Zmluva o správe IT: čo v nej nesmie chýbať

Do zmluvy o správe IT patrí predovšetkým: rozsah služieb so zoznamom spravovaných systémov, jasné výnimky, servisné okná, spôsoby hlásenia a eskalácia porúch, povinnosť dokumentovať, pravidlá pre výpadky hardvéru a prácu navyše, ako aj výpoveď a odovzdanie. Každý záväzok musí byť sformulovaný tak, aby sa dalo overiť, či bol dodržaný. Čo sa nedá merať, to sa v spore ani nedá vymáhať.

Prečo malá firma vôbec potrebuje písomnú zmluvu o správe IT?

Mnohé vzťahy so správcom IT v malých firmách stoja na podaní ruky a zvyku: technik pozná firmu roky, zavoláte, príde. Funguje to, kým obe strany pod pojmom „správa“ rozumejú to isté. Problémy nastanú, keď to tak prestane byť – pri veľkom výpadku, pri nečakanej faktúre alebo keď sa spolupráca končí.

Písomná zmluva o správe IT chráni obe strany. Firma vie, čo za svoje peniaze dostane. Dodávateľ vie, za čo zodpovedá a za čo nie. A obe strany majú základ, na ktorý sa môžu odvolať, keď sa očakávania rozídu. Nasledujúci kontrolný zoznam je odborný, nie právne poradenstvo; právne spracovanie zmluvy patrí do rúk vášho právnika. Či sa vám hodí priebežná správa IT ako služba alebo platba podľa skutočnej práce, je samostatná otázka, ktorú opisujeme v článku o správe IT ako službe pre malé a stredné firmy. Tu ide o to, čo musí byť v zmluve, keď sa pre priebežnú správu rozhodnete.

Ako správne opísať rozsah služieb?

Rozsah služieb je najdôležitejšou časťou zmluvy o správe IT. Všeobecné formulácie ako „správa IT infraštruktúry“ nestačia. Rozumné je pripojiť k zmluve prílohu, ktorá konkrétne vymenúva spravované systémy, a opis činností, ktoré sa vykonávajú pravidelne.

• Zoznam spravovaných systémov: pobočky, routery, firewall, switche, Wi-Fi, servery, zálohy, kamery, odborné aplikácie s rozhraniami
• Pravidelné činnosti: monitorovanie, aktualizácie, kontrola záloh vrátane testu obnovy, údržba prístupov a pravidiel firewallu
• Koordinácia s tretími stranami: poskytovateľ internetu, výrobcovia, dodávatelia odborných aplikácií
• Poradenstvo: pravidelný prehľad o stave, plánovaných obnovách a rizikách
• Postup, ako sa do zoznamu pridávajú nové systémy

Čo musí byť výslovne vylúčené?

Výnimky sú aspoň také dôležité ako rozsah. Typicky sú vylúčené nové projekty, školenia, otázky k obsluhe odborných aplikácií a podľa dodávateľa aj podpora jednotlivých pracovných staníc. Rozhodujúce nie je, čo je vylúčené, ale že je to napísané. Pri každej výnimke by malo byť jasné aj to, ako sa namiesto toho rieši: samostatnou ponukou, podľa skutočnej práce alebo cez iného partnera.

Ako sa upravujú servisné okná?

Aktualizácie firewallu, switchov alebo serverov si niekedy vyžadujú reštart alebo krátke prerušenie. Zmluva by mala určiť, kedy smú takéto práce prebiehať, ako sa ohlasujú a ako sa postupuje pri naliehavých bezpečnostných aktualizáciách, ktoré nemôžu čakať na ďalšie servisné okno. Pre firmy so zmenovou prevádzkou, otvorením cez víkend alebo sezónnymi špičkami je to obzvlášť dôležité, pretože obvyklé večerné okno tam nemusí vyhovovať.

Ako sa upravujú poruchy, dostupnosť a reakcia?

Zmluva by mala opísať, akými cestami sa poruchy hlásia, ako sa zaraďujú podľa naliehavosti a kto je dostupný mimo pracovného času, ak sa to dohodne. Rozumné zaradenie rozlišuje aspoň medzi zastavením prevádzky, obmedzením jednotlivých funkcií a bežnou požiadavkou.

Ak dohodnete reakčnú dobu, urobte ju merateľnou: čo presne sa meria – prvá odpoveď, začiatok práce alebo vyriešenie? Odkedy plynie čas a ako sa zaznamenáva? Záväzok bez takejto definície má v kritickej chvíli malú hodnotu. K tomu treba dodať: reakčná doba opisuje začiatok poruchy, nie jej koniec. Ako dlho porucha naozaj trvá, závisí vo veľkej miere od toho, či sú zariadenia zdokumentované.

Prečo patrí do zmluvy povinnosť dokumentovať?

Povinnosť dokumentovať v mnohých zmluvách o správe IT chýba a jej absencia stojí pri zmene dodávateľa alebo väčšom výpadku veľa času a peňazí. Zmluva by mala určovať, čo sa dokumentuje, ako aktuálna musí dokumentácia byť, kde je uložená a že firma k nej má kedykoľvek prístup. Dôležitá je aj otázka vlastníctva: dokumentácia opisuje zariadenia firmy, a preto patrí firme.

• Sieťový plán s pobočkami, zariadeniami a prepojeniami
• Konfigurácie firewallu, switchov, Wi-Fi a serverov
• Prístupové údaje v správcovi hesiel, ku ktorému má firma vlastný prístup
• História zmien: kto, kedy, čo a prečo zmenil
• Zoznam licencií, zmlúv a ich platnosti

Ako by mala byť upravená eskalácia?

Eskalácia znamená: čo sa stane, ak porucha nie je vyriešená podľa očakávania alebo ak firma nie je so správou spokojná? Zmluva by mala menovať, kto je na oboch stranách na ktorom stupni zodpovedný, kedy sa zapája výrobca alebo poskytovateľ a ako sa informuje vedenie. Rovnako užitočné je pravidelné stretnutie, na ktorom sa otvorené body preberú skôr, než ich treba eskalovať.

Ako sa účtujú výpadky hardvéru a práca navyše?

Pri výpadkoch hardvéru a práci navyše vzniká najviac prekvapení. Zmluva by mala vyjasniť, či je výmena chybných zariadení zahrnutá, kto platí náhradné zariadenie a či sa držia rezervné kusy. Pre všetko, čo presahuje paušál, patrí do zmluvy transparentný postup: práca navyše sa vopred ohlási a schváli, skôr než vznikne, a neobjaví sa až na mesačnej faktúre.

Čo platí pre ochranu údajov a prístup k dátam?

IT dodávateľ, ktorý spravuje servery, zálohy alebo e-mail, má spravidla prístup k osobným údajom. Podľa GDPR je na to zvyčajne potrebná samostatná zmluva o spracúvaní osobných údajov, ktorá stojí vedľa zmluvy o správe IT alebo je jej súčasťou. Z odborného hľadiska by malo byť upravené aj to, kto z tímu dodávateľa má prístup ku ktorým systémom, ako sa prístupy zaznamenávajú a ako sú uložené prístupové údaje.

Pre firmy, ktoré využívajú alebo plánujú aplikácie umelej inteligencie, pribúda ďalšia otázka: kde sa dáta spracúvajú a opúšťajú firmu? Táto otázka patrí rovnako do rozhovoru s dodávateľom ako do posúdenia vaším právnym poradcom.

Čo patrí k výpovedi a odovzdaniu?

Okrem doby trvania a výpovednej lehoty by zmluva o správe IT mala obsahovať pravidlá odovzdania: ktoré podklady a prístupy sa pri skončení zmluvy odovzdajú, v akej forme a lehote, a že doterajší dodávateľ sa zúčastní odovzdávacieho stretnutia s nástupcom. Doména, cloudové účty a licencie by mali byť na firmu registrované aj tak od začiatku. Ak dodávateľ takúto úpravu odmieta, je to varovný signál pre plánovanú spoluprácu.

Ako skontrolovať existujúcu alebo ponúknutú zmluvu?

1. 01Porovnajte zoznam spravovaných systémov so skutočne existujúcim IT: čo chýba, to v kritickej chvíli nie je spravované.
2. 02Prečítajte si výnimky a pri každej si vyjasnite, ako sa rieši namiesto toho.
3. 03Overte, či sú záväzky k údržbe a poruchám sformulované merateľne.
4. 04Hľadajte povinnosť dokumentovať a vlastníctvo dokumentácie; ak chýbajú, dojednajte ich.
5. 05Prepočítajte si pravidlá pre výpadok hardvéru a prácu navyše skôr, než nastane prvý prípad.
6. 06Skontrolujte pravidlá odovzdania a vyjasnite si, na koho sú registrované doména, účty a licencie.

Ako zmluvy o správe IT nastavuje NDVDL

NDVDL pripravuje zmluvu o správe IT až potom, ako navštívime vašu firmu a zmapujeme infraštruktúru. Potom dostanete zmluvu so zoznamom spravovaných systémov, výslovnými výnimkami, servisnými oknami prispôsobenými vašej prevádzke a full-service správou vrátane výmeny hardvéru. Jednotlivé pracovné stanice nespravujeme; je to uvedené v zmluve a túto časť koordinujeme s vaším vlastným riešením alebo so špecializovaným partnerom. Pevnú reakčnú dobu ako reklamný sľub nedávame. Namiesto toho sa zaväzujeme k priebežnej dokumentácii, ktorá patrí vám a pri skončení zmluvy sa odovzdá kompletne. Počas prevádzky máte jednu stálu kontaktnú osobu, ktorá vaše systémy pozná.