# Zmluvy s IT dodávateľmi: jasne upraviť bezpečnostné povinnosti

> Čo by mala zmluva s agentúrou, hosterom alebo IT dodávateľom upraviť k bezpečnosti: aktualizácie, reštart, spôsoby hlásenia, logy, prístupy a ukončenie.

Zdroj: https://phpsos.de/sk/blog/dienstleistervertrag-sicherheit/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Zmluva s IT dodávateľom by nemala bezpečnosť spomínať len mimochodom, ale upraviť ju konkrétne: kto aktualizuje ktoré komponenty, v akej lehote a s akým dokladom, ako sa informuje o kritických zraniteľnostiach, kto spolupôsobí pri incidente, ako sa uchovávajú logy a spravujú prístupy a čo sa stane pri ukončení. Táto stránka dáva všeobecné pokyny a nie je právne poradenstvo; zmluvy kontroluje právnik.

## Otázka, ktorú položil PHP2Shell: kto je zodpovedný?

Dňa 21. 10. 2026 o 16:00 nemeckého času zverejnil projekt PHP záplaty. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporučil okamžitú aktualizáciu alebo, kde to nešlo, dočasné odpojenie webserverov od siete. V mnohých firmách potom nezačala práca, ale hľadanie zodpovednosti. Agentúra poukázala na hostera, hoster na zmluvu a v zmluve stálo „údržba podľa vynaloženého úsilia“.

Takéto medzery v zmluve nie sú ojedinelé. Mnohé zmluvy s agentúrami a dodávateľmi sa uzavreli, keď išlo o stavbu webu, nie o jeho bezpečnú prevádzku počas rokov. Kritická zraniteľnosť v prostredí behu PHP, ktorá sa netýka ani CMS, ani kódu aplikácie, potom ľahko spadne medzi všetkých.

## Čo by mala zmluva s IT dodávateľom upraviť k bezpečnosti

Nasledujúci prehľad uvádza body, ktoré sa v praxi ukázali ako dôležité. Nenahrádza právnu kontrolu, pomáha však rozpoznať medzery v existujúcej zmluve.

| Bod úpravy | Čo by sa malo zachytiť | Vzťah k PHP2Shell |
|---|---|---|
| Rozsah plnenia | Ktoré vrstvy sa spravujú: operačný systém, prostredie behu PHP, webserver, CMS, pluginy, vlastný kód | Prostredie behu PHP v zozname často chýbalo |
| Lehoty aktualizácií | odstupňované podľa závažnosti, s výnimkou pre núdzové prípady | kritická zraniteľnosť s CVSS v4.0 9,2 |
| Reštart a doklad | Aktualizácie sa považujú za vybavené až po reštarte všetkých procesov, s písomným dokladom | samotné nové súbory zraniteľnosť neuzavrú |
| Informovanie | aktívne upozornenie pri kritických zraniteľnostiach, s posúdením a plánom | mnohí zákazníci sa museli pýtať sami |
| Spolupôsobenie pri incidentoch | podpora pri analýze, zabezpečení, obnove, kontaktná osoba | hľadanie stôp po záplate |
| Logy | druh, uchovávanie, vydanie na požiadanie | odborná tlač radila zabezpečiť logy od 20. 10. |
| Prístupy | osobné účty, dvojfaktorové prihlásenie, zoznam všetkých prístupov | kto vlastne mal prístup? |
| Subdodávatelia | kto sa ešte podieľa, informácia pri zmene | hoster hostera |
| Koniec životnosti softvéru | upozornenie včas pred koncom podpory, plán migrácie | PHP 8.2 končí 31. 12. 2026 |
| Ukončenie | vydanie údajov, dokumentácie a prístupov, odobratie práv | zmena po incidente |

## Lehoty a doklady: body, ktoré záležia najviac

Lehoty sú jadro. Formulácia ako „bezodkladne“ v kritickom prípade nepomôže. Dohodnite lehoty oddelene podľa závažnosti a určte, podľa čoho sa závažnosť meria, napríklad podľa zaradenia výrobcom alebo BSI. Pre mimoriadne situácie by mala platiť núdzová úprava: kto je dosiahnuteľný, kto rozhoduje o dočasnom odpojení systému od siete a ako sa vyúčtuje dodatočná námaha.

Rovnako dôležitý je doklad. Pri PHP2Shell zobrazené číslo verzie často hovorilo málo, pretože distribúcie a hostingy nasadzujú opravy ako backport. Spoľahlivý doklad uvádza stav balíka, čas inštalácie a reštart všetkých procesov PHP. Ktoré údaje presne rozhodujú, opisuje [Ako sa opýtať hostera na stav záplat](https://phpsos.de/sk/ratgeber/hoster-patch-status-erfragen/). Tieto údaje zaraďte do zmluvy ako povinný obsah.

> **Tip:**
> Nechajte si od dodávateľa k zmluve dať maticu úloh: jeden riadok na komponent, jeden stĺpec na úlohu, v každej bunke meno. Medzery potom vynikne hneď, dávno predtým, než príde ďalšie hlásenie.

## Prístupy, subdodávatelia a ukončenie

Dodávatelia potrebujú prístupy a práve tie sú častou cestou útoku. Upravte, že každá osoba dostane vlastný účet, že dvojfaktorové prihlásenie je povinné, kde to technika umožňuje, a že si môžete kedykoľvek vyžiadať aktuálny zoznam všetkých prístupov. Zamestnanci dodávateľa, ktorí odišli, sa musia bezodkladne odstrániť zo všetkých systémov.

Ak dodávateľ sám pracuje s partnermi, napríklad s dátovým centrom alebo špecializovaným forenzným tímom, mali by ste to vedieť. Ak niektorý z týchto partnerov spracúva osobné údaje, pribúdajú povinnosti z ochrany údajov. Viac k tomu v článku [Spracúvanie osobných údajov, keď dodávatelia pristupujú na servery](https://phpsos.de/sk/blog/auftragsverarbeitung-serverzugriff/).

Ukončenie sa pri uzatváraní zmluvy zabúda najčastejšie. Určte, že pri skončení zmluvy sa údaje, konfigurácia, dokumentácia a prístupové údaje odovzdajú úplne, všetky prístupy dodávateľa sa odoberú a písomne sa to potvrdí. Práve po incidente je inak usporiadaná zmena zložitá.

## Kontrola existujúcich zmlúv: ako postupovať

Nemusíte vyjednávať všetky zmluvy nanovo. Na začiatok stačí pragmatický postup:

1. Zhromaždiť všetky zmluvy s agentúrami, hostermi a IT dodávateľmi, ktoré sa týkajú webov alebo serverov.
2. Každú zmluvu porovnať s tabuľkou vyššie a označiť otvorené body.
3. Najdôležitejšie medzery písomne konzultovať s dodávateľom, začínajúc rozsahom plnenia, lehotami a dokladom.
4. Výsledky zachytiť ako dodatok a nechať právne skontrolovať.
5. Maticu úloh prevziať do núdzového plánu.

Pre vedenie je tento krok aj otázkou starostlivosti. Kto jasne upraví zodpovednosti a zdokumentuje rozhodnutia, je na tom lepšie, ak sa neskôr kladú otázky. Súvislosti poskytuje [Zodpovednosť vedenia pri bezpečnostných zraniteľnostiach IT](https://phpsos.de/sk/compliance/geschaeftsfuehrer-haftung/). Typické rozdelenie úloh pri spravovaných serveroch opisuje [Managed Server: vyjasniť zodpovednosť](https://phpsos.de/sk/server/managed-server/).

## Ako konkrétne pomáha PHP SOS?

- Prečítame vaše existujúce zmluvy a opisy služieb z technického pohľadu a označíme, ktoré komponenty a úlohy chýbajú.
- Vytvoríme maticu úloh pre všetky weby a servery, ktorú môžete odsúhlasiť so svojimi dodávateľmi.
- Sformulujeme technické požiadavky na lehoty, doklady a spôsoby hlásenia, ktoré môže váš právnik prevziať do zmluvy.
- Kde nie je zodpovedný nikto, preberáme úlohy sami cez [zmluvu o bezpečnostnej údržbe](https://phpsos.de/sk/leistungen/security-wartungsvertrag/) s jasne opísaným rozsahom.

**Záver:** Dobrá zmluva nezabráni bezpečnostnej zraniteľnosti, ale zabráni tomu, aby sa v kritickom prípade strácal čas otázkou zodpovednosti. Táto stránka je všeobecná informácia a nie právne poradenstvo.


## Časté otázky

**Musí IT dodávateľ nasadzovať bezpečnostné aktualizácie aj bez objednávky?**  
Závisí to od zmluvy. Bez jasnej úpravy je často sporné, či aktualizácie patria k dlhovanému plneniu. Zmluva by preto mala výslovne stanoviť, kto aktualizuje ktoré komponenty a v akej lehote. Za právne posúdenie v jednotlivom prípade zodpovedá právnik.

**Potrebujem navyše AVV?**  
Ak dodávateľ spracúva v mene objednávateľa osobné údaje alebo k nim má prístup, je spravidla potrebná zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR (v Nemecku AVV). Nenahrádza zmluvu o plnení, ale ju dopĺňa. Vyjasnite to so svojím zodpovedným pracovníkom pre ochranu údajov.

**Aké lehoty pre bezpečnostné aktualizácie sú obvyklé?**  
Pevné hodnoty neexistujú. Zmysluplné je odstupňovanie podľa závažnosti, napríklad oddelené lehoty pre kritické, vysoké a ostatné zraniteľnosti. Dôležité je, aby boli lehoty písomne uvedené a obsahovali výnimku pre núdzové prípady ako PHP2Shell.

**Čo sa stane s prístupmi, keď zmluva skončí?**  
Mala by to upraviť zmluva: vrátenie alebo vymazanie údajov, odovzdanie prístupových údajov a dokumentácie, odobratie všetkých prístupov dodávateľa a potvrdenie o tom.

## Zdroje

- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [BSI](https://www.bsi.bund.de/)
- [php.net: podporované verzie](https://www.php.net/supported-versions.php)