PQC v pogodbi: ste prevzeli odgovornost, ki je ne morete izpolniti?

Izdaja 08 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za vodstvo dobaviteljev in IT-izvajalcev, ki podpisujejo pogodbe in dodatke z nemškimi naročniki.

Lani ste podpisali dodatek k okvirni pogodbi. V njem je stavek: „Der Auftragnehmer stellt sicher, dass sämtliche eingesetzten Verfahren jederzeit dem aktuellen Stand der Technik entsprechen, ohne Mehrkosten für den Auftraggeber.“ Takrat se je zdel samoumeven. Danes, ko stanje tehnike vključuje postkvantne postopke, ki jih vaš proizvajalec ERP še ne podpira, se zdi drugače.

V tem članku: Štiri vrste zavez · Šest stavkov, ki zahtevajo pozornost · Kaj lahko sprejmete in česa ne · Če ste proizvajalec: CRA · Primer · Kako se pogajati · Če je pogodba že podpisana · Vprašanje za naročnika · Priloga: vzorčna določila

Vsako zavezo o kriptografiji v pogodbi z nemškim naročnikom lahko razvrstite v eno od štirih skupin:

Prve lahko sprejmete brez zadržkov. Druge in tretje lahko sprejmete s predpostavkami. Četrte ne bi smeli sprejeti brez dogovora o tem, kdo plača spremembo, ki je danes nihče ne pozna.

Nemški pogodbeni dodatki so pogosto napisani natančno in formalno. Prav zato je vredno vedeti, katere formulacije nosijo največ tveganja:

1. „gewährleistet die Quantensicherheit“ (jamči kvantno varnost): jamstvo za lastnost, ki je nihče ne zna izmeriti.
2. „jeweils aktueller Stand der Technik ohne Mehrkosten“ (vsakokratno stanje tehnike brez dodatnih stroškov): odprt račun za prihodnost.
3. „unverzüglich“ (nemudoma): v nemškem pravu pomeni brez krivdnega odlašanja. Pri odvisnosti od proizvajalca je to lahko dolgo ali kratko, odvisno od tega, kdo razlaga.
4. „verschuldensunabhängig“ (ne glede na krivdo): odgovarjate tudi za tisto, česar niste mogli preprečiti.
5. „einschließlich sämtlicher Unterauftragnehmer“ (vključno z vsemi podizvajalci): odgovarjate za proizvajalca, ki ga ne nadzorujete.
6. „Vertragsstrafe je Kalendertag“ (pogodbena kazen za vsak dan): pri nedoločeni obveznosti kazen brez meje.

Nobeden od teh stavkov ni nujno zlonameren. Lahko so preprosto prepisani iz drugih pogodb, kar se zgodi tudi najboljšim. Vsak pa vas lahko obveže k nečemu, česar ne morete sami izpolniti.

Sprejmite brez zadržkov: obveznost dajanja informacij o vaši kriptografiji v roku; obveznost obveščanja o spremembah na skupni povezavi; obveznost usklajenega postopka sprememb; hrambo ključev v dogovorjenem okolju; kriptografsko prilagodljivost za novo dobavljeno programsko opremo, če jo znate zagotoviti.

Sprejmite s predpostavkami: roke, odvisne od proizvajalcev (z navedbo proizvajalca in pogoja); roke za skupne povezave (s pogojem, da je naročnikova stran pripravljena); prevzem po merilih, ki so zapisana vnaprej.

Ne sprejmite brez pogajanj: splošnega jamstva za »kvantno varnost«; samodejnega sledenja stanju tehnike brez dogovora o stroških; pogodbenih kazni za obveznosti, ki niso določene ali niso v vaši moči.

Odklonitev nedoločene obveznosti ni znak nepripravljenosti. Argument, da obveznost ni dovolj določena (Leistung nicht hinreichend bestimmt), nemškim pravnikom ni tuj; z njim delajo tudi sami.

Če nemškemu naročniku dobavljate izdelke z digitalnimi elementi (naprave z vdelano programsko opremo, programsko opremo kot izdelek), vas od 11. decembra 2027 neposredno zavezuje Akt o kibernetski odpornosti (CRA, Uredba (EU) 2024/2847), obveznosti poročanja pa veljajo že od 11. septembra 2026. Med bistvenimi zahtevami je zaščita zaupnosti, med drugim s šifriranjem po stanju tehnike, ter zagotavljanje varnostnih posodobitev.

Dve pomembni razmejitvi:

• CRA ni predpis o postkvantni kriptografiji. Zahteva šifriranje po stanju tehnike, kjer je relevantno, ne pa določenih postkvantnih postopkov do določenega datuma.
• Obveznosti iz CRA veljajo za vas po zakonu, ne glede na pogodbo. Če jih naročnik prepiše v pogodbo, jih ne potrebujete dvakrat. Če jih v pogodbi razširi (»CRA-skladno, vključno s kvantno varnostjo«), je to njegova dodatna zahteva, ne zakonska, in o njej se lahko pogajate.

Slovensko elektronsko podjetje, denimo, dobavlja nemškemu proizvajalcu kmetijskih strojev telematski modul: strojno opremo, vdelano programsko opremo in storitev za prenos podatkov in posodobitev. Stroji delujejo petnajst do dvajset let.

Prvi osnutek dodatka zahteva »popolno kvantno varnost do 31. 12. 2027« s pogodbeno kaznijo. Podjetje ga ne zavrne, ampak ga razstavi na štiri vrste zavez:

• lastna: podpis posodobitev s postkvantnim postopkom ob obstoječem, vzorec do konca leta 2027, serijsko z naslednjo generacijo modula;
• skupna: hibridni dogovor o ključu pri prenosu podatkov, ko ga bo podpiral strežnik naročnika (naročnik se zaveže do sredine leta 2027);
• odvisna: obstoječi moduli; podjetje do konca leta 2026 pove, katere generacije je mogoče posodobiti in katerih ne;
• informacijska: letno poročilo in odgovor na vprašanje v 20 delovnih dneh.

Pogodbena kazen ostane, a za drugo stvar: za spremembo podpisnega ključa brez dogovora. Tam je smiselna in jo podjetje sprejme.

Nekaj stavkov, ki odprejo pogovor, ne da bi zveneli kot zavrnitev:

• „Wir können diese Pflicht übernehmen, soweit sie in unserem Einflussbereich liegt. Für Leistungen unserer Hersteller schlagen wir eine Mitteilungspflicht mit Termin vor.“ (Obveznost lahko prevzamemo, kolikor je v našem vplivu. Za storitve proizvajalcev predlagamo obveznost obveščanja z rokom.)
• „Damit die Frist messbar ist, schlagen wir vor, das Abnahmekriterium in der technischen Anlage festzulegen.“ (Da bo rok merljiv, predlagamo, da merilo prevzema določimo v tehnični prilogi.)
• „Änderungen des Stands der Technik, die aus neuen Anforderungen entstehen, vereinbaren wir als Leistungsänderung.“ (Spremembe stanja tehnike, ki izhajajo iz novih zahtev, dogovorimo kot spremembo storitve.)

Preberite jo znova in razvrstite vsako zavezo v eno od štirih skupin. Pri odvisnih in prihodnjih zavezah ne čakajte na spor. Naročniku pisno sporočite, od koga ste odvisni in kdaj pričakujete rešitev. Takšno obvestilo ne spremeni pogodbe, spremeni pa položaj: nihče vam ne bo mogel očitati, da ste molčali.

„Können wir die Pflichten zur Kryptografie in eine technische Anlage überführen, in der Geltungsbereich, Profil, Meilensteine und Abnahme je Verbindung festgelegt sind?“

Prevod: Ali lahko obveznosti glede kriptografije prenesemo v tehnično prilogo, v kateri so za vsako povezavo določeni obseg, profil, mejniki in prevzem?

Zakaj tako? Ker s tem predlagate red, ne umika. Okvirna pogodba ostane stabilna, priloga pa se lahko spreminja s tehniko. Nemški naročnik, ki se s temo ukvarja resno, bo predlog verjetno sprejel, ker mu olajša tudi njegovo delo.

Nemška izdaja te teme se obrača na pravne službe in nabavo naročnikov: „Quantensichere Lieferketten beginnen nicht mit Vertragsstrafen“ (v nemščini). Prejšnja izdaja: Kdo sme spremeniti kriptografijo v vašem sistemu?

Pomembno: spodnja določila so vzorci za strokovni in pravni pregled, ne pravni nasvet in ne končno besedilo. Prilagoditi jih je treba vrsti pogodbe, pravu, ki se uporablja, in posameznemu primeru. Ker so pogodbe z nemškimi naročniki pogosto v nemščini, je določilo navedeno v nemščini, razlaga v slovenščini. V nemški izdaji so ista določila.

Opomba za pregled: roki (20 delovnih dni, 30 dni) so primeri. Določilo 3 je po naših izkušnjah tisto, ki bi ga naročniki najraje črtali. Brez njega so ostala določila za vas najmanj uravnotežena.

Vse objavljene izdaje serije: pregled »Postkvantna varnost v dobavni verigi«

Naslednja izdaja (2. 3. 2026): »Imate SBOM? Še vedno morda ne veste, katero kriptografijo uporabljate.«

Viri (stanje 2. 2. 2026): Uredba (EU) 2024/2847 (Akt o kibernetski odpornosti), 71. člen in Priloga I; NIS Cooperation Group, »A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography«, različica 1.1 (junij 2025).

Če vam je naročnik poslal dodatek, ki ga želite razvrstiti pred podpisom, nam pišite.