Contracte B2B în IT 2026: 5 Clauze Obligatorii (NIS2, DORA, AI)

Capitolul 1: Introducere în Noua Paradigmă a Contractelor IT (2026)

1.1. Contextul Macroeconomic și Legislativ al Anului 2026

Peisajul afacerilor din România traversează, în primul trimestru al anului 2026, cea mai profundă transformare structurală din ultimul deceniu. Perioada de "laissez-faire" în contractarea serviciilor digitale, caracterizată prin acorduri sumare și o reglementare relaxată, a luat sfârșit. Ne aflăm într-o eră a hiper-reglementării digitale, dictată de convergența a trei vectori legislativi majori: securitatea cibernetică (NIS2), reziliența operațională financiară (DORA) și guvernanța inteligenței artificiale (AI Act).

Această schimbare de paradigmă nu este doar birocratică; ea redefinește însăși natura activului comercial în industria IT. Dacă până în 2024, valoarea unui contract B2B (Business-to-Business) rezida primar în funcționalitatea software-ului livrat, în 2026, valoarea și validitatea contractului sunt intrinsec legate de conformitatea juridică și de capacitatea furnizorului de a nu deveni un vector de risc pentru beneficiar. Statisticile actuale indică faptul că peste 35% din litigiile comerciale noi înregistrate la instanțele din București și Cluj în 2025 au avut ca obiect neexecutarea obligațiilor de securitate sau încălcări ale proprietății intelectuale în contextul utilizării AI generativ.

Mai mult, contextul fiscal al anului 2026, marcat de modificările Codului Fiscal intrate în vigoare la 1 ianuarie, a pus o presiune imensă pe fluxurile de numerar ale companiilor. Trecerea multor microîntreprinderi la impozitul pe profit și creșterea taxării dividendelor au făcut ca marjele de profit să fie mai sensibile la orice întârziere de plată sau penalitate contractuală. Astfel, contractul devine principalul instrument de protecție a lichidității.

1.2. Misiunea Raportului

Prezentul raport, elaborat din perspectiva expertizei juridice și de consultanță în afaceri a echipei extinse asociate platformei infiintarefirmebucuresti.ro, își propune să discece anatomia unui contract IT robust în 2026. Documentul nu se adresează doar juriștilor, ci în egală măsură fondatorilor de companii IT, directorilor tehnici (CTO) și managerilor de achiziții care trebuie să navigheze prin complexitatea OUG 155/2024 și a Regulamentului DORA.

Analiza se va concentra pe cinci piloni contractuali esențiali, trecând dincolo de teoria juridică pură către aplicabilitatea practică: cum negociem, cum formulăm și cum ne protejăm în fața unor parteneri comerciali din ce în ce mai exigenți și a unor autorități de reglementare (DNSC, ANSPDCP, Consiliul Concurenței) cu puteri de sancționare extinse.

Capitolul 2: Cadrul Legal Fundamental și Responsabilitatea Corporativă

Înainte de a analiza clauzele specifice, este imperativă înțelegerea fundației legale pe care se construiesc relațiile comerciale în 2026. Ignorarea acestor baze poate atrage nulitatea contractelor sau răspunderea personală a administratorilor.

2.1. Legea 31/1990 și Răspunderea Administratorilor în Era Digitală

Deși Legea societăților (Legea 31/1990) este un act normativ „veteran”, interpretarea sa în 2026 s-a adaptat noilor riscuri. Articolele 72 și 73, care reglementează obligațiile și răspunderea administratorilor, sunt acum citite de instanțe în cheia "business judgment rule" aplicată securității cibernetice.

Un administrator al unei companii IT (sau al unui client care achiziționează servicii IT) nu mai poate invoca necunoașterea aspectelor tehnice pentru a se exonera de răspundere în cazul unui atac cibernetic facilitat de un contract prost negociat. Dacă o companie suferă prejudicii majore (amenzi NIS2, pierderi de date) din cauza lipsei unor clauze de securitate în contractele cu furnizorii, administratorul poate fi tras la răspundere patrimonială pentru management defectuos.

2.2. Codul Fiscal 2026: Impactul asupra Prețurilor și Plăților

Modificările fiscale intrate în vigoare la 1 ianuarie 2026 au reconfigurat strategiile de pricing în contractele B2B.

• Impozitarea Microîntreprinderilor: Pragurile de încadrare au devenit mai restrictive. Multe agenții de software development au fost forțate să treacă la impozitul pe profit de 16%. Aceasta a generat o presiune de creștere a tarifelor cu aproximativ 10-15% pentru a menține marja netă.
• e-Factura Generalizată: Sistemul RO e-Factura este acum singura modalitate validă de facturare în relațiile B2B. Contractele trebuie să reflecte acest lucru: clauza de plată nu mai este legată de "primirea facturii pe email", ci de "disponibilizarea facturii în Spațiul Privat Virtual (SPV)". Orice întârziere în încărcarea facturii în SPV devine o întârziere contractuală a furnizorului, justificând amânarea plății de către beneficiar.

2.3. Triada Conformității: NIS2, DORA, AI Act

Aceste trei reglementări formează "Triunghiul Bermudelor" pentru contractele neadaptate.

• NIS2 (Transpusă prin Legea 124/2025 și OUG 155/2024): Extinde obligațiile de securitate la întregul lanț de aprovizionare. Un furnizor de servicii IT pentru un spital (Entitate Esențială) devine automat subiect de audit și control.
• DORA (Regulamentul UE 2022/2554): Impune sectorului financiar (bănci, asigurători) să dicteze clauze specifice furnizorilor lor de tehnologie (ICT Third-Party Providers). Articolul 30 din DORA este ne-negociabil.
• AI Act: Reglementează utilizarea sistemelor de inteligență artificială, impunând transparență și managementul riscului, cu impact direct asupra clauzelor de proprietate intelectuală și garanție.

Capitolul 3: Clauza 1 - Securitate Cibernetică și Lanțul de Aprovizionare

3.1. De la "Eforturi Rezonabile" la Obligații de Rezultat

În contractele anterioare anului 2024, clauzele de securitate erau adesea formulate vag: "Părțile vor depune eforturi rezonabile comercial pentru a proteja datele". În 2026, sub imperiul Directivei NIS2 și al OUG 155/2024, o astfel de formulare este periculoasă.

Articolul 21 din NIS2 (și corespondentul său din legislația națională) obligă entitățile să gestioneze riscurile de securitate în relația cu furnizorii direcți. Aceasta transformă contractul B2B într-un instrument de conformitate legală. Beneficiarul nu mai cere securitate doar pentru a-și proteja secretele, ci pentru a evita amenzile administrative care pot ajunge la 10 milioane de euro sau 2% din cifra de afaceri.

3.2. Structura Clauzei de Securitate "NIS2 Ready"

O clauză modernă de securitate trebuie să abordeze specific, măsurabil și audibil următoarele aspecte:

A. Standarde de Referință și Certificări

Nu este suficient să se solicite "securitate adecvată". Contractul trebuie să specifice standardul:

• ISO/IEC 27001:2022: A devenit standardul de facto pentru furnizorii care doresc să lucreze cu clienți Enterprise.
• Cadrul NIST sau Controalele CIS: Alternative acceptate, cu condiția specificării nivelului de implementare.

Formulare recomandată: "Furnizorul garantează menținerea certificării ISO 27001 pe toată durata Contractului. Orice suspendare sau revocare a certificării va fi notificată Beneficiarului în termen de 24 de ore și constituie motiv de reziliere pentru culpă (material breach)."

B. Dreptul de Audit (Right to Audit) - Cerință Critică DORA

Regulamentul DORA (Art. 30) impune instituțiilor financiare să aibă dreptul contractual de a audita furnizorii. Aceasta este o zonă de fricțiune majoră în negocieri.

• Perspectiva Beneficiarului: Trebuie să aibă acces nelimitat la audit, inclusiv prin auditori terți, pentru a satisface cerințele ASF/BNR.
• Perspectiva Furnizorului: Un audit este disruptiv și costisitor. Furnizorul trebuie să limiteze frecvența (ex: o dată pe an), să solicite notificare prealabilă (ex: 10 zile) și să protejeze datele altor clienți găzduite pe aceeași infrastructură (multi-tenancy).
• Compromisul 2026: Auditurile de securitate (Penetration Testing) sunt efectuate de furnizor anual, pe cheltuiala sa, de către o firmă acreditată CREST/OSCP, iar raportul executiv este partajat cu clientul. Clientul își păstrează dreptul de a efectua audituri proprii doar în caz de incident de securitate sau dacă o cere autoritatea de reglementare (audit for cause).

C. Managementul Incidentelor și Notificarea

OUG 155/2024 impune termene draconice pentru raportarea incidentelor către DNSC: "Avertizare timpurie" în 24 de ore și "Notificare incident" în 72 de ore.

• Impact Contractual: Pentru ca Beneficiarul să respecte termenul de 24 de ore față de DNSC, Furnizorul trebuie să îl notifice pe Beneficiar mult mai repede.
• SLA de Notificare: Standardul pieței este acum de 4 până la 12 ore de la momentul detectării incidentului.
• Conținutul Notificării: Trebuie să includă natura incidentului, datele afectate, măsurile imediate luate și impactul estimat. O simplă notificare "am avut o problemă" este insuficientă juridic.

Tabel de Analiză Comparativă: Clauze Vechi vs. Clauze Noi (2026)

Tip Clauză	Abordare Tradițională (Riscată)	Abordare Modernă (Conformă NIS2/DORA)
Standarde	"Industry best practices" (vag)	ISO 27001 / NIST SP 800-171 obligatorii
Audit	Drept de audit limitat la documente	Acces fizic și logic la sisteme, inclusiv "pooled audits"
Incidente	Notificare "fără întârziere nejustificată"	Notificare în maxim 4-12 ore sub sancțiunea daunelor
Subcontractori	Permis cu notificare	Permis doar cu aprobare prealabilă și "flow-down" al obligațiilor
Testare	Nespecificat	Pen-testing anual obligatoriu (Gray Box / White Box)

Capitolul 4: Clauza 2 - Proprietatea Intelectuală în Era Inteligenței Artificiale

4.1. Dilema "Autorului" Non-Uman

Legea nr. 8/1996 privind dreptul de autor și drepturile conexe a fost concepută într-o epocă analogică. În 2026, utilizarea masivă a instrumentelor de coding asistat de AI (GitHub Copilot, ChatGPT, Claude) ridică probleme fundamentale de proprietate intelectuală. Jurisprudența europeană și cea americană converg către ideea că conținutul generat exclusiv de AI nu este protejabil prin drepturi de autor, lipsindu-i "amprenta personală" a creatorului uman.

Aceasta creează un risc enorm pentru beneficiarii contractelor de software development: dacă furnizorul livrează cod generat 100% de AI, beneficiarul ar putea să nu dețină, de fapt, un drept exclusiv asupra acelui cod, iar concurenții l-ar putea copia fără consecințe legale.

4.2. Garanțiile de "Non-Infringement" și Origine Umană

Contractele B2B din 2026 trebuie să abordeze frontal utilizarea AI.

• Garanția de Intervenție Umană: Furnizorul trebuie să garanteze că livrabilele sunt rezultatul efortului creativ uman sau că intervenția umană asupra output-ului AI a fost suficient de substanțială pentru a conferi originalitate operei.
• Clauza de Transparență AI (Conform AI Act): Furnizorul trebuie să declare ce instrumente AI folosește în procesul de dezvoltare. Multe corporații interzic utilizarea anumitor modele publice din motive de confidențialitate și risc de scurgere a datelor (data leakage) în seturile de antrenare publice.

4.3. Cesiune vs. Licențiere: Capcanele Clasice

Distincția dintre cesiune și licență rămâne vitală, dar capătă noi nuanțe.

• Cesiunea (Assignment): Transferul titlului de proprietate. Este esențială pentru software-ul dezvoltat la comandă ("Custom Software"). Legea 8/1996 impune ca cesiunea să fie scrisă și să specifice: drepturile cedate, teritoriul, durata și remunerația. Lipsa mențiunii remunerației distincte pentru cesiune poate duce la nulitate relativă sau la interpretarea că remunerația nu a fost plătită.
• Licența (License): Drept de utilizare, specific SaaS. Aici, riscul major în 2026 este legat de datele generate de utilizarea platformei. Cui aparțin datele agregate și anonimizate derivate din activitatea Beneficiarului? Furnizorii SaaS doresc să le folosească pentru antrenarea modelelor lor AI; Beneficiarii trebuie să decidă dacă permit acest lucru contractual.

Capitolul 5: Clauza 3 - Limitarea Răspunderii (Liability Caps) și Asigurările

5.1. Structura Modernă a Răspunderii: "Super-Caps"

Negocierea clauzei de limitare a răspunderii este, adesea, cel mai intens moment al finalizării contractului.

• Modelul Tradițional: Răspunderea furnizorului este limitată la 100% din valoarea contractului (sau valoarea pe ultimele 12 luni).
• Realitatea 2026: Acest plafon este insuficient pentru riscurile de securitate. Un contract de 50.000 EUR poate genera o amendă GDPR de 10 milioane EUR.

Soluția "Super-Cap": Se instituie plafoane diferențiate.

• Plafon General: 100% din valoarea contractului (pentru întârzieri, bug-uri funcționale).
• Plafon Mărit (Super-Cap): 300% - 500% sau o sumă fixă (ex: 2 milioane EUR) pentru încălcări de securitate a datelor (Data Breach) și încălcări ale confidențialității.
• Răspundere Nelimitată: Pentru fraudă, vătămare corporală, deces și încălcarea drepturilor de proprietate intelectuală (IP Infringement indemnification).

5.2. Asigurarea de Răspundere Profesională și Cyber

În 2026, clienții nu se mai bazează doar pe patrimoniul furnizorului pentru despăgubiri. Clauza de asigurare a devenit obligatorie în contractele B2B mature.

• Professional Indemnity (PI): Acoperă erorile și omisiunile în codare, neîndeplinirea specificațiilor tehnice.
• Cyber Liability Insurance: Acoperă costurile de răspuns la incident (investigație forensică, notificarea persoanelor afectate, costuri legale, uneori chiar și amenzile GDPR unde legea permite).

Cerința Contractuală: Furnizorul trebuie obligat să mențină polițele active pe toată durata contractului și, foarte important, pentru o perioadă de "run-off" (ex: 2-3 ani) după încetarea contractului, deoarece viciile ascunse sau breșele de securitate pot fi descoperite târziu.

Capitolul 6: Clauza 4 - SLA (Service Level Agreement) și Mecanismele de Recepție

6.1. Recepția: Călcâiul lui Ahile în Litigiile IT

Majoritatea litigiilor comerciale în IT nu pornesc de la hackeri, ci de la neînțelegeri asupra livrabilelor. "Nu este ceea ce am cerut" vs. "Este conform specificațiilor". Procedura de recepție trebuie să fie detaliată matematic în contract.

• Procedura de Testare la Acceptanță (UAT): Beneficiarul are o perioadă determinată (ex: 10 zile lucrătoare) pentru a testa livrabilul.
• Clasificarea Erorilor (Defect Severity):
  • Critic (Blocker): Sistemul nu poate fi utilizat. Recepția este blocată.
  • Major: Funcționalități cheie afectate, există workaround. Recepția se face condiționat.
  • Minor: Erori cosmetice. Recepția se face, remedierea intră în garanție.
• Acceptanța Tacită: O clauză vitală pentru furnizori. "Dacă Beneficiarul nu transmite o notificare scrisă de respingere motivată în termen de X zile, Livrabilele se consideră acceptate irevocabil." Aceasta previne blocarea plăților de către clienți indeciși.

6.2. SLA pentru Servicii Recurente (SaaS / Mentenanță)

DORA impune monitorizarea strictă a performanței furnizorilor critici. SLA-ul nu mai este un document tehnic anexat, ci o clauză juridică centrală.

• Disponibilitate vs. Fiabilitate: Definirea clară a "Uptime" (ex: 99.9%). Trebuie excluse ferestrele de mentenanță planificată (notificate cu 48h înainte) și cauzele de forță majoră.
• Service Credits (Penalități): Mecanismul standard de compensare. Dacă disponibilitatea scade sub 99.9%, furnizorul acordă un credit (reducere) de 10% pe factura lunii următoare. Dacă scade sub 95%, creditul poate fi 100% sau poate da dreptul la reziliere imediată (Chronic Failure Clause).
• Dreptul la Reziliere pentru Performanță Slabă: O clauză care permite Beneficiarului să iasă din contract dacă SLA-ul este încălcat repetat (ex: 3 luni consecutive), chiar dacă penalitățile au fost plătite.

Capitolul 7: Clauza 5 - Protecția Datelor (GDPR), Confidențialitate și Exit Strategy

7.1. GDPR în 2026: Maturitate și Sancțiuni

Deși GDPR este în vigoare din 2018, anul 2026 aduce o aplicare mult mai riguroasă a Acordurilor de Prelucrare a Datelor (DPA - Data Processing Agreements). Conform Art. 28 GDPR, DPA-ul este obligatoriu între Operator (Client) și Împuternicit (Furnizor IT).

• Sub-procesatori: Furnizorul trebuie să declare toți sub-procesatorii (ex: AWS, Google Cloud, developeri externi). Schimbarea acestora necesită notificare și drept de obiecție din partea clientului.
• Transferuri de Date: În contextul geopolitic actual, transferul datelor în afara Spațiului Economic European (SEE) este strict reglementat. Utilizarea developerilor din țări non-adecvate (ex: anumite state asiatice sau post-sovietice) necesită Clauze Contractuale Standard (SCC) și o Evaluare a Impactului Transferului (TIA).

7.2. Strategia de Ieșire (Exit Strategy & Transition Services)

Regulamentul DORA (Art. 28 și 30) a transformat "Exit Plan"-ul dintr-o bună practică într-o obligație legală pentru sectorul financiar, dar practica s-a extins în tot sectorul B2B. Dependența de un singur furnizor (Vendor Lock-in) este un risc operațional major.

Clauza de Reversibilitate: Contractul trebuie să prevadă obligația furnizorului ca, la încetarea contractului (din orice motiv, inclusiv reziliere pentru culpă), să ofere servicii de tranziție:

• Exportul Datelor: Într-un format structurat, comun, ne-proprietar (CSV, JSON, SQL), care să permită importul în alt sistem.
• Ștergerea Datelor: Certificarea distrugerii sigure a datelor de pe serverele furnizorului după migrare ("Crypto-shredding").
• Continuitatea Serviciului: Menținerea serviciilor active pe o perioadă de tranziție (ex: 3-6 luni) contra cost, pentru a permite migrarea fără întreruperi operaționale.

Capitolul 8: Recomandări Tactice și Operaționale

8.1. Pentru Furnizori (Vendori IT):

• Limitați Răspunderea: Nu acceptați clauze de răspundere nelimitată pentru daune indirecte. Luptați pentru un "Liability Cap" rezonabil.
• Definiți Clar "Scope of Work": Cele mai multe proiecte eșuează din cauza "Scope Creep" (extinderea necontrolată a cerințelor). Orice cerință nouă trebuie să treacă printr-un proces formal de "Change Request" cu impact asupra bugetului și timpului.
• Clauza de Inflație: În contractele multianuale, includeți o clauză de indexare automată a tarifelor cu rata inflației sau cu indicele costului orar al forței de muncă în IT (care crește constant în România).

8.2. Pentru Beneficiari (Clienți):

• Securitatea e Nenegociabilă: Dacă sunteți sub incidența NIS2, furnizorul vostru este vulnerabilitatea voastră. Impuneți audituri și standarde ISO.
• Dețineți Codul (IP): Asigurați-vă că cesiunea drepturilor se face pe măsură ce plătiți, nu la finalul proiectului. Evitați situația în care furnizorul intră în insolvență și voi nu aveți drepturile asupra codului plătit parțial.
• Verificați Asigurarea: Cereți copia poliței de asigurare a furnizorului înainte de a semna contractul.

Întrebări Frecvente (FAQ)

Sunt obligat să respect NIS2 dacă sunt o firmă mică de software?

Direct, s-ar putea să nu fiți o "Entitate Esențială". Însă, indirect, dacă clienții dumneavoastră sunt bănci, spitale, furnizori de energie sau transportatori, aceștia sunt OBLIGAȚI prin lege să vă impună cerințe stricte de securitate (Art. 21 NIS2). Refuzul de a accepta aceste clauze va duce la pierderea contractelor cu clienții mari.

Ce se întâmplă dacă nu am o clauză de "Exit Strategy" în contract?

Riscați "Vendor Lock-in". Dacă furnizorul crește prețurile abuziv sau scade calitatea serviciilor, vă va fi foarte greu și costisitor să plecați, deoarece datele dumneavoastră sunt "ostatice" în formatul lor proprietar. DORA sancționează lipsa planurilor de exit în sectorul financiar.

Poate fi limitată răspunderea pentru încălcarea GDPR?

Contractual, părțile pot agrea un plafon (cap). Totuși, în fața autorității (ANSPDCP), operatorul (Clientul) răspunde primar. Dacă operatorul este amendat din vina împuternicitului (Furnizorul), operatorul se poate întoarce împotriva furnizorului pentru recuperarea prejudiciului. De aceea, se recomandă "Super-Caps" pentru GDPR.

Este valabilă semnătura electronică pe contractele B2B?

Da. Conform Regulamentului eIDAS și Legii 455/2001, semnătura electronică calificată are valoarea juridică a semnăturii olografe. Este standardul recomandat pentru contractele B2B în 2026, facilitând încheierea rapidă a acordurilor la distanță.

Cum afectează AI Act contractele de dezvoltare software?

Impune obligații de transparență și garanții de conformitate. Dacă dezvoltați un sistem AI "High-Risk", aveți obligații legale de a menține documentație tehnică detaliată, log-uri automate și de a asigura supraveghere umană. Contractul trebuie să reflecte cine este responsabil pentru aceste obligații.

De ce să alegeți infiintarefirmebucuresti.ro pentru Consultanță Juridică?

Navigarea prin acest labirint legislativ necesită o echipă multidisciplinară. La infiintarefirmebucuresti.ro, înțelegem că un contract IT nu este doar un document legal, ci o specificație tehnică și de business.

Expertiză Integrată: Echipa noastră reunește avocați specializați în drept comercial, consultanți fiscali familiarizați cu regimul micro/profit 2026 și experți în conformitate GDPR/NIS2.

Servicii Dedicate Sectorului IT:

• Redactare Contracte IT: SaaS, Software Development, SLA, NDA, DPA – adaptate specificului tehnic, nu șabloane generice.
• Audit de Conformitate Contractuală: Analizăm contractele existente prin prisma DORA și NIS2 pentru a identifica riscurile ascunse.
• Înființare Firme & Consultanță Fiscală: Asistență completă pentru start-up-uri tech (coduri CAEN 6210, 6220, 5829), de la alegerea formei juridice optime la optimizare fiscală legală.
• Găzduire Sediu Social: Soluții rapide pentru sediul social, eliminând birocrația legată de acordul vecinilor.

Nu lăsați contractele să fie veriga slabă a afacerii dumneavoastră. Contactați-ne pentru o evaluare preliminară.