Vendor risk przy systemie krytycznym to nie „czy dostawca ma ISO”, tylko: czy Twoja organizacja przeżyje awarię, wyciek albo spór z jednym dostawcą, od którego zależy ciągłość działania. Problem rzadko zaczyna się w momencie incydentu — zaczyna się, gdy koncentracja zależności rośnie szybciej niż egzekwowalna odpowiedzialność.
TL;DR
- Krytyczność liczy się dla Ciebie: brak zamiennika w 72h / 30 dniach, nie logo dostawcy.
- Umowa i certyfikat nie zamykają residual risk — zamykają (albo nie) dowody i dźwignię.
- Due diligence = pytania o koncentrację, IR ownership, exit i podwykonawców — przed kontraktem i w cyklu.
- Case’y huba (dane vs środki) pokazują ten sam wzorzec na różnych assetach.
Co znaczy „system krytyczny” w praktyce GRC
Nie chodzi o marketingowe „mission-critical” dostawcy. Chodzi o Twój rejestr ryzyka: jeśli system padnie albo dane/środki będą niedostępne, czy macie realny plan B w czasie, który akceptuje zarząd?
- Brak zamiennika — migracja > okna tolerancji (RTO/RPO, które faktycznie przyjęliście).
- Skala zależności — jeden vendor obsługuje wiele jednostek / klientów / procesów naraz.
- Asset w środku — dane osobowe/zdrowotne, środki finansowe, tożsamość, sterowanie operacją.
- Asymetria informacji — Ty odpowiadasz przed regulatorem/klientem; dowody leżą u dostawcy.
Vendor risk ≠ checkbox compliance
| Warstwa | Co daje | Czego nie daje |
|---|---|---|
| Umowa / DPA | Ramy obowiązków, czasem SLA i audyt | Ciągłości, gdy exit jest fikcją; pełnej widoczności IR |
| Certyfikat / SOC / ISO | Sygnał procesu u dostawcy | Gwarancji, że Twój zakres i podprocesorzy są w raporcie |
| Ubezpieczenie dostawcy | Ewentualna ochrona po stronie vendora | Automatycznej ochrony Twojej reputacji i kary regulacyjnej |
| Vendor risk (TPRM) | Świadoma mapa residual risk + owner + cykl przeglądu | „Zielonego światła” bez decyzji zarządu |
Materiały RODO (umowa, 72h UODO) są użyteczne operacyjnie — ale to inna półka niż zarządzanie ryzykiem dostawcy jako koncentracją zależności. Tu pytanie brzmi: kto jest ownerem residual risk i co jest nieakceptowalne.
Osiem pytań due diligence (przed kontraktem i w przeglądzie)
- Zamiennik: czy istnieje realna ścieżka exit przetestowana na próbce (nie tylko klauzula w PDF)?
- Koncentracja: ilu klientów / jaka skala współdzieli ten sam stack i ten sam model operacyjny?
- IR ownership: kto decyduje o komunikacji, zakresie i dowodach w pierwszych godzinach, gdy incydent jest u vendora?
- Security contact: czy jest kanał poza handlowym AM — z SLA odpowiedzi?
- Podwykonawcy: lista / mechanizm zmiany; które funkcje są outsourcowane dalej?
- Zakres dowodów: co dostaniecie po incydencie (logi, timeline, lista systemów) — i w jakim terminie?
- Lokalizacja i kopie: gdzie leżą dane/środki/backup; jakie jurysdykcje wchodzą w grę?
- Residual risk: co zostaje po kontrolach — i kto w Waszej organizacji to podpisuje?
Do skopiowania do memo risk / CISO
„System X jest krytyczny, bo brak zamiennika w oknie Y. Residual risk akceptuje Z. Przegląd vendor risk: co kwartał / po zmianie podprocesora / po incydencie u dostawcy.”
Dwa assety, ten sam wzorzec
Hub zbiera case’y nie po to, by „śledzić newsa”, tylko by pokazać powtarzalny model:
- MyDr / EDM — koncentracja danych u vendora skali krajowej; administrator zostaje z obowiązkiem, a dźwignia informacyjna jest po stronie procesora.
- Zondacrypto / custody — koncentracja środków u operatora; ta sama oś zależności ↔ odpowiedzialność, inny asset i inna jurysdykcja.
W obu wypadkach pytanie GRC nie brzmi „kto jest winny w headline”, tylko: czy model odpowiedzialności był egzekwowalny zanim wydarzył się incydent.
Co zrobić w tym kwartale (minimum)
- Wypisz 3–5 systemów bez realnego zamiennika (krytyczne dla Ciebie).
- Do każdego: owner ryzyka, ostatni przegląd vendora, status exit (test / fikcja / brak).
- Uzupełnij luki w pytaniach 1–8 — albo świadomie zaakceptuj residual risk na piśmie.
- Ustal trigger przeglądu: nowy podprocesor, istotna zmiana scope, incydent u dostawcy, odnowienie umowy.
Powiązane materiały
- Case MyDr — odpowiedzialność vendora EDM
- Case Zondacrypto — custody i koncentracja
- Checklista 72h — wyciek u vendora (warstwa IR/operacyjna)
- Umowa powierzenia EDM (warstwa kontraktowa — uzupełnienie, nie zamiennik TPRM)
- Hub odpowiedzialności
Jak cytować
Stan: 18.09.2026 · autor: Bartosz Kowalski (Secuoia) · nie stanowi porady prawnej ani oferty usług · LinkedIn · secuoia.pl