SLA a smlouva na spravovanou bezpečnost: doby reakce, odpovědnost, výpověď a co si pohlídat

Smlouva na spravovanou bezpečnost by měla mít čtyři pilíře: popis služby (co přesně poskytovatel dělá a co ne), SLA (doby reakce a řešení podle závažnosti, způsob měření a důsledky nesplnění), odpovědnost (za co poskytovatel ručí a do jaké výše) a ukončení (výpovědní lhůta, předání dat a konfigurací). K tomu patří zpracovatelská smlouva podle čl. 28 GDPR a – pokud jste regulovaní podle zákona č. 264/2025 Sb. – požadavky vyplývající z bezpečnostních opatření (§ 13 odst. 5). Nejvíc sporů vzniká kolem toho, co se počítá jako „reakce“, kdo smí v noci zasáhnout a kolik hodin práce při incidentu je v paušálu. Tento článek nenahrazuje právní posouzení smlouvy; u větších smluv doporučujeme advokáta.

Článek patří do sekce výpočty a výběr.

SLA: co přesně měřit

Pojmy, které se v SLA objevují:

Pojem	Co znamená	Na co si dát pozor
Doba reakce	od výstrahy do okamžiku, kdy na ní začne pracovat člověk	ne automatický e-mail „přijali jsme“
Doba oznámení	od potvrzení incidentu do kontaktu s vámi	jakým kanálem – telefon, ne jen e-mail
Doba zásahu	od potvrzení do izolace / blokace	jen pokud máte sjednané oprávnění
Doba řešení	do obnovení provozu	často jen „snaha“, ne závazek
Dostupnost	např. portálu nebo služby v % za měsíc	99,5 % = až cca 3,6 h výpadku za 30 dní

Modelový příklad SLA podle závažnosti (smyšlené hodnoty, ne doporučení):

Závažnost	Příklad	Reakce	Oznámení
Kritická	šifrování souborů na serveru	do 30 minut, 24/7	telefonicky do 1 hodiny
Vysoká	kompromitovaný účet	do 2 hodin, 24/7	do 4 hodin
Střední	podezřelý program na stanici	do 8 pracovních hodin	v denním přehledu
Nízká	porušení pravidla	do 2 pracovních dnů	v měsíčním reportu

Výpočet dostupnosti: 30 dní × 24 h = 720 h; 0,5 % z 720 h = 3,6 h povoleného výpadku. U 99,9 % je to 0,72 h, tedy asi 43 minut.

Co když SLA nesplní

Typické mechanismy:

sleva z měsíční ceny (např. 5–10 % za každé porušení, se stropem),
právo vypovědět smlouvu při opakovaném porušení (např. 3× za čtvrtletí),
nápravný plán s termínem.

Sleva bývá symbolická proti škodě z incidentu. Důležitější je právo odejít a povinnost doložit měření v měsíčním reportu.

Odpovědnost a její limity

Poskytovatelé obvykle omezují odpovědnost za škodu – například na výši ročních poplatků. Co zvážit:

zda se limit nevztahuje na úmysl a hrubou nedbalost (k ujednání, které ji předem vylučuje nebo omezuje, se podle § 2898 občanského zákoníku nepřihlíží),
zda má poskytovatel pojištění odpovědnosti a v jaké výši,
kdo odpovídá, když poskytovatel izoluje stroj a zastaví výrobu – proto seznam kritických strojů a pravidla zásahu v příloze,
odpovědnost za subdodavatele.

Odpovědnost poskytovatele nenahrazuje vaše vlastní povinnosti: vůči ÚOOÚ zůstáváte správcem údajů a vůči NÚKIB poskytovatelem regulované služby.

Povinné a doporučené přílohy

Popis služby – rozsah, zdroje dat, doba dohledu, oprávnění k zásahu.
SLA – tabulka výše, měření, report.
Zpracovatelská smlouva podle čl. 28 GDPR – předmět a doba zpracování, pokyny, mlčenlivost, zabezpečení (čl. 32), subdodavatelé, pomoc při ohlašování porušení (čl. 33–34), výmaz nebo vrácení údajů. Viz GDPR a hlášení incidentů.
Bezpečnostní požadavky u regulovaných (§ 13 odst. 5 zákona č. 264/2025 Sb.; v režimu vyšších povinností náležitosti podle přílohy č. 5 vyhlášky č. 409/2025 Sb.).
Kontakty a eskalace – kdo komu volá, v jakém pořadí, náhradníci.
Exit plán – co se předá a za kolik. Viz změna poskytovatele a exit.

Cena ve smlouvě

Mechanismus změny ceny – inflační doložka (index ČSÚ), změna ceníku licencí, kurz. Viz zdražení při obnově smlouvy.
Změna počtu uživatelů – jak často a o kolik lze snížit.
Hodinová sazba nad rámec a příplatky v noci a o víkendu – viz retainer na reakci na incidenty.
Fakturace – měsíčně, ročně předem; co se vrací při předčasném ukončení.

Doba trvání a výpověď

Ujednání	Doporučení k vyjednání
Doba trvání	12–24 měsíců u první smlouvy
Automatické prodloužení	jen na 12 měsíců, s upozorněním předem
Výpovědní lhůta	1–3 měsíce; zapsat do kalendáře
Výpověď pro porušení SLA	opakované porušení = výpověď bez sankce
Součinnost při odchodu	předání dat, logů, konfigurací, odinstalace agentů

Měsíční report jako kontrola SLA

SLA bez měření je jen slib. Ve smlouvě určete, že měsíční report obsahuje:

počet výstrah a incidentů podle závažnosti,
skutečné doby reakce a oznámení u každého incidentu vysoké a kritické závažnosti,
počet a důvod porušení SLA,
čerpání hodin z paušálu nebo retaineru,
objem logů a jeho vývoj, pokud se platí podle objemu,
doporučení a stav jejich plnění.

Modelový výpočet slevy: smlouva stanoví slevu 5 % z měsíční ceny za každé porušení SLA u kritické výstrahy, nejvýše 15 % měsíčně. V měsíci, kdy měsíční cena činí 38 000 Kč, nastanou 3 porušení: 3 × 5 % = 15 %, sleva 5 700 Kč. Čtvrté porušení by slevu nezvýšilo, protože platí strop – proto je důležitější právo vypovědět smlouvu při opakovaném porušení. Hodnoty jsou smyšlené.

Časté otázky

Je „best effort“ v SLA problém?

Pro dobu řešení je běžné, protože nikdo neví, jak dlouho bude incident trvat. Pro dobu reakce a oznámení by ale měl být pevný závazek; jinak SLA nic neznamená.

Kdo smí poskytovateli dát souhlas k zásahu?

Ten, koho určíte ve smlouvě – ideálně dvě až tři osoby s náhradníky a telefonním číslem dostupným v noci. Bez toho poskytovatel buď čeká, nebo zasahuje bez souhlasu – obojí je riziko.

Musí být smlouva česky?

Zákon to obecně nevyžaduje, ale česká verze nebo dvojjazyčná smlouva sníží riziko nedorozumění. U zahraničního poskytovatele ověřte, kterým právem se smlouva řídí a kde se řeší spory.

Mají být doby reakce stejné pro pracovní dny i víkend?

U kritických výstrah ano – útoky často začínají v noci nebo o víkendu právě proto, že nikdo nehlídá. U nízké a střední závažnosti je běžné počítat lhůty v pracovních hodinách. Rozdíl mezi „hodinami“ a „pracovními hodinami“ uveďte ve smlouvě výslovně.

Zdroje

Úřad pro ochranu osobních údajů – zpracovatelská smlouva, ohlašování
Národní úřad pro kybernetickou a informační bezpečnost – požadavky na dodavatele regulovaných
Zákony pro lidi – zákon č. 264/2025 Sb., vyhláška č. 409/2025 Sb., občanský zákoník
Český statistický úřad – míra inflace