Umowa serwisowa IT i SLA – czas reakcji, kary umowne, dostępność i plan wyjścia (checklista 2026)

Umowa serwisowa z firmą IT to zwykle kilka stron, które czyta się raz – przy podpisie. Problem pojawia się po awarii: okazuje się, że „czas reakcji 4 godziny” oznaczał odpowiedź e-mailem, dostępność 99% była liczona rocznie, a kara umowna jest tak niska, że dostawcy opłaca się jej nie unikać. Poniżej checklista zapisów, które decydują o tym, czy SLA działa, wraz z przykładem liczbowym i podstawą prawną – oraz sposób, jak sprawdzić wszystkie umowy serwisowe w firmie naraz.

Umowa serwisowa a SLA – czym się różnią i co musi być w każdej

Umowa serwisowa (umowa o świadczenie usług utrzymania) określa, co dostawca robi: utrzymuje serwer, system ERP, sieć, stacje robocze, oprogramowanie. Do umów o świadczenie usług stosuje się odpowiednio przepisy o zleceniu (art. 750 Kodeksu cywilnego), więc jeśli umowa czegoś nie reguluje, obowiązują zasady ogólne – w tym możliwość wypowiedzenia „w każdym czasie” (art. 746 KC), co dla firmy zależnej od dostawcy bywa zaskoczeniem.

SLA (Service Level Agreement) to część umowy lub załącznik, który mówi jak dobrze usługa ma być świadczona: w jakim czasie dostawca reaguje, w jakim naprawia, jaką dostępność gwarantuje i co się dzieje, gdy nie dotrzyma. SLA bez kar lub bonifikat jest deklaracją, nie zobowiązaniem – sąd nie zasądzi odszkodowania za „zbyt wolną reakcję”, jeśli firma nie udowodni szkody w złotówkach (art. 471 KC), a to w praktyce jest trudne.

Minimalny zestaw elementów umowy serwisowej IT:

• Zakres – lista systemów, urządzeń i lokalizacji objętych usługą; co jest poza zakresem (np. błędy producenta oprogramowania, prace rozwojowe, szkolenia).
• Klasyfikacja zgłoszeń – zwykle 3–4 priorytety (krytyczny, wysoki, normalny, niski) z definicją każdego, np. „krytyczny = brak możliwości wystawiania faktur lub pracy ≥ 50% użytkowników”.
• Czas reakcji i czas naprawy (lub obejścia) osobno dla każdego priorytetu, z określeniem godzin świadczenia usługi (8×5, 12×5, 24×7).
• Dostępność – procent w okresie rozliczeniowym (miesiąc, nie rok) z definicją niedostępności i wyłączeń (okna serwisowe, siła wyższa, awarie po stronie klienta).
• Kary umowne lub bonifikaty – za przekroczenie czasów i dostępności, z limitem i prawem do odszkodowania uzupełniającego.
• Raportowanie – miesięczny raport SLA z listą zgłoszeń, czasami i naruszeniami; bez raportu firma nie wie, czy ma prawo do kary.
• Dane osobowe – umowa powierzenia (art. 28 RODO), jeśli serwisant ma dostęp do systemów z danymi (ERP, kadry, CRM – prawie zawsze).
• Bezpieczeństwo – zasady dostępu zdalnego, konta imienne, logowanie czynności, zgłaszanie incydentów (w 24–72 h), zasady podwykonawców.
• Czas trwania, wypowiedzenie i plan wyjścia – okres wypowiedzenia, przekazanie haseł, dokumentacji, kopii zapasowych i konfiguracji.

Czas reakcji, czas naprawy i dostępność – jak je zapisać, żeby znaczyły to samo dla obu stron

Najczęstszy spór w umowach serwisowych nie dotyczy tego, czy dostawca zareagował, tylko co to znaczy „zareagował”. Trzy definicje warto wpisać wprost:

Różnica między 99% a 99,9% brzmi niewinnie, ale w minutach wygląda tak (miesiąc = 30 dni = 43 200 minut): 99,0% dopuszcza 432 minuty, czyli ponad 7 godzin przestoju miesięcznie; 99,5% – 216 minut (3 h 36 min); 99,9% – 43 minuty. Dostępność liczona rocznie (99% = 87,6 h) pozwala dostawcy „zużyć” cały limit w jednej dwudniowej awarii bez żadnej konsekwencji.

Dla firm produkcyjnych i handlowych, w których ERP jest systemem krytycznym, rozsądny punkt wyjścia to: reakcja 1 h / naprawa 8 h dla priorytetu krytycznego w trybie 12×5 lub 24×7, oraz dostępność ≥ 99,5% miesięcznie dla systemów utrzymywanych przez dostawcę (hosting, serwer, baza). Żądanie 99,99% (4 minuty miesięcznie) od lokalnego serwisanta jest nierealne i podnosi cenę, a nie bezpieczeństwo.

Warto też zapisać eskalację: po przekroczeniu czasu naprawy o 50% zgłoszenie trafia do wskazanego menedżera dostawcy, po 100% – do zarządu obu stron. Eskalacja działa lepiej niż kara, bo działa w trakcie awarii, a kara po niej.

Kary umowne w umowie serwisowej – wysokość, limit, miarkowanie (art. 483–484 KC)

Kara umowna (art. 483 § 1 KC) może być zastrzeżona tylko za niewykonanie lub nienależyte wykonanie zobowiązania niepieniężnego – a takim jest reakcja, naprawa i utrzymanie dostępności. Jej zaletą jest to, że należy się bez dowodu wysokości szkody (art. 484 § 1 KC); wadą – że bez wyraźnego zastrzeżenia zamyka drogę do dalszego odszkodowania, nawet gdy szkoda była wielokrotnie wyższa. Dlatego w umowie serwisowej potrzebne jest zdanie: „Zamawiający może dochodzić odszkodowania przenoszącego wysokość zastrzeżonej kary umownej na zasadach ogólnych”.

Typowe konstrukcje kar w SLA (2026, praktyka rynkowa, umowy dla firm 20–250 osób):

• Za przekroczenie czasu reakcji/naprawy: 0,5–2% miesięcznego wynagrodzenia ryczałtowego za każdą rozpoczętą godzinę (priorytet krytyczny) lub dzień roboczy (pozostałe) opóźnienia.
• Za niedotrzymanie dostępności: 5–10% miesięcznego wynagrodzenia za każde rozpoczęte 0,1 punktu procentowego poniżej celu (np. 99,4% zamiast 99,5% = jeden „stopień”).
• Limit łączny: 30–100% miesięcznego wynagrodzenia w miesiącu, w którym doszło do naruszeń; dostawcy proponują 10–20%, co przy ryczałcie 3 000 zł daje 300–600 zł – kwotę, która nie motywuje do nocnej pracy.
• Za naruszenie poufności lub bezpieczeństwa (np. nieuprawniony dostęp, brak zgłoszenia incydentu): kwota stała 10 000–50 000 zł za przypadek – tu limit ogólny nie powinien mieć zastosowania.
• Za odstąpienie z winy dostawcy / porzucenie umowy: 2–3-krotność miesięcznego wynagrodzenia.

Dwie granice prawne. Po pierwsze, kara umowna rażąco wygórowana lub zastrzeżona za zobowiązanie wykonane w znacznej części podlega miarkowaniu przez sąd (art. 484 § 2 KC) – więcej o tym w poradniku Kary umowne – miarkowanie i limit. Po drugie, Sąd Najwyższy w uchwale 7 sędziów z 9 grudnia 2021 r. (III CZP 16/21) przyjął, że dopuszczalne jest zastrzeżenie kary umownej za zwłokę bez określenia końcowego terminu jej naliczania ani kwoty maksymalnej – ale praktyka sądowa nadal traktuje brak limitu jako argument za miarkowaniem. Limit w umowie chroni więc obie strony.

Kara umowna za opóźnienie w zapłacie faktury przez klienta jest nieważna (zobowiązanie pieniężne) – tu działają odsetki ustawowe za opóźnienie w transakcjach handlowych i rekompensata 40/70/100 euro, co opisuje poradnik Terminy płatności B2B – 60 dni, odsetki i rekompensata.

Przykład: ryczałt 4 500 zł, awaria ERP przez 19 godzin – ile wynosi kara i co pokrywa

Firma handlowa, 60 użytkowników ERP, umowa serwisowa z ryczałtem 4 500 zł netto/mies., tryb 12×5 (7:00–19:00 w dni robocze). SLA: priorytet krytyczny – reakcja 1 h, naprawa 8 h; kara 1% ryczałtu za każdą rozpoczętą godzinę przekroczenia czasu naprawy; limit 50% ryczałtu miesięcznie; dostępność 99,5% miesięcznie, kara 5% za każde 0,1 p.p. poniżej.

Przebieg: zgłoszenie we wtorek 8:10 (serwer bazy danych nie startuje), inżynier podjął diagnozę 8:40 (reakcja 30 min – OK), przywrócenie pracy w środę 11:10. Czas naprawy liczony w godzinach świadczenia usługi: wtorek 8:10–19:00 = 10 h 50 min, środa 7:00–11:10 = 4 h 10 min, razem 15 h, czyli 7 h przekroczenia (15 − 8). Kara: 7 × 1% × 4 500 zł = 315 zł.

Dostępność: niedostępność to 27 godzin zegarowych (8:10 wtorek – 11:10 środa) = 1 620 minut; przy 43 200 minutach w miesiącu dostępność wyniosła 96,25%, czyli 32,5 „stopnia” po 0,1 p.p. poniżej celu. Kara: 32,5 × 5% × 4 500 zł = 7 312 zł – ale limit 50% ryczałtu ścina ją do 2 250 zł. Łączna kara w miesiącu: 2 250 zł (limit), odszkodowanie uzupełniające możliwe tylko, jeśli zapisano je w umowie i firma udowodni szkodę (np. koszty nadgodzin w magazynie, utracone zamówienia).

Wniosek, który widać na liczbach: przy limicie 10–20% (450–900 zł) kara byłaby symboliczna wobec 19 godzin stania magazynu. Jeśli dostawca nie godzi się na wyższy limit, alternatywą jest bonifikata w kolejnej fakturze plus prawo wypowiedzenia umowy bez okresu wypowiedzenia po dwóch naruszeniach SLA w kwartale – zapis, który porządkuje relację skuteczniej niż procesy.

Dane osobowe, dostęp zdalny i podwykonawcy – czego wymaga art. 28 RODO od serwisanta

Firma serwisowa, która loguje się do ERP, systemu kadrowego czy skrzynek pocztowych, przetwarza dane osobowe w imieniu klienta – nawet jeśli „tylko naprawia”. Wymaga to umowy powierzenia (art. 28 ust. 3 RODO) z określonym przedmiotem, czasem, charakterem i celem przetwarzania, rodzajem danych i kategoriami osób oraz obowiązkami procesora. Brak takiej umowy to naruszenie po stronie administratora (czyli Twojej firmy), a nie serwisanta; UODO nakłada za to kary – przegląd obowiązkowych elementów i checklistę zawiera poradnik Umowa powierzenia (art. 28 RODO) – checklista dla dostawców IT.

Elementy techniczne, które warto wpisać do umowy serwisowej lub załącznika bezpieczeństwa:

• dostęp zdalny wyłącznie przez wskazane narzędzie (VPN, bastion, sesje nagrywane), konta imienne dla każdego inżyniera, brak współdzielonych haseł administratora;
• zgłaszanie incydentów bezpieczeństwa w ciągu 24 godzin od wykrycia (administrator ma 72 h na zgłoszenie do UODO – art. 33 RODO, więc 48 h dla procesora to już za późno);
• lista podwykonawców i prawo sprzeciwu wobec nowych (art. 28 ust. 2 RODO), zakaz przetwarzania poza EOG bez zgody;
• zakaz kopiowania baz produkcyjnych „do testów” na sprzęt dostawcy bez anonimizacji;
• po zakończeniu umowy – usunięcie lub zwrot danych i pisemne potwierdzenie (art. 28 ust. 3 lit. g RODO).

Dla firm objętych od 2025–2026 r. przepisami o cyberbezpieczeństwie (NIS2 i nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa) umowy z dostawcami IT stają się elementem zarządzania ryzykiem łańcucha dostaw – audytor zapyta nie o to, czy umowa serwisowa istnieje, lecz czy zawiera zapisy o incydentach, dostępie i ciągłości działania.

Plan wyjścia i przegląd wszystkich umów serwisowych w firmie – jak to zrobić w godzinę z AI

Najdroższy zapis umowy serwisowej to ten, którego nie ma: plan wyjścia. Gdy współpraca się kończy (upadłość dostawcy, przejęcie, konflikt), firma musi dostać hasła administracyjne, dokumentację konfiguracji, kopie zapasowe w czytelnym formacie, licencje i kody źródłowe modyfikacji, jeśli były robione na zamówienie. Zapis minimalny: „W okresie wypowiedzenia Wykonawca przekaże […] oraz przez 30 dni będzie współpracował z nowym wykonawcą; wynagrodzenie za ten okres jest objęte ryczałtem”. Bez tego przejęcie systemu przez nową firmę trwa tygodnie i kosztuje więcej niż rok ryczałtu.

Druga sprawa to skala. Średnia firma 50–250 osób ma zwykle 8–20 umów serwisowych: ERP, sprzęt i sieć, drukarki, telefonia, strona i hosting, system kadrowy, kasy fiskalne, monitoring, klimatyzacja serwerowni, oprogramowanie branżowe. Każda ma inny okres wypowiedzenia, inny limit kar, inną definicję czasu reakcji – a większość z nich przedłuża się automatycznie. Pytania, na które warto umieć odpowiedzieć w kwadrans:

• które umowy serwisowe nie mają umowy powierzenia, choć dostawca ma dostęp do danych osobowych;
• w których umowach kara za niedotrzymanie SLA ma limit poniżej 30% ryczałtu albo nie ma jej wcale;
• które umowy przedłużą się automatycznie w ciągu 90 dni i do kiedy trzeba złożyć wypowiedzenie (pomaga kalkulator terminu wypowiedzenia);
• w których umowach dostępność liczona jest rocznie, a nie miesięcznie;
• które umowy nie mają planu wyjścia ani obowiązku przekazania haseł.

Takie pytania zadaje się dziś całemu archiwum, a nie każdemu plikowi osobno. DocuMind AI indeksuje skany i PDF-y umów na serwerze firmy (on-premise lub prywatna instancja 127AI w Polsce), wyciąga daty, okresy wypowiedzenia, limity kar i definicje SLA do rejestru, a odpowiedzi podaje z cytatem i numerem strony – jednocześnie sprawdzając zapisy z przepisami w bazie polskiego prawa (164 744 akty z Dz.U. i M.P.). Moduł Audytor AI porównuje umowy między sobą: pokaże, że umowa z dostawcą ERP wymaga zgłoszenia incydentu w 24 h, a z firmą hostingową – „bez zbędnej zwłoki”, i że obie powołują się na ten sam regulamin bezpieczeństwa, którego nikt nie zaktualizował od 2022 r. Jak takie sprzeczności wyglądają w praktyce, pokazuje poradnik Jak AI znajduje sprzeczności między umowami, regulaminami i procedurami. Faktury z KSeF trafiają do systemu automatycznie, więc widać też, czy dostawca fakturuje ryczałt zgodnie z umową i czy potrącono należne bonifikaty.

Abonamenty DocuMind: Start 200 zł, Firma 490 zł, Biznes 990 zł netto miesięcznie. Przegląd umów serwisowych to zwykle pierwszy tydzień wdrożenia – i pierwsza lista zapisów do renegocjacji.

Najczęstsze pytania

Inne poradniki