IT-üzemeltetési szerződés: mi legyen benne? Ellenőrzőlista kkv-knak
A havidíj önmagában nem mond semmit: az számít, mi tartozik bele, milyen gyorsan reagál a szolgáltató, és mi történik, ha váltani akarsz. Letölthető ellenőrzőlistával mutatjuk meg, mit nézz meg aláírás előtt, jogi és adatvédelmi szempontból is.
Amit ebből a cikkből érdemes hazavinni
- A jó szerződés rögzíti a hatókört, a reakció- és megoldási időket, a felelősségi köröket, a mentést, az adatvédelmet és a kilépés rendjét.
- A reakcióidő nem azonos a megoldási idővel, ezért a szerződésben külön, hibasúlyosság szerint szerepeljen mindkettő.
- Ha a szolgáltató rendszeresen hozzáfér a személyes adatokhoz, adatfeldolgozónak számít, és a GDPR 28. cikke szerinti szerződés kell vele.
- A kilépésről az elején kell megállapodni: hozzáférések, jelszavak, dokumentáció, domainek és licencek átadása.
Mi legyen egy IT-üzemeltetési szerződésben? A 12 pont
| Pont | Mit rögzítsen? |
|---|---|
| 1. Hatókör | Mely gépek, szerverek, hálózati eszközök, felhasználók és felhőszolgáltatások tartoznak bele. Listában, mellékletként. |
| 2. Mi nincs benne? | Eszközbeszerzés, új projekt, szoftverfejlesztés, munkaidőn kívüli munka: mi jár külön díjért? |
| 3. Elérhetőség | Melyik munkaidőben, milyen csatornán lehet hibát bejelenteni, és van-e ügyelet. |
| 4. Reakció- és megoldási idő | Külön, hibasúlyosság szerint, munkaórában vagy naptári órában. |
| 5. Helyszíni kiszállás | Mikor jön ki a szolgáltató, mennyi idő alatt, és benne van-e a díjban. |
| 6. Mentés és helyreállítás | Ki felel a mentésért, milyen gyakori, mennyi ideig őrzik, és milyen gyakran próbálják ki a visszaállítást. |
| 7. Biztonság | Frissítések, végpontvédelem, kétlépcsős belépés, jogosultságok és incidenskezelés. |
| 8. Adatvédelem | GDPR szerinti adatfeldolgozói megállapodás, alvállalkozók és titoktartás. |
| 9. Riport és egyeztetés | Milyen gyakran kap összefoglalót a cég vezetése, milyen tartalommal. |
| 10. Díjazás | Mi a számítás alapja (gép, felhasználó vagy óra), mi történik létszámváltozásnál, van-e éves emelés. |
| 11. Felelősség | Felelősségkorlátozás és kötbér: mire vállal felelősséget a szolgáltató, milyen összeghatárig. |
| 12. Felmondás és átadás | Felmondási idő, hozzáférések, jelszavak, dokumentáció, domainek és licencek átadása. |
Megbízás vagy vállalkozás? Miért számít?
A Ptk. nem nevezi meg külön az IT-üzemeltetést, a szerződés tartalma dönti el, melyik szabályok illenek rá. A vállalkozási szerződés valamilyen eredmény elérésére szól (Ptk. 6:238. §), például egy szerver költöztetésére, amit átadás-átvétel zár. A megbízási szerződés feladat ellátására szól (6:272. §), és a díj eredmény hiányában is jár, kivéve, ha a megbízott hibázott (6:276. §). A havidíjas, folyamatos üzemeltetés jellemzően az utóbbihoz áll közelebb, egy-egy projekt az előbbihez.
Ez a felmondásnál is számít: megbízásnál bármelyik fél felmondhat, de a jogkövetkezményekre külön szabályok vonatkoznak, és tartós megbízásnál a felek korlátozhatják a felmondást (6:278. §). Ezért a felmondási időt és az átadás rendjét a szerződésben kell rögzíteni, és egy nagyobb szerződést érdemes jogásszal is átnézetni.
SLA: mit mérjetek?
A szolgáltatási szint megállapodás (SLA) ott hasznos, ahol számokat ad. Az IT-szolgáltatásmenedzsment nemzetközi szabványa az ISO/IEC 20000-1; egy kisebb cégnek ennél egyszerűbb táblázat is elég, ha az alábbiak szerepelnek benne:
- Reakcióidő: mennyi idő alatt kezd valaki foglalkozni a hibával. Ez nem jelenti, hogy addigra meg is oldódik.
- Megoldási vagy kerülőmegoldási idő: mikorra áll helyre a munka. Sok szerződésből ez hiányzik.
- Súlyossági szintek: például teljes leállás, egy részleg vagy egy ember akadályoztatása, kérés. Mindegyikhez más idő tartozzon.
- Mikortól számít: munkaidőben vagy naptári órában? A péntek délutáni hiba sokat nyom a latban.
- Mérés és következmény: ki méri, hol látszik, és mi történik, ha nem teljesül.
A helyreállítási vállalásoknál két fogalom a kulcs: az RPO (mennyi adat veszhet el) és az RTO (mennyi idő alatt kell újra működni). A magyarázatukat az IT-fogalomtárban, a mentés gyakorlatát a 3-2-1 szabályról szóló cikkünkben találod.
Adatvédelem: a rendszergazda adatfeldolgozó?
Sokszor igen. Az Európai Adatvédelmi Testület iránymutatása szerint az általános IT-támogatás, amelynél elkerülhetetlen a rendszeres hozzáférés a személyes adatokhoz, adatfeldolgozásnak számít; egy hibát javító tanácsadó, aki csak esetlegesen találkozik adattal, nem feltétlenül. Adatfeldolgozónál a GDPR 28. cikke írásbeli (elektronikus is lehet) szerződést kér, amely rögzíti az adatkezelés tárgyát, időtartamát, jellegét, célját, az adatok típusát és az érintettek körét, továbbá hogy a szolgáltató:
- csak írásbeli utasítás alapján kezeli az adatokat, és titoktartást biztosít;
- megteszi a 32. cikk szerinti biztonsági intézkedéseket (például titkosítás, helyreállíthatóság, rendszeres tesztelés);
- csak a feltételek betartásával vesz igénybe alvállalkozót;
- segít az érintetti kérelmekben, az adatvédelmi kötelezettségekben és az incidensek kezelésében;
- a szerződés végén törli vagy visszaadja az adatokat;
- megadja a megfelelés igazolásához szükséges információkat, és lehetővé teszi az auditot.
Az iránymutatás szerint a szerződés ne csak szó szerint ismételje a rendeletet, hanem konkrétan írja le, mi történik a te adataiddal.
NIS2: érint a kiberbiztonsági törvény?
A 2024. évi LXIX. törvény meghatározott ágazatokban a közepes és nagyobb szervezetekre vonatkozik: legalább 50 fő, vagy 10 millió eurót meghaladó árbevétel és mérlegfőösszeg. Ha a céged érintett, a törvény 6. § (5) bekezdése szerint a vezető felel azért, hogy a közreműködőkre vonatkozó biztonsági követelmények szerződéses kötelemként érvényesüljenek, tehát ezek az IT-üzemeltetési szerződésbe is bekerülnek. Az érintett szervezetek hatósága a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH).
A törvény az irányított (managed) IT-szolgáltatókat is külön nevesíti, náluk is a mérethatár a döntő. Érdemes rákérdezni, hogy a szolgáltatód érintett-e, és mit vállal. A saját érintettséget a NIS2-ellenőrzővel nézheted meg. Tájékoztató adat: az érintett irányított szolgáltatóknál az (EU) 2024/2690 rendelet szerint például akkor jelentős egy incidens, ha a szolgáltatás több mint 30 percig teljesen elérhetetlen. Ez nem SLA-minta, de jó viszonyítási pont.
Kilépés: ezt az elején kell megbeszélni
Egy szolgáltatóváltás akkor fáj, ha a hozzáférések egy ember fejében vagy a szolgáltató fiókjában vannak. A szerződésben rögzítsd, hogy a cégnél maradnak vagy átadásra kerülnek:
- adminisztrátori hozzáférések (Microsoft 365-bérlő, tűzfal, switch, szerver) és jelszavak;
- domainek és DNS, a cég nevére regisztrálva;
- licencek és szolgáltatói fiókok;
- mentések és a visszaállítás leírása;
- hálózati térkép, eszközlista és üzemeltetési dokumentáció.
Az átvételhez külön IT-átadási ellenőrzőlistát is készítettünk, jelszavak nélkül.
Mitől függ az IT-üzemeltetés ára?
A havidíj jellemzően a gépek, felhasználók és szerverek számától, a reakcióidőtől, a mentéstől és a helyszíni jelenléttől függ. A kereteket az IT-üzemeltetés költségtervezővel saját adatokkal becsülheted. Viszonyításként: a KSH szerint a teljes munkaidős rendszergazdák bruttó átlagkeresete 2025-ben havi 937 570 Ft volt, járulékok nélkül. A döntést a saját rendszergazda vagy külsős IT-üzemeltetés útmutató segíti, a havidíj tartalmát pedig a külsős rendszergazda havidíjáról szóló cikk bontja ki.
Gyakori hibák
- „Teljes körű üzemeltetés” felsorolás nélkül: vitánál mindenki mást ért rajta.
- Csak reakcióidő szerepel, megoldási idő nem.
- A mentésért senki sem felel név szerint, a visszaállítást soha nem próbálták ki.
- A domain vagy a Microsoft 365-bérlő a szolgáltató nevén van.
- Hiányzik az adatfeldolgozói megállapodás.
Részletek a rendszergazdai szolgáltatásról és IT-üzemeltetésről, illetve az irodai hálózat és a Microsoft 365 oldalunkon.
Kapcsolódó szolgáltatásaink
Beszéljük meg a projektedet!
Mondd el, mire van szükséged — egy munkanapon belül válaszolunk.