξέταση συμμόρφωσης με την προστασία δεδομένων της Ένωσης και αποτελεσματικής εφαρμογής του δικαίου. Αν επιτρέπεται υπεργολαβία, αξιολογήστε αν μακρά ή περίπλοκη αλυσίδα εμποδίζει τη δική σας παρακολούθηση ή την αποτελεσματική εποπτεία της αρμόδιας αρχής.

Ένας χρήσιμος φάκελος έγκρισης περιγράφει υπηρεσία, υποστηριζόμενη λειτουργία, ταξινόμηση, έλεγχο παρόχου, πρότυπα ασφάλειας, εναλλακτικές, συγκέντρωση, προβλεπόμενη υπεργολαβική αλυσίδα, υπολειπόμενους κινδύνους και όργανο έγκρισης. Συνδέστε κάθε ουσιώδες εύρημα με συμβατικό μέτρο ή αιτιολογημένη αποδοχή του κενού. Το διοικητικό όργανο εξακολουθεί να ευθύνεται για το πλαίσιο κινδύνου ΤΠΕ· η διαβεβαίωση του παρόχου δεν μεταβιβάζει την υποχρέωση. Ορίστε γεγονότα που ενεργοποιούν νέα αξιολόγηση, όπως αλλαγή τόπου, επεξεργασίας δεδομένων, σημαντικού υπεργολάβου ή εύρους υπηρεσίας. Ο ετήσιος επετειακός έλεγχος μόνος του μπορεί να είναι πολύ αργός.

Σχετικός οδηγός: οδηγός αλλαγής παρόχου cloud.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2022/2554, DORA, άρθρα 2 και 28–30; Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2025/532 για υπεργολαβία υπηρεσιών ΤΠΕ που στηρίζουν κρίσιμες ή σημαντικές λειτουργίες; Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2024/1773 για την πολιτική υπηρεσιών ΤΠΕ κρίσιμων ή σημαντικών λειτουργιών

Ελέγξτε όλες τις βασικές ρήτρες του άρθρου 30 παράγραφος 2

Η παράγραφος 1 του άρθρου 30 απαιτεί σαφή κατανομή δικαιωμάτων και υποχρεώσεων εγγράφως και ολόκληρη τη σύμβαση μαζί με τις συμφωνίες επιπέδου υπηρεσιών σε ένα έντυπο ή μεταφορτώσιμο, ανθεκτικό και προσβάσιμο έγγραφο. Η παράγραφος 2, για κάθε σχετική συμφωνία ΤΠΕ, ζητά πλήρη περιγραφή λειτουργιών και υπηρεσιών, αν επιτρέπεται υπεργολαβία κρίσιμων ή σημαντικών υπηρεσιών και με ποιους όρους, καθώς και χώρες ή περιοχές παροχής και επεξεργασίας δεδομένων, συμπεριλαμβανομένης της αποθήκευσης. Απαιτείται προηγούμενη γνωστοποίηση σχεδιαζόμενης αλλαγής τόπου. Το «οποιοδήποτε παγκόσμιο κέντρο δεδομένων» δεν επιτρέπει ουσιαστικό έλεγχο τοποθεσίας.

Στους βασικούς όρους ανήκουν η διαθεσιμότητα, γνησιότητα, ακεραιότητα και εμπιστευτικότητα των δεδομένων, καθώς και πρόσβαση, ανάκτηση και επιστροφή προσωπικών και μη προσωπικών δεδομένων σε εύκολα προσβάσιμη μορφή σε αφερεγγυότητα, εξυγίανση, παύση λειτουργίας ή λήξη. Προσθέστε περιγραφές επιπέδων υπηρεσίας και βοήθεια σε περιστατικά ΤΠΕ χωρίς επιπλέον χρέωση ή με εκ των προτέρων καθορισμένο κόστος. Δοκιμάστε τη ρήτρα επιστροφής σε πραγματικό σενάριο μεταφοράς: μορφότυπος, χρόνος, ταυτοποίηση, αντίγραφα και διαθέσιμο πρόσωπο επικοινωνίας σε κρίση προμηθευτή. Ένα δικαίωμα που ασκείται μόνο όταν ο πάροχος έχει ήδη καταρρεύσει είναι ανεπαρκές πρακτικά.

Ελέγξτε επίσης συνεργασία με αρμόδιες εποπτικές αρχές και αρχές εξυγίανσης, δικαιώματα καταγγελίας με ελάχιστες προθεσμίες και όρους συμμετοχής του παρόχου στην ευαισθητοποίηση ασφάλειας ΤΠΕ και την εκπαίδευση ψηφιακής ανθεκτικότητας της οντότητας. Οι όροι πρέπει να συμβιβάζονται με αμοιβή, ευθύνη και εμπιστευτικότητα. Υπερβολικά ευρεία εμπιστευτικότητα δεν πρέπει να εμποδίζει νόμιμη συνεργασία με την εποπτική αρχή. Ανοιχτός τιμοκατάλογος για βοήθεια σε περιστατικό δεν αποτελεί προαποφασισμένο κόστος. Διαβάστε εντολή αγοράς, βασική συμφωνία, παραρτήματα και ενσωματωμένες πολιτικές ως ενιαίο συμβατικό σύνολο και επιλύστε τυχόν αντιφάσεις πριν από την έγκριση.

Σχετικός οδηγός: οδηγός παραβίασης δεδομένων κατά ΓΚΠΔ.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2022/2554, DORA, άρθρα 2 και 28–30

Προσθέστε τους ενισχυμένους όρους όταν στηρίζεται κρίσιμη λειτουργία

Όταν η υπηρεσία στηρίζει κρίσιμη ή σημαντική λειτουργία, μια γενική υπόσχεση διαθεσιμότητας δεν αρκεί. Η παράγραφος 3 του άρθρου 30 απαιτεί ακριβείς ποσοτικούς και ποιοτικούς στόχους επιδόσεων, καθώς και ενημέρωση και αναθεώρησή τους, ώστε η οντότητα να παρακολουθεί και να ζητά έγκαιρη διόρθωση. Ορίστε δείκτη, περίοδο μέτρησης, εξαιρέσεις, πηγή δεδομένων, όριο και υπεύθυνο κλιμάκωσης. Διαθεσιμότητα 99,9% χωρίς κανόνα μέτρησης μπορεί να αποκρύψει διακοπή εντός του κρίσιμου παραθύρου συναλλαγών. Συνδέστε τους στόχους με την πραγματική λειτουργία και τις παραδοχές του δικού σας σχεδίου επιχειρησιακής συνέχειας.

Η ενισχυμένη σύμβαση πρέπει να προβλέπει προειδοποίηση και αναφορές για εξελίξεις που θα μπορούσαν να επηρεάσουν ουσιωδώς την παροχή. Απαιτεί από τον πάροχο εφαρμογή και δοκιμή σχεδίων έκτακτης ανάγκης και κατάλληλων μέτρων ασφάλειας ΤΠΕ. Πρέπει να καλύπτει συμμετοχή και πλήρη συνεργασία σε δοκιμές διείσδυσης βάσει απειλών, όπου εφαρμόζονται. Χρειάζεται λειτουργικό πρωτόκολλο: ποιος ειδοποιείται, ποια τεκμήρια δίνονται, πώς προστατεύονται, ποιος εγκρίνει δοκιμές και πώς αποκαθίσταται αδυναμία. Η φράση «συνεργασία κατά την εμπορική διακριτική ευχέρεια» μπορεί να είναι υπερβολικά αόριστη για ρυθμιζόμενη λειτουργία.

Περιλάβετε συνεχή παρακολούθηση και τα δικαιώματα πρόσβασης, επιθεώρησης και ελέγχου της παραγράφου 3 στοιχείο ε για την οντότητα ή διορισμένο τρίτο και την αρμόδια αρχή, μαζί με συνεργασία σε επιθεωρήσεις. Η ίδια διάταξη περιέχει ειδική παρέκκλιση για πολύ μικρές επιχειρήσεις ως προς την ανάθεση δικαιωμάτων ελέγχου σε ανεξάρτητο τρίτο· εξακριβώστε αν ισχύει. Χρειάζεται επίσης στρατηγική εξόδου με επαρκή υποχρεωτική μεταβατική περίοδο, ώστε ο πάροχος να συνεχίζει την υπηρεσία κατά τη μεταφορά αλλού ή εσωτερικά. Ελέγξτε μήπως όρια ευθύνης, τέλη ή δικαιώματα διανοητικής ιδιοκτησίας αχρηστεύουν πρακτικά τα δικαιώματα. Κριτήριο είναι η υποστηριζόμενη λειτουργία, όχι χωριστός επίσημος χαρακτηρισμός του παρόχου ως κρίσιμου.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2022/2554, DORA, άρθρα 2 και 28–30; Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2024/1773 για την πολιτική υπηρεσιών ΤΠΕ κρίσιμων ή σημαντικών λειτουργιών

Ελέγξτε την υπεργολαβική αλυσίδα αντί γενικής άδειας

Το άρθρο 30 απαιτεί να ορίζεται αν επιτρέπεται υπεργολαβία υπηρεσίας ΤΠΕ που στηρίζει κρίσιμη ή σημαντική λειτουργία, ή ουσιωδών τμημάτων της, και υπό ποιες προϋποθέσεις. Ζητήστε τις εργασίες κάθε υπεργολάβου, την τοποθεσία του, τους τόπους δεδομένων και τα δικαιώματα πρόσβασης. Λευκή επιταγή για κάθε μελλοντική συνδεδεμένη εταιρεία ή υποπρομηθευτή στερεί τον έλεγχο συγκέντρωσης, ασφάλειας, εποπτείας και εξόδου. Μια στατική λίστα χωρίς ειδοποίηση αλλαγών επίσης παλιώνει γρήγορα. Συμφωνήστε διαδικασία έγκρισης ή αντίρρησης και την πληροφόρηση που απαιτείται για πραγματική απόφαση. Η άμεση συμβαλλόμενη πλευρά παραμένει υπόλογη για τις δεσμεύσεις της.

Ο κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2025/532 εξειδικεύει πρότυπα υπεργολαβίας υπηρεσιών ΤΠΕ που στηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Η οντότητα πρέπει να αξιολογεί υπηρεσία και πάροχο πριν επιτρέψει την υπεργολαβία και να ελέγχει αν μπορεί να παρακολουθεί την αλυσίδα και να αντιδρά σε αλλαγές. Απαιτήσεις ασφάλειας, συνέχειας, επιδόσεων, αναφορών και πρόσβασης πρέπει να περνούν στα κατάλληλα επίπεδα. Ο άμεσος πάροχος δεν μπορεί να υπόσχεται αξιόπιστα δικαίωμα που του αρνείται ο δικός του υπεργολάβος. Εξετάστε τρίτες χώρες και κίνδυνο αφερεγγυότητας όπου σχετίζονται· μια γενική ιστοσελίδα «υποεκτελούντων» δεν αποτυπώνει αναγκαστικά την πραγματική αλυσίδα.

Στήστε διαδικασία για νέο υπεργολάβο ή ουσιώδη αλλαγή καθηκόντων: παραλήπτη ειδοποίησης, χρόνο ελέγχου, ζητούμενα αποδεικτικά και κλιμάκωση κινδύνου. Ευθυγραμμίστε αντίρρηση και καταγγελία με την τεχνική δυνατότητα μεταφοράς. Αν ο πάροχος αποκρύπτει ουσιώδη εξάρτηση, καταγράψτε τον περιορισμό και αποφασίστε αν η χρήση της υπηρεσίας παραμένει νόμιμη και ασφαλής. Για προσωπικά δεδομένα μπορεί να απαιτείται επιπλέον άδεια υποεκτελούντος κατά τον ΓΚΠΔ. ΓΚΠΔ και DORA ρυθμίζουν διαφορετικά ζητήματα· μία ρήτρα «subprocessor» δεν καλύπτει αυτομάτως και τα δύο. Ελέγξτε τις διασταυρούμενες παραπομπές στη βασική συμφωνία.

Σχετικός οδηγός: οδηγός του Cyber Resilience Act.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2022/2554, DORA, άρθρα 2 και 28–30; Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2025/532 για υπεργολαβία υπηρεσιών ΤΠΕ που στηρίζουν κρίσιμες ή σημαντικές λειτουργίες; Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρο 28 και κεφάλαιο V

Συμφωνήστε το μητρώο ΤΠΕ με τις υπογεγραμμένες συμβάσεις

Το άρθρο 28 παράγραφος 3 απαιτεί επίκαιρο μητρώο πληροφοριών για όλες τις συμβατικές ρυθμίσεις υπηρεσιών ΤΠΕ από τρίτους παρόχους, σε επίπεδο οντότητας, υποενοποίησης και ενοποίησης όπου εφαρμόζεται. Δεν περιορίζεται στις κρίσιμες λειτουργίες. Η οντότητα ενημερώνει εγκαίρως την αρμόδια αρχή για σχεδιαζόμενη σύμβαση που στηρίζει κρίσιμη ή σημαντική λειτουργία ή όταν μια λειτουργία αποκτά αυτή την ιδιότητα. Εγγραφή, υπογεγραμμένη σύμβαση, πάροχος, υπηρεσία, λειτουργία και δομή ομίλου πρέπει να συμφωνούν. Καταγράψτε τροποποιήσεις και λήξη. Ο εκτελεστικός κανονισμός (ΕΕ) 2024/2956 προβλέπει υποδείγματα· μια αυθαίρετη εσωτερική λίστα δεν τα αντικαθιστά.

Η εγκύκλιος CySEC C751 της 19ης Ιανουαρίου 2026 επιβεβαιώνει για τις αναφερόμενες εποπτευόμενες οντότητες ετήσια υποβολή έως τις 28 Φεβρουαρίου, με ημερομηνία αναφοράς την 31η Δεκεμβρίου. Η προηγούμενη οδός «Build in Excel» έχει καταργηθεί. Σύμφωνα με την C751 το μητρώο παράγεται ως XBRL-CSV με συμβατό λογισμικό βάσει των κανόνων της EBA, συμπιέζεται σε ZIP και υποβάλλεται μέσω της πύλης XBRL της CySEC. Μην μεταφέρετε ειδική προθεσμία της πρώτης υποβολής το 2025 σε επόμενα έτη ούτε θεωρείτε ότι αρκεί απλή μεταφόρτωση υπολογιστικού φύλλου. Ελέγξτε τυχόν νεότερες οδηγίες για τον κλάδο σας.

Συγκρίνετε περιοδικά το μητρώο με πληρωτέους λογαριασμούς, εγκρίσεις προμηθειών, λογαριασμούς cloud και αρχείο συμβάσεων. Διερευνήστε διαφορές: νέα συνδρομή SaaS μπορεί να αποτελεί συμφωνία ΤΠΕ ακόμη κι αν δεν αρχειοθετήθηκε βασική σύμβαση· παλιός πάροχος μπορεί να παραμένει εσφαλμένα μετά τη μεταφορά. Το δημόσιο υλικό της EBA εξηγεί ότι τα δεδομένα του μητρώου στηρίζουν την εποπτεία και τον εντοπισμό κρίσιμων παρόχων ΤΠΕ. Ορίστε υπεύθυνο για αναγνωριστικά, εταιρείες ομίλου και ποιότητα δεδομένων. Ο φάκελος σύμβασης πρέπει να παραπέμπει στην εγγραφή του μητρώου και αντίστροφα στα ισχύοντα υπογεγραμμένα έγγραφα.

Σχετικός οδηγός: οδηγός γνωστοποίησης παραβιάσεων.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2022/2554, DORA, άρθρα 2 και 28–30; Εκτελεστικός κανονισμός (ΕΕ) 2024/2956 για τα υποδείγματα του μητρώου πληροφοριών; Εγκύκλιος CySEC C751 της 19ης Ιανουαρίου 2026 για μητρώο DORA, μορφή υποβολής και πύλη; EBA: προετοιμασία υποβολής του μητρώου πληροφοριών DORA

Δοκιμάστε έξοδο, επιστροφή δεδομένων και παράλληλες υποχρεώσεις

Η ρήτρα εξόδου πρέπει να απαντά σε πρακτικό ερώτημα: μπορεί η χρηματοοικονομική οντότητα να συνεχίσει τη ρυθμιζόμενη λειτουργία αν ο πάροχος αποδυναμωθεί, αστοχήσει ή δεν ανανεώσει; Ορίστε γεγονότα ενεργοποίησης, αρμόδιο απόφασης, προειδοποίηση, δεσμευτική μεταβατική υπηρεσία, μορφότυπο δεδομένων, τρόπο εξαγωγής, κόστος βοήθειας και μελλοντικό περιβάλλον. Για κρίσιμη λειτουργία κάντε άσκηση με τις πραγματικές συμβατικές προθεσμίες και τεχνικές εξαρτήσεις. Άμεση καταγγελία μπορεί να είναι αντιπαραγωγική αν το μόνο αξιοποιήσιμο αντίγραφο παραμένει στον πάροχο. Αντίστροφα, μακρά προθεσμία χωρίς έκτακτη έξοδο μπορεί να εγκλωβίσει την οντότητα μετά από σοβαρό πρόβλημα ασφάλειας.

Το άρθρο 28 παράγραφος 7 αναφέρει περιπτώσεις καταγγελίας όπως σοβαρή παράβαση, περιστάσεις που μεταβάλλουν την παροχή, αδυναμίες διαχείρισης κινδύνου ΤΠΕ και αδυναμία αποτελεσματικής εποπτείας από την αρμόδια αρχή. Τα συμβατικά μέσα πρέπει να επιτρέπουν δράση σε τέτοιες περιστάσεις. Ελέγξτε αν παραδίδονται υλικό, παραμετροποιήσεις, διαπιστευτήρια και τεκμηρίωση και αν ο διάδοχος μπορεί πράγματι να διαβάσει τα δεδομένα. Αντίγραφα και διαγραφή θέλουν χωριστό σχεδιασμό: η ταχεία ανάκτηση υπηρετεί τη συνέχεια, ενώ η διατήρηση προσωπικών δεδομένων χρειάζεται νόμιμο έλεγχο. Δοκιμάστε αποτυχημένη εξαγωγή προτού χαρακτηρίσετε το σχέδιο εξόδου λειτουργικό.

Ο DORA δεν καταργεί τον ΓΚΠΔ. Αν ο πάροχος επεξεργάζεται προσωπικά δεδομένα κατ’ εντολή, η σύμβαση του άρθρου 28 ΓΚΠΔ απαιτεί δικό της αντικείμενο, σκοπούς, ασφάλεια, υπεργολάβους και επιστροφή ή διαγραφή. Αν δεδομένα μεταφέρονται εκτός ΕΟΧ, εξετάστε χωριστά μηχανισμό διαβίβασης και τυχόν συμπληρωματικά μέτρα. Κλαδικοί κανόνες ανάθεσης και εμπιστευτικότητας μπορεί να προσθέτουν όρους. Συντάξτε πίνακα ρητρών που αντιστοιχίζει κάθε υποχρέωση σε συγκεκριμένη συμβατική διάταξη. Ο τίτλος «παράρτημα DORA» δεν διορθώνει αντίφαση στη βασική σύμβαση. Καταγράψτε κενά, υπεύθυνο και ημερομηνία αποκατάστασης πριν η υπηρεσία γίνει αναντικατάστατη.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2022/2554, DORA, άρθρα 2 και 28–30; Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρο 28 και κεφάλαιο V; Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2024/1773 για την πολιτική υπηρεσιών ΤΠΕ κρίσιμων ή σημαντικών λειτουργιών

Ακολουθήστε τεκμηριωμένη σειρά ελέγχου ανάλογα με τον κίνδυνο

Πρώτα απογράψτε την πραγματική υπηρεσία ΤΠΕ και τα εμπλεκόμενα νομικά πρόσωπα, ταξινομήστε κάθε υποστηριζόμενη λειτουργία και ολοκληρώστε την αξιολόγηση πριν από τη σύμβαση κατά το άρθρο 28. Έπειτα αντιπαραβάλετε τους όρους με το άρθρο 30 παράγραφος 2 και, για κρίσιμη ή σημαντική λειτουργία, με την παράγραφο 3 και τα σχετικά τεχνικά πρότυπα. Στη συνέχεια επιβεβαιώστε τις λειτουργικές υποσχέσεις με την τεχνική ομάδα: τόπους, μετρημένα επίπεδα υπηρεσίας, επαφές περιστατικών, τεκμήρια ελέγχου και τρόπο εξαγωγής. Νομικό «τικ» δεν αρκεί αν οι άνθρωποι που θα ασκήσουν το δικαίωμα δεν έχουν δοκιμάσει τη διαδικασία.

Τέταρτον, συμφωνήστε τα τελικά υπογεγραμμένα έγγραφα με το μητρώο πληροφοριών και τις ισχύουσες οδηγίες CySEC. Πέμπτον, προγραμματίστε συνεχή παρακολούθηση και επανέλεγχο όταν προκύπτει γεγονός: νέος υπεργολάβος, γεωγραφική μεταβολή, διακοπή, σημαντική αλλαγή υπηρεσίας ή εποπτικό εύρημα. Διατηρήστε χρονολογημένο πίνακα με έγγραφο και αριθμό ρήτρας, υπεύθυνο και εγκεκριμένη απόκλιση. Έτσι δημιουργείται ελέγξιμη διαδρομή για την εποπτεία και αποφεύγεται ανακατασκευή ολόκληρης της σύμβασης κατά το περιστατικό. Σημειώστε επίσης ποια ομάδα μπορεί να ασκήσει κάθε δικαίωμα και πού βρίσκονται τα αποδεικτικά.

Τέλος, προσομοιώστε τρεις κλήσεις: διακοπή υπηρεσίας, αίτημα εποπτικής πρόσβασης και έξοδο από τον πάροχο. Μπορεί η οντότητα να προσδιορίσει υπεύθυνο, να λάβει στοιχεία, να δώσει εντολές και να ανακτήσει δεδομένα στον συμφωνημένο χρόνο; Αν η απάντηση εξαρτάται μόνο από καλή θέληση του προμηθευτή, αλλάξτε σύμβαση ή αρχιτεκτονική υπηρεσίας. Επανελέγξτε το πρωτογενές δίκαιο και τυχόν νέες ανακοινώσεις CySEC πριν εγκρίνετε υπόδειγμα: τεχνικά πρότυπα και μορφές υποβολής μεταβάλλονται μετά τον βασικό κανονισμό. Η μετάβαση του 2026 σε XBRL-CSV είναι χαρακτηριστικό παράδειγμα.

Σχετικός οδηγός: οδηγός συμβάσεων αλλαγής cloud.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2022/2554, DORA, άρθρα 2 και 28–30; Εγκύκλιος CySEC C751 της 19ης Ιανουαρίου 2026 για μητρώο DORA, μορφή υποβολής και πύλη; Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2025/532 για υπεργολαβία υπηρεσιών ΤΠΕ που στηρίζουν κρίσιμες ή σημαντικές λειτουργίες; Εκτελεστικός κανονισμός (ΕΕ) 2024/2956 για τα υποδείγματα του μητρώου πληροφοριών

Πρωτογενείς πηγές και πεδίο εφαρμογής

Έλεγχος πηγών: 7 Οκτωβρίου 2026. Ο οδηγός αφορά την Κυπριακή Δημοκρατία. Τα παραδείγματα είναι υποθετικά και δεν αποτελούν υποθέσεις πελατών. Ελέγξτε τις ισχύουσες επίσημες απαιτήσεις πριν από κάθε υποβολή.

• Κανονισμός (ΕΕ) 2022/2554, DORA, άρθρα 2 και 28–30
• Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2025/532 για υπεργολαβία υπηρεσιών ΤΠΕ που στηρίζουν κρίσιμες ή σημαντικές λειτουργίες
• Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2024/1773 για την πολιτική υπηρεσιών ΤΠΕ κρίσιμων ή σημαντικών λειτουργιών
• Εκτελεστικός κανονισμός (ΕΕ) 2024/2956 για τα υποδείγματα του μητρώου πληροφοριών
• Εγκύκλιος CySEC C751 της 19ης Ιανουαρίου 2026 για μητρώο DORA, μορφή υποβολής και πύλη
• EBA: προετοιμασία υποβολής του μητρώου πληροφοριών DORA
• Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρο 28 και κεφάλαιο V