Stručne: Zmluva s IT dodávateľom by nemala bezpečnosť spomínať len mimochodom, ale upraviť ju konkrétne: kto aktualizuje ktoré komponenty, v akej lehote a s akým dokladom, ako sa informuje o kritických zraniteľnostiach, kto spolupôsobí pri incidente, ako sa uchovávajú logy a spravujú prístupy a čo sa stane pri ukončení. Táto stránka dáva všeobecné pokyny a nie je právne poradenstvo; zmluvy kontroluje právnik.
Otázka, ktorú položil PHP2Shell: kto je zodpovedný?
Dňa 21. 10. 2026 o 16:00 nemeckého času zverejnil projekt PHP záplaty. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporučil okamžitú aktualizáciu alebo, kde to nešlo, dočasné odpojenie webserverov od siete. V mnohých firmách potom nezačala práca, ale hľadanie zodpovednosti. Agentúra poukázala na hostera, hoster na zmluvu a v zmluve stálo „údržba podľa vynaloženého úsilia“.
Takéto medzery v zmluve nie sú ojedinelé. Mnohé zmluvy s agentúrami a dodávateľmi sa uzavreli, keď išlo o stavbu webu, nie o jeho bezpečnú prevádzku počas rokov. Kritická zraniteľnosť v prostredí behu PHP, ktorá sa netýka ani CMS, ani kódu aplikácie, potom ľahko spadne medzi všetkých.
Čo by mala zmluva s IT dodávateľom upraviť k bezpečnosti
Nasledujúci prehľad uvádza body, ktoré sa v praxi ukázali ako dôležité. Nenahrádza právnu kontrolu, pomáha však rozpoznať medzery v existujúcej zmluve.
| Bod úpravy | Čo by sa malo zachytiť | Vzťah k PHP2Shell |
|---|---|---|
| Rozsah plnenia | Ktoré vrstvy sa spravujú: operačný systém, prostredie behu PHP, webserver, CMS, pluginy, vlastný kód | Prostredie behu PHP v zozname často chýbalo |
| Lehoty aktualizácií | odstupňované podľa závažnosti, s výnimkou pre núdzové prípady | kritická zraniteľnosť s CVSS v4.0 9,2 |
| Reštart a doklad | Aktualizácie sa považujú za vybavené až po reštarte všetkých procesov, s písomným dokladom | samotné nové súbory zraniteľnosť neuzavrú |
| Informovanie | aktívne upozornenie pri kritických zraniteľnostiach, s posúdením a plánom | mnohí zákazníci sa museli pýtať sami |
| Spolupôsobenie pri incidentoch | podpora pri analýze, zabezpečení, obnove, kontaktná osoba | hľadanie stôp po záplate |
| Logy | druh, uchovávanie, vydanie na požiadanie | odborná tlač radila zabezpečiť logy od 20. 10. |
| Prístupy | osobné účty, dvojfaktorové prihlásenie, zoznam všetkých prístupov | kto vlastne mal prístup? |
| Subdodávatelia | kto sa ešte podieľa, informácia pri zmene | hoster hostera |
| Koniec životnosti softvéru | upozornenie včas pred koncom podpory, plán migrácie | PHP 8.2 končí 31. 12. 2026 |
| Ukončenie | vydanie údajov, dokumentácie a prístupov, odobratie práv | zmena po incidente |
Lehoty a doklady: body, ktoré záležia najviac
Lehoty sú jadro. Formulácia ako „bezodkladne“ v kritickom prípade nepomôže. Dohodnite lehoty oddelene podľa závažnosti a určte, podľa čoho sa závažnosť meria, napríklad podľa zaradenia výrobcom alebo BSI. Pre mimoriadne situácie by mala platiť núdzová úprava: kto je dosiahnuteľný, kto rozhoduje o dočasnom odpojení systému od siete a ako sa vyúčtuje dodatočná námaha.
Rovnako dôležitý je doklad. Pri PHP2Shell zobrazené číslo verzie často hovorilo málo, pretože distribúcie a hostingy nasadzujú opravy ako backport. Spoľahlivý doklad uvádza stav balíka, čas inštalácie a reštart všetkých procesov PHP. Ktoré údaje presne rozhodujú, opisuje Ako sa opýtať hostera na stav záplat. Tieto údaje zaraďte do zmluvy ako povinný obsah.
Nechajte si od dodávateľa k zmluve dať maticu úloh: jeden riadok na komponent, jeden stĺpec na úlohu, v každej bunke meno. Medzery potom vynikne hneď, dávno predtým, než príde ďalšie hlásenie.
Prístupy, subdodávatelia a ukončenie
Dodávatelia potrebujú prístupy a práve tie sú častou cestou útoku. Upravte, že každá osoba dostane vlastný účet, že dvojfaktorové prihlásenie je povinné, kde to technika umožňuje, a že si môžete kedykoľvek vyžiadať aktuálny zoznam všetkých prístupov. Zamestnanci dodávateľa, ktorí odišli, sa musia bezodkladne odstrániť zo všetkých systémov.
Ak dodávateľ sám pracuje s partnermi, napríklad s dátovým centrom alebo špecializovaným forenzným tímom, mali by ste to vedieť. Ak niektorý z týchto partnerov spracúva osobné údaje, pribúdajú povinnosti z ochrany údajov. Viac k tomu v článku Spracúvanie osobných údajov, keď dodávatelia pristupujú na servery.
Ukončenie sa pri uzatváraní zmluvy zabúda najčastejšie. Určte, že pri skončení zmluvy sa údaje, konfigurácia, dokumentácia a prístupové údaje odovzdajú úplne, všetky prístupy dodávateľa sa odoberú a písomne sa to potvrdí. Práve po incidente je inak usporiadaná zmena zložitá.
Kontrola existujúcich zmlúv: ako postupovať
Nemusíte vyjednávať všetky zmluvy nanovo. Na začiatok stačí pragmatický postup:
- Zhromaždiť všetky zmluvy s agentúrami, hostermi a IT dodávateľmi, ktoré sa týkajú webov alebo serverov.
- Každú zmluvu porovnať s tabuľkou vyššie a označiť otvorené body.
- Najdôležitejšie medzery písomne konzultovať s dodávateľom, začínajúc rozsahom plnenia, lehotami a dokladom.
- Výsledky zachytiť ako dodatok a nechať právne skontrolovať.
- Maticu úloh prevziať do núdzového plánu.
Pre vedenie je tento krok aj otázkou starostlivosti. Kto jasne upraví zodpovednosti a zdokumentuje rozhodnutia, je na tom lepšie, ak sa neskôr kladú otázky. Súvislosti poskytuje Zodpovednosť vedenia pri bezpečnostných zraniteľnostiach IT. Typické rozdelenie úloh pri spravovaných serveroch opisuje Managed Server: vyjasniť zodpovednosť.
Ako konkrétne pomáha PHP SOS?
- Prečítame vaše existujúce zmluvy a opisy služieb z technického pohľadu a označíme, ktoré komponenty a úlohy chýbajú.
- Vytvoríme maticu úloh pre všetky weby a servery, ktorú môžete odsúhlasiť so svojimi dodávateľmi.
- Sformulujeme technické požiadavky na lehoty, doklady a spôsoby hlásenia, ktoré môže váš právnik prevziať do zmluvy.
- Kde nie je zodpovedný nikto, preberáme úlohy sami cez zmluvu o bezpečnostnej údržbe s jasne opísaným rozsahom.
Záver: Dobrá zmluva nezabráni bezpečnostnej zraniteľnosti, ale zabráni tomu, aby sa v kritickom prípade strácal čas otázkou zodpovednosti. Táto stránka je všeobecná informácia a nie právne poradenstvo.
Časté otázky
Musí IT dodávateľ nasadzovať bezpečnostné aktualizácie aj bez objednávky?
Závisí to od zmluvy. Bez jasnej úpravy je často sporné, či aktualizácie patria k dlhovanému plneniu. Zmluva by preto mala výslovne stanoviť, kto aktualizuje ktoré komponenty a v akej lehote. Za právne posúdenie v jednotlivom prípade zodpovedá právnik.
Potrebujem navyše AVV?
Ak dodávateľ spracúva v mene objednávateľa osobné údaje alebo k nim má prístup, je spravidla potrebná zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR (v Nemecku AVV). Nenahrádza zmluvu o plnení, ale ju dopĺňa. Vyjasnite to so svojím zodpovedným pracovníkom pre ochranu údajov.
Aké lehoty pre bezpečnostné aktualizácie sú obvyklé?
Pevné hodnoty neexistujú. Zmysluplné je odstupňovanie podľa závažnosti, napríklad oddelené lehoty pre kritické, vysoké a ostatné zraniteľnosti. Dôležité je, aby boli lehoty písomne uvedené a obsahovali výnimku pre núdzové prípady ako PHP2Shell.
Čo sa stane s prístupmi, keď zmluva skončí?
Mala by to upraviť zmluva: vrátenie alebo vymazanie údajov, odovzdanie prístupových údajov a dokumentácie, odobratie všetkých prístupov dodávateľa a potvrdenie o tom.