# Kuntratti ma' fornituri tal-IT: irregola b'mod ċar l-obbligi ta' sigurtà

> X'għandu jirregola kuntratt ma' aġenzija, hoster jew fornitur tal-IT dwar is-sigurtà: aġġornamenti, restart, mogħdijiet ta' notifika, logs, aċċessi u ħruġ.

Sors: https://phpsos.de/mt/blog/dienstleistervertrag-sicherheit/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Kuntratt ma' fornitur tal-IT m'għandux jsemmi s-sigurtà biss tul il-ġenb, imma jirregolaha b'mod konkret: min jaġġorna liema komponenti, f'liema terminu u b'liema prova, kif jiġu infurmati dwar vulnerabbiltajiet kritiċi, min jikkoopera f'każ ta' inċident, kif jinżammu l-logs u jiġu amministrati l-aċċessi u x'jiġri mal-ħruġ. Din il-paġna tagħti tagħrif ġenerali u mhijiex konsulenza legali; kuntratti jivverifikahom avukat.

## Il-mistoqsija li għamlet PHP2Shell: min huwa responsabbli?

Fil-21/10/2026 fis-16:00 ħin Ġermaniż il-proġett PHP ippubblika l-patches. Il-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) irrakkomanda aġġornament immedjat jew, fejn dan ma kienx possibbli, li s-servers tal-web jitneħħew temporanjament min-netwerk. F'ħafna kumpaniji wara ma bdiex ix-xogħol, imma t-tfittxija għar-responsabbiltà. L-aġenzija rreferiet lill-hoster, il-hoster lill-kuntratt, u fil-kuntratt kien hemm „manutenzjoni skont l-isforz“.

Lakuni bħal dawn fil-kuntratt mhumiex każ iżolat. Ħafna kuntratti ma' aġenziji u fornituri nfetħu meta kien jirrigwarda l-bini ta' websajt, mhux l-operat sigur tagħha tul snin. Vulnerabbiltà kritika fir-runtime ta' PHP, li la tolqot is-CMS u lanqas il-kodiċi tal-applikazzjoni, malajr taqa' bejn is-siġġijiet kollha.

## X'għandu jirregola kuntratt ma' fornitur tal-IT dwar is-sigurtà

Il-ħarsa ġenerali li ġejja telenka l-punti li fil-prattika wrew li huma importanti. Ma tissostitwix verifika ġuridika, imma tgħin biex jingħarfu lakuni fil-kuntratt eżistenti.

| Punt ta' regolament | X'għandu jinżamm | Rabta ma' PHP2Shell |
|---|---|---|
| Ambitu tas-servizz | Liema saffi jiġu amministrati: sistema operattiva, runtime ta' PHP, server tal-web, CMS, plugins, kodiċi proprju | Ir-runtime ta' PHP spiss kien nieqes mill-lista |
| Termini ta' aġġornament | skalati skont is-severità, b'regola ta' eċċezzjoni għal emerġenzi | vulnerabbiltà kritika b'CVSS v4.0 9.2 |
| Restart u prova | Aġġornamenti jitqiesu mitmuma biss wara restart tal-proċessi kollha, b'prova bil-miktub | fajls ġodda waħedhom ma jagħlqux il-vulnerabbiltà |
| Informazzjoni | notifika attiva f'każ ta' vulnerabbiltajiet kritiċi, b'valutazzjoni u pjan | ħafna klijenti kellhom jistaqsu huma stess |
| Kooperazzjoni f'inċidenti | appoġġ fl-analiżi, fil-ħarsien, fl-irkupru, persuni ta' kuntatt | tfittxija ta' traċċi wara l-patch |
| Logs | tip, żamma, għoti fuq talba | l-istampa speċjalizzata rrakkomandat li jinżammu l-logs mill-20/10 |
| Aċċessi | kontijiet personali, awtentikazzjoni b'żewġ fatturi, lista tal-aċċessi kollha | min kellu fil-fatt aċċess? |
| Sub-kuntratturi | min huwa involut ukoll, informazzjoni f'każ ta' bidla | il-hoster tal-hoster |
| Tmiem tal-ħajja tas-softwer | avviż fi żmien qabel it-tmiem tal-appoġġ, pjan ta' migrazzjoni | PHP 8.2 jintemm fil-31/12/2026 |
| Ħruġ | għoti ta' data, dokumentazzjoni u aċċessi, irtirar tad-drittijiet | bidla wara inċident |

## Termini u provi: il-punti li jgħoddu l-aktar

It-termini huma l-qalba. Formulazzjoni bħal „fi żmien qasir“ ma tgħin xejn fil-każ serju. Ftehmu fuq termini separati skont is-severità u iddeterminaw skont xiex titkejjel is-severità, pereżempju skont il-klassifikazzjoni tal-manifattur jew tal-BSI. Għal sitwazzjonijiet straordinarji għandha tgħodd regola ta' emerġenza: min huwa disponibbli, min jiddeċiedi jekk sistema titneħħa temporanjament min-netwerk, u kif jiġi ffatturat l-isforz addizzjonali.

Daqstant importanti hi l-prova. B'PHP2Shell in-numru tal-verżjoni murija spiss kien jgħid ftit, għax distribuzzjonijiet u hosters jinstallaw korrezzjonijiet bħala backport. Prova soda semmi l-istat tal-pakkett, il-mument tal-installazzjoni u r-restart tal-proċessi kollha ta' PHP. Liema dettalji jgħoddu eżattament jiddeskrivi [Kif tistaqsu lill-hoster tagħkom dwar l-istat tal-patch](https://phpsos.de/mt/ratgeber/hoster-patch-status-erfragen/). Ħudu dawn id-dettalji fil-kuntratt bħala kontenut obbligatorju.

> **Suġġeriment:**
> Itolbu lill-fornitur matriċi tal-kompiti mal-kuntratt: linja għal kull komponent, kolonna għal kull kompitu, f'kull ċellula isem. Lakuni mbagħad jidhru minnufih, ħafna qabel ma jasal l-avviż li jmiss.

## Aċċessi, sub-kuntratturi u ħruġ

Il-fornituri jeħtieġu aċċessi, u eżattament dawn huma triq frekwenti ta' attakk. Irregolaw li kull persuna tirċievi kont proprju, li l-awtentikazzjoni b'żewġ fatturi hija obbligatorja fejn it-teknoloġija tippermettiha, u li tistgħu f'kull ħin titolbu lista aġġornata tal-aċċessi kollha. Impjegati li telqu mill-fornitur iridu jitneħħew mis-sistemi kollha fi żmien xieraq.

Jekk il-fornitur stess jaħdem ma' sħab, pereżempju ċentru tad-data jew tim forensiku speċjalizzat, għandkom tkunu tafu. Jekk wieħed minn dawn is-sħab jipproċessa data personali, jiżdiedu obbligi ta' protezzjoni tad-data. Aktar dwar dan fl-artiklu [Ipproċessar tad-data meta fornituri jaċċessaw servers](https://phpsos.de/mt/blog/auftragsverarbeitung-serverzugriff/).

Il-ħruġ huwa l-aktar li jintesa mal-konklużjoni tal-kuntratt. Ikkonfermaw li mat-tmiem tal-kuntratt data, konfigurazzjoni, dokumentazzjoni u dettalji tal-aċċess jingħataw kompletament, l-aċċessi kollha tal-fornitur jitneħħew u dan jiġi kkonfermat bil-miktub. Speċjalment wara inċident, mod ieħor, bidla ordnata hija diffiċli.

## Ivverifika kuntratti eżistenti: hekk timxu

Ma għandkomx għalfejn terġgħu tinnegozjaw il-kuntratti kollha. Proċess prammatiku huwa biżżejjed għall-bidu:

1. Iġbru l-kuntratti kollha ma' aġenziji, hosters u fornituri tal-IT li jirrigwardaw websajts jew servers.
2. Qabblu kull kuntratt mat-tabella ta' hawn fuq u immarkaw il-punti miftuħa.
3. Semmu l-lakuni l-aktar importanti bil-miktub mal-fornitur, billi tibdew bl-ambitu tas-servizz, it-termini u l-prova.
4. Żommu r-riżultati bħala ftehim supplimentari u ħallu jiġu vverifikati legalment.
5. Ħudu l-matriċi tal-kompiti fil-pjan ta' emerġenza.

Għad-direzzjoni dan il-pass huwa wkoll kwistjoni ta' diliġenza. Min jirregola r-responsabbiltajiet b'mod ċar u jiddokumenta d-deċiżjonijiet, joqgħod aħjar jekk aktar tard jitqajmu mistoqsijiet. Sfond dwar dan joffri [Responsabbiltà tad-direzzjoni għal vulnerabbiltajiet tas-sigurtà tal-IT](https://phpsos.de/mt/compliance/geschaeftsfuehrer-haftung/). Qasma tipika tal-kompiti f'servers amministrati tiddeskriviha [Managed Server: iċċara r-responsabbiltà](https://phpsos.de/mt/server/managed-server/).

## Kif tgħin PHP SOS b'mod konkret?

- Naqraw il-kuntratti u d-deskrizzjonijiet tas-servizz eżistenti tagħkom mil-lat tekniku u nimmarkaw liema komponenti u kompiti jonqsu.
- Nistabbilixxu matriċi tal-kompiti għall-websajts u s-servers kollha li tistgħu tikkoordinaw mal-fornituri tagħkom.
- Niformulaw ir-rekwiżiti tekniċi għal termini, provi u mogħdijiet ta' notifika li l-avukat tagħkom jista' jieħu fil-kuntratt.
- Fejn ħadd mhu responsabbli, nieħdu l-kompiti fuqna stess permezz ta' [kuntratt ta' manutenzjoni tas-sigurtà](https://phpsos.de/mt/leistungen/security-wartungsvertrag/) b'ambitu deskritt b'mod ċar.

**Konklużjoni:** Kuntratt tajjeb ma jevitax vulnerabbiltà, imma jevita li fil-każ serju jintilef ħin bil-mistoqsija dwar ir-responsabbiltà. Din il-paġna hija tagħrif ġenerali u mhijiex konsulenza legali.


## Mistoqsijiet frekwenti

**Fornitur tal-IT jrid jinstalla aġġornamenti tas-sigurtà mingħajr ordni?**  
Dan jiddependi mill-kuntratt. Mingħajr regolament ċar spiss ikun ikkontestat jekk l-aġġornamenti jappartjenux lis-servizz dovut. Għalhekk il-kuntratt għandu jistabbilixxi espliċitament min jaġġorna liema komponenti u f'liema terminu. Għall-valutazzjoni legali fil-każ individwali huwa responsabbli avukat.

**Għandi bżonn barra minn hekk DPA?**  
Jekk il-fornitur jipproċessa data personali f'isimkom jew jista' jaċċessaha, ġeneralment huwa meħtieġ kuntratt ta' ipproċessar tad-data (DPA) skont l-Art. 28 GDPR. Ma jissostitwixxix il-kuntratt tas-servizz, imma jissupplimentah. Iċċaruh mal-uffiċjal tal-protezzjoni tad-data tagħkom.

**Liema termini għall-aġġornamenti tas-sigurtà huma tas-soltu?**  
Valuri fissi ma jeżistux. Sensata hija sekwenza skont is-severità, pereżempju termini separati għal vulnerabbiltajiet kritiċi, għolja u l-bqija. Importanti li t-termini jkunu bil-miktub u jinkludu regola ta' eċċezzjoni għal emerġenzi bħal PHP2Shell.

**X'jiġri mill-aċċessi meta jintemm il-kuntratt?**  
Dan għandu jirregolah il-kuntratt: ritorn jew tħassir tad-data, għoti tad-dettalji tal-aċċess u tad-dokumentazzjoni, irtirar tal-aċċessi kollha tal-fornitur u konferma dwar dan.

## Sorsi

- [BSI IT-Grundschutz (il-metodoloġija tal-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [BSI](https://www.bsi.bund.de/)
- [php.net: verżjonijiet appoġġjati](https://www.php.net/supported-versions.php)