Rozdział | Chambers | 2026
Opisaliśmy dla Chambers and Partners, jak w Polsce działają umowy outsourcingu IT i jak zmieniają je nowe przepisy: od DORA i nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (NIS2), przez Data Act i AI Act, po przejście pracowników do dostawcy.
Chambers Technology & Outsourcing 2026 to przewodnik z serii Chambers Global Practice Guides wydawnictwa Chambers and Partners. Kancelarie z poszczególnych państw opisują w nim prawo outsourcingu IT i usług biznesowych według wspólnego układu, więc porównasz Polskę z innymi jurysdykcjami punkt po punkcie.
Rozdział o Polsce napisali Michał Wołoszański, Łukasz Kudela, Marta Solarska-Kaleńczuk i Kinga Miller z Wołoszański & Wspólnicy. Składa się z części Law and Practice w pięciu działach (warunki rynkowe, otoczenie regulacyjne, modele umów outsourcingowych, postanowienia umowne i sprawy pracownicze) oraz z artykułu Trends and Developments o przeglądzie i renegocjacji krytycznych umów IT. Wydawca podaje datę ostatniej aktualizacji: 27 października 2026 r. Pełny tekst przeczytasz na stronie Chambers (otwiera się w nowej karcie).
Polska nie ma ogólnej ustawy o outsourcingu: umowy outsourcingu IT opierają się na swobodzie umów z Kodeksu cywilnego. Wymogi dokładają przepisy sektorowe, przede wszystkim dla finansów, telekomunikacji, ochrony zdrowia i sektora publicznego.
Typowa umowa outsourcingu IT jest umową mieszaną. Wdrożenie podlega zwykle przepisom o umowie o dzieło, utrzymanie przepisom o świadczeniu usług, a oprogramowanie licencji albo przeniesieniu praw autorskich. Kwalifikacja ma skutki praktyczne. Przy dziele klientowi przysługuje rękojmia, a przed ukończeniem dzieła może odstąpić od umowy, płacąc umówione wynagrodzenie pomniejszone o to, co wykonawca zaoszczędził. Przy usługach każda strona może wypowiedzieć umowę, a według przeważającego poglądu prawa do wypowiedzenia z ważnych powodów nie można się zrzec z góry.
Liczy się też forma. Przeniesienie autorskich praw majątkowych do oprogramowania i licencja wyłączna wymagają formy pisemnej, czyli podpisu własnoręcznego albo kwalifikowanego podpisu elektronicznego; zwykły ani zaawansowany podpis elektroniczny nie wystarczą. Umowa obejmuje tylko pola eksploatacji wymienione w niej wprost.
Skalę rynku pokazują dane ABSL przytoczone w rozdziale: na koniec I kwartału 2026 r. w Polsce działało 2179 centrów usług prowadzonych przez 1303 firmy, a sektor zatrudniał około 500 tys. osób.
DORA, czyli unijne rozporządzenie (UE) 2022/2554 o operacyjnej odporności cyfrowej sektora finansowego, stosuje się od 17 stycznia 2025 r. do banków, instytucji płatniczych, ubezpieczycieli, firm inwestycyjnych i innych podmiotów finansowych. Polska ustawa, która przyznaje KNF odpowiednie uprawnienia nadzorcze, obowiązuje od 7 sierpnia 2025 r. Dostawców uznanych za krytycznych nadzoruje się bezpośrednio na poziomie UE, ale większość dostawców IT DORA obejmuje pośrednio: wymogi trafiają do nich przez umowy z klientami finansowymi, a ich zakres zależy od tego, czy usługa wspiera funkcję krytyczną lub istotną.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża dyrektywę NIS2 (UE) 2022/2555, obowiązuje od 3 kwietnia 2026 r. Podmioty kluczowe i ważne istniejące w tym dniu musiały złożyć wniosek o wpis do wykazu do 3 października 2026 r. Na wdrożenie obowiązków, w tym systemu zarządzania bezpieczeństwem informacji, mają czas do 3 kwietnia 2027 r.
Ustawa wyróżnia dostawców usług zarządzanych i zarządzanych usług bezpieczeństwa (managed service providers). Według wytycznych Ministerstwa Cyfryzacji opisanych w rozdziale obejmuje to także spółkę, która świadczy usługi bezpieczeństwa tylko w ramach grupy, a helpdesk jest usługą zarządzaną.
Kary sięgają milionów euro albo określonego procentu rocznego przychodu i są wyższe dla podmiotów kluczowych niż dla ważnych. Osoby kierujące podmiotem mogą odpowiadać osobiście. Według rozdziału kar co do zasady nie nałoży się przed kwietniem 2028 r., ale odroczenie nie obejmuje kary nadzwyczajnej w najpoważniejszych przypadkach.
Minister Cyfryzacji może uznać dostawcę za dostawcę wysokiego ryzyka, a produkty objęte decyzją trzeba wycofać w wyznaczonym terminie. Według rozdziału w chwili wejścia ustawy w życie nie opublikowano żadnej takiej listy.
Banki mają dodatkowo odrębny reżim outsourcingu w Prawie bankowym: ustawa określa treść umowy i przewiduje zawiadomienie KNF, która może zgłosić sprzeciw. Dla banków DORA ma pierwszeństwo przed krajowymi przepisami KSC o zarządzaniu ryzykiem i zgłaszaniu incydentów, ale procedura dostawcy wysokiego ryzyka stosuje się także do nich. Rynek kryptoaktywów omawiamy osobno w rozdziale Chambers o regulacji kryptoaktywów w Polsce.
Unijny akt w sprawie danych (Data Act, rozporządzenie (UE) 2023/2854) stosuje się od 12 września 2025 r. Daje klientom usług przetwarzania danych, w tym chmury, ustawowe prawo do zmiany dostawcy, eksportu danych w ustrukturyzowanym formacie i pomocy przy przejściu.
Okres wypowiedzenia przy zmianie dostawcy nie może przekraczać dwóch miesięcy, a domyślny okres przejściowy wynosi 30 dni. Od 12 stycznia 2027 r. dostawca nie może pobierać opłat za zmianę dostawcy, z ograniczonymi wyjątkami, m.in. lżejszym reżimem dla usług tworzonych na indywidualne zamówienie. Zakaz nie dotyczy zwykłych opłat za usługę ani uzgodnionych opłat za wcześniejsze rozwiązanie umowy.
Polska ustawa o systemach sztucznej inteligencji, która uzupełnia unijne rozporządzenie o AI (AI Act, (UE) 2024/1689), obowiązuje od 11 sierpnia 2026 r. Przepisy o nadzorze, kontrolach i karach stosuje się od 28 października 2026 r. Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI).
Rozporządzenie Digital Omnibus ((UE) 2026/1744) przesunęło obowiązki dla systemów AI wysokiego ryzyka na 2 grudnia 2027 r. i 2 sierpnia 2028 r., zależnie od kategorii systemu. Rozdział podkreśla, że zakres AI Act zależy od faktycznego użycia AI i ról stron: to, że dostawca używa asystenta kodowania AI, samo w sobie nie czyni klienta dostawcą (provider) ani podmiotem stosującym (deployer) systemu AI. Jak przygotować wdrożenie AI w firmie, opisujemy na stronie prawo nowych technologii.
Kara umowna w polskiej umowie outsourcingu IT należy się bez wykazywania szkody, ale co do zasady tylko za zobowiązania niepieniężne; kara za opóźnienie w zapłacie grozi nieważnością. Sąd może obniżyć karę rażąco wygórowaną albo gdy zobowiązanie wykonano w znacznej części. Odszkodowania ponad karę możesz żądać zwykle tylko wtedy, gdy umowa wyraźnie na to pozwala.
Według rozdziału na rynku kary za opóźnienie ogranicza się zwykle procentem wartości umowy, a po osiągnięciu limitu klient może odstąpić od umowy. Kredyty serwisowe (service credits) to najczęściej obniżka ceny, więc umowa powinna przesądzić, czy są jedynym środkiem ochrony klienta.
Kodeks cywilny nie dzieli szkody na bezpośrednią i pośrednią (direct and indirect loss): decyduje adekwatny związek przyczynowy, a odszkodowanie obejmuje stratę i utracone korzyści. Dlatego klauzule przeniesione z umów angielskich trzeba zdefiniować w języku polskiego prawa. Odpowiedzialności za szkodę wyrządzoną umyślnie nie wyłączysz z góry, a na rynku częste są limity w wysokości 100% rocznych opłat albo całej wartości umowy.
Roszczenia między przedsiębiorcami przedawniają się co do zasady po trzech latach, z końcem roku kalendarzowego, a przy umowie o dzieło i niektórych roszczeniach usługodawców po dwóch latach. Licencję na czas nieoznaczony licencjodawca może wypowiedzieć z rocznym wyprzedzeniem na koniec roku kalendarzowego, jeśli umowa nie stanowi inaczej. Licencję udzieloną na ponad pięć lat po upływie tego terminu uważa się za udzieloną na czas nieoznaczony.
Umowa IT musi pozwolić klientowi dotrzymać trzech terminów zgłoszeń. Naruszenie ochrony danych osobowych zgłaszasz organowi bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin, chyba że jest mało prawdopodobne, by powodowało ryzyko naruszenia praw lub wolności osób (RODO). Ustawa o KSC wymaga wczesnego ostrzeżenia w ciągu 24 godzin i zgłoszenia incydentu w ciągu 72 godzin, a potem raportu końcowego. Poważny incydent w rozumieniu DORA wymaga wstępnego zgłoszenia w ciągu 4 godzin od zakwalifikowania, nie później niż 24 godziny od powzięcia wiedzy.
Te zgłoszenia mogą się nakładać, więc klauzula incydentowa powinna mówić, jakie informacje dostawca przekaże w każdym z tych terminów i ile kosztuje jego pomoc. Według rozdziału rynek oczekuje też testów odtwarzania co najmniej raz w roku, z wynikami przekazanymi klientowi.
Umowa powierzenia przetwarzania danych osobowych wymaga formy pisemnej, która obejmuje formę elektroniczną; kwalifikowany podpis nie jest konieczny. Polska nie ma ogólnego wymogu lokalizacji danych, ale DORA wymaga, by umowa wskazywała miejsca świadczenia usług i przetwarzania danych. Transfer danych poza Europejski Obszar Gospodarczy (EOG) wymaga decyzji Komisji o odpowiednim stopniu ochrony, standardowych klauzul umownych albo innego mechanizmu z RODO.
Gdy razem z funkcją przechodzi do dostawcy zakład pracy lub jego część, pracownicy przechodzą z mocy prawa, na dotychczasowych warunkach (art. 231 Kodeksu pracy, przejście zakładu pracy). Decyduje, czy jednostka gospodarcza zachowuje tożsamość: działalność, składniki majątku, personel, klientów i ciągłość. Sama zmiana wykonawcy usługi nie przenosi pracowników.
Przejście nie może być przyczyną wypowiedzenia. Gdy u pracodawcy nie działa związek zawodowy, pracodawcy informują pracowników co najmniej 30 dni przed przejściem, a pracownik może w ciągu dwóch miesięcy od przejścia rozwiązać stosunek pracy bez wypowiedzenia, za siedmiodniowym uprzedzeniem. Przy przejściu części zakładu dotychczasowy i nowy pracodawca odpowiadają solidarnie za zobowiązania sprzed przejścia. Kontraktorów B2B przepisy o przejściu nie obejmują.
Outsourcing ogranicza ryzyka pracownicze tylko wtedy, gdy jest rzeczywisty. Od 8 lipca 2026 r. Państwowa Inspekcja Pracy może decyzją stwierdzić istnienie stosunku pracy, gdy umowa cywilnoprawna lub B2B ma cechy pracy podporządkowanej. Codzienne kierowanie pracą ludzi dostawcy przez klienta zwiększa to ryzyko.
Od 5 listopada 2026 r. zacznie obowiązywać nowa definicja mobbingu w Kodeksie pracy (uporczywe nękanie). Według rozdziału obejmie ona także zachowania osób, które pracują na innej podstawie niż umowa o pracę, np. osób z zespołu dostawcy. Dlatego gdy ludzie klienta i dostawcy pracują obok siebie, umowa powinna zawierać zasady postępowania i eskalacji. Polska nie wdrożyła jeszcze w pełni unijnej dyrektywy o jawności wynagrodzeń ((UE) 2023/970), choć termin minął 7 czerwca 2026 r. Pracę zdalną Kodeks pracy reguluje od kwietnia 2023 r., w tym do 24 dni okazjonalnej pracy zdalnej w roku na wniosek pracownika; pracodawca może taki wniosek odrzucić.
Artykuł Trends and Developments w rozdziale wskazuje cztery regulacyjne zegary, które naraz dotykają istniejących umów IT: DORA, Data Act, nowelizację ustawy o KSC oraz AI Act z polską ustawą. Pierwszy krok to ustalenie, które z tych reżimów w ogóle stosują się do danej umowy i funkcji.
Według autorów starsze umowy najczęściej zawodzą w pięciu miejscach: prawo audytu bez raportów i bez dostępu nadzorcy, nieznany łańcuch podwykonawców, klauzula incydentowa bez terminów 4, 24 i 72 godzin, wyjście z umowy (exit) bez danych, formatów, okresu przejściowego i ceny oraz niezdefiniowane pojęcie szkody pośredniej.
Rozdział radzi zacząć od praw, które już masz z umowy i z ustawy, w tym od ustawowego prawa wypowiedzenia umowy o świadczenie usług z ważnych powodów i od możliwości zabezpieczenia roszczenia. Potem negocjuj pakietowo, np. pełna widoczność podwykonawców i exit zgodny z Data Act w zamian za przedłużenie umowy. Odróżniaj trzy rodzaje zmian: opis istniejących zabezpieczeń, nowe zdolności, które dostawca może wycenić, oraz obowiązki, które już na nim ciążą i nie są płatnym dodatkiem.
Klienci żądają też klauzuli na wypadek uznania dostawcy za dostawcę wysokiego ryzyka: oświadczenia o pochodzeniu krytycznych komponentów, obowiązku zawiadomienia, wymiany na koszt dostawcy albo na uzgodnionych warunkach i prawa wypowiedzenia bez kary, gdy wymiana jest niemożliwa. Dostawcy zabiegają z kolei o prawo zastąpienia komponentów i rozsądny termin na to. W sektorze publicznym Prawo zamówień publicznych ogranicza zmiany umów, więc klauzule przeglądowe trzeba przewidzieć już w pierwszej wersji umowy.
Rozdział kończy się listą kontrolną na lata 2026 i 2027. Zacznij od mapy: które reżimy (DORA, KSC, Data Act, AI Act) stosują się do której umowy i funkcji oraz które umowy wspierają funkcje krytyczne lub istotne, usługi kluczowe albo przetwarzanie danych osobowych na dużą skalę.
Potem sprawdź każdą ważną umowę IT. Czy wskazuje każdego podwykonawcę, jego lokalizację i zasady zmiany? Czy klauzula incydentowa dostarcza informacje w terminach 4, 24 i 72 godzin, a pomoc dostawcy ma cenę? Czy plan wyjścia wskazuje dane, formaty, interfejsy, okres przejściowy i cenę, a eksport danych został przetestowany?
Na koniec odpowiedzialność i zdarzenia nadzwyczajne. Czy pojęcia odpowiedzialności są zdefiniowane w języku polskiego prawa, a koszty odtworzenia danych i kary regulacyjne jasno przypisane? Czy masz procedurę na wypadek uznania dostawcy za dostawcę wysokiego ryzyka, zmiany miejsca świadczenia usług albo upadłości podwykonawcy? W sektorze publicznym: czy zmiana mieści się w zasadach zamówień publicznych?
Według autorów przegląd i renegocjacja istniejących umów pozostaną główną formą pracy przy outsourcingu w Polsce do końca 2027 r.
Stan prawny: według rozdziału zaktualizowanego przez wydawcę 27 października 2026 r. Przepisy mogą się zmienić, dlatego aktualny stan sprawdź z nami przed decyzją.
Rozdział opublikowany w: Chambers Global Practice Guides - Technology & Outsourcing 2026, Poland (otwiera się w nowej karcie) (Chambers and Partners).
Zwykle pośrednio: DORA nakłada obowiązki przede wszystkim na podmioty finansowe, a do dostawcy IT trafiają one przez umowę z klientem finansowym.
O zakresie decyduje, czy usługa wspiera funkcję krytyczną lub istotną klienta. Dostawca usług cyfrowych albo usług danych dla podmiotu finansowego jest dostawcą usług ICT w rozumieniu DORA i trafia do rejestru informacji klienta. Usługi świadczone przez ludzi, np. obsługę klienta, ocenia się według ich faktycznego charakteru, a nie nazwy.
Niezależnie od DORA dostawca chmury, usług zarządzanych albo zarządzanych usług bezpieczeństwa może sam podlegać ustawie o KSC.
Od 12 stycznia 2027 r. nie: Data Act znosi opłaty za zmianę dostawcy usług przetwarzania danych, z ograniczonymi wyjątkami.
Lżejszy reżim dotyczy usług tworzonych na indywidualne zamówienie klienta. Zakaz nie obejmuje zwykłych opłat za usługę ani uzgodnionych w umowie opłat za wcześniejsze rozwiązanie umowy.
Sprawdź, czy plan wyjścia z umowy wskazuje dane, formaty, interfejsy, okres przejściowy i cenę. Przetestuj eksport danych, zanim zaczniesz negocjacje.
Tak: od 8 lipca 2026 r. Państwowa Inspekcja Pracy może decyzją stwierdzić istnienie stosunku pracy, gdy umowa B2B ma cechy pracy podporządkowanej.
Decyzję poprzedza polecenie usunięcia naruszenia. Dopiero gdy nie zostanie wykonane, inspekcja wydaje decyzję, a od niej przysługuje odwołanie do sądu pracy.
Ryzyko rośnie, gdy klient na co dzień kieruje pracą kontraktorów dostawcy, np. w modelu body leasingu. Przekwalifikowanie ma też skutki podatkowe i składkowe.
Nie: kara administracyjna obciąża podmiot regulowany i nie da się jej przenieść umową na dostawcę.
Według rozdziału sporne jest też, czy klient może dochodzić równowartości takiej kary od dostawcy jako odszkodowania. Dlatego umowa powinna jasno dzielić ryzyko: obowiązki dostawcy przy incydentach, koszty odtworzenia danych i współpracę z organem nadzoru.
W outsourcingu bankowym dostawca nie może wyłączyć odpowiedzialności wobec banku za szkodę wyrządzoną klientom banku.
Przed sądem powszechnym albo w arbitrażu: przy większych umowach do wyboru są m.in. Sąd Arbitrażowy przy Krajowej Izbie Gospodarczej i Sąd Arbitrażowy Lewiatan.
Według rozdziału sprawa gospodarcza w Warszawie trwa zwykle kilka lat do wyroku pierwszej instancji. Polski sąd może udzielić zabezpieczenia zarówno w sprawie sądowej, jak i arbitrażowej, jeśli uprawdopodobnisz roszczenie i interes prawny.
Ustawowe prawo wypowiedzenia umowy o świadczenie usług z ważnych powodów i możliwość zabezpieczenia wzmacniają Twoją pozycję w negocjacjach.
Powiązana usługa
Przygotowujemy i negocjujemy umowy IT, SaaS i chmurowe, w tym umowy outsourcingu IT, z uwzględnieniem przepisów opisanych w rozdziale. Zobacz, jak pracujemy z firmami IT, albo przeczytaj cały rozdział u wydawcy.
