DORA: ce poate cere efectiv addendumul băncii

Regulamentul (UE) 2022/2554 privind reziliența operațională digitală a sectorului financiar a intrat în aplicare la 17 ianuarie 2025. De atunci, băncile, asigurătorii și celelalte entități financiare trimit furnizorilor lor de servicii ICT un addendum contractual, adesea însoțit de mesajul că este „obligatoriu prin regulament” și că nu se negociază.

Afirmația este parțial adevărată, iar partea neadevărată este cea scumpă. Articolul 30 stabilește un conținut contractual minim — descrierea serviciilor, locurile de prelucrare, nivelurile de serviciu, drepturile de acces, audit și inspecție, condițiile de reziliere, asistența la ieșire. Ce depășește acel minim nu este cerință legală, ci poziție de negociere a băncii, prezentată ca normă.

Distincția aceasta este întreaga miză a analizei. Un furnizor care semnează addendumul integral, crezând că regulamentul îl obligă, își asumă obligații de audit nelimitat, termene de notificare imposibil de respectat operațional și clauze de reziliere unilaterală pe care nicio dispoziție europeană nu i le impune.

Analiza tratează fiecare clauză separat și o încadrează în una din trei categorii. Cerut de regulament: clauza reproduce sau transpune fidel o obligație din articolul 30, iar rezistența este inutilă. Exces: cerința pornește dintr-o obligație reală, dar depășește pragul legal — de exemplu, un drept de audit formulat nelimitat acolo unde regulamentul cere acces, inspecție și audit exercitate rezonabil. Abuz: clauza nu are niciun temei în DORA și este pur și simplu transferul unui risc comercial, îmbrăcat în limbaj de conformitate.

Fiecare încadrare este citată punctual, pe articol și alineat. O clasificare fără citare nu ajută la negociere: interlocutorul de la bancă are nevoie de temeiul exact pentru a justifica intern o concesie, iar un furnizor care spune doar „nu sunt de acord” nu îi oferă nimic cu care să lucreze.

Rezultatul nu este o listă de obiecții, ci un redline transmisibil ca atare, însoțit de o notă de poziție care explică, pentru fiecare modificare, de ce este compatibilă cu obligațiile de conformitate ale băncii. Aceasta este diferența dintre o negociere care avansează și una care se blochează.

Regimul se înăsprește atunci când serviciul ICT susține o funcție critică sau importantă a entității financiare. Articolul 30 alineatul (3) adaugă cerințe suplimentare — printre care preavize de reziliere, planuri de ieșire, participarea la testarea rezilienței și, în anumite configurații, obligații privind subcontractarea.

Calificarea nu o face furnizorul, ci entitatea financiară. Este însă în interesul furnizorului să verifice dacă acea calificare este corectă și consecventă, pentru că un serviciu clasificat drept critic fără temei atrage un set de obligații semnificativ mai greu, uneori disproporționat față de valoarea contractului.