Dienstleistervereinbarung
Informationssicherheit

VEREINBARUNG ZUR INFORMATIONSSICHERHEIT BEI PROJEKTTÄTIGKEITEN

Anlage 1 zur Geheimhaltungsvereinbarung, abgeschlossen zwischen den folgenden Vertragsparteien

1. Gegenstand und Geltungsbereich

Diese Vereinbarung ergänzt die zwischen den Vertragsparteien abgeschlossene Geheimhaltungsvereinbarung um jene Anforderungen an die Informationssicherheit, die sich aus der Tätigkeit der secnetic GmbH in Systemen, Daten und Räumlichkeiten des Auftraggebers ergeben. Sie gilt für sämtliche Projekttätigkeiten, unabhängig von deren Bezeichnung im jeweiligen Einzelvertrag, insbesondere für:

• Beratung, Einrichtung und Betreuung von Microsoft-365-Umgebungen einschließlich Identitäten und Berechtigungen in Entra ID sowie der Geräteverwaltung über Intune
• Aufbau, Konfiguration und Inbetriebnahme von SIEM-Umgebungen auf Basis von Wazuh einschließlich der Erfassung und Auswertung von Protokolldaten
• Interim Management in den Funktionen CISO, CIO, CTO oder COO. Die Funktion CISO nimmt in der Regel Ozan M. Akyol wahr, die Funktionen CIO, CTO und COO in der Regel Christian Schöll.
• Strategie- und Transformationsprojekte einschließlich der zugehörigen Dokumentation
• Entwicklung, Einführung und Betreuung von Anwendungen unter Einsatz künstlicher Intelligenz
• sonstige im Einzelvertrag vereinbarte Leistungen mit Zugriff auf Informationen, Systeme oder Räumlichkeiten des Auftraggebers

Die Vereinbarung gilt für jedes einzelne Projekt, ohne dass es einer neuerlichen Unterfertigung bedarf.

Dienstleistervereinbarung
Informationssicherheit

2. Projektbezug und Ansprechstellen

Für Meldungen und Auskünfte nach dieser Vereinbarung benennen beide Vertragsparteien eine erreichbare Stelle. Änderungen sind unverzüglich bekanntzugeben.

Ansprechstelle des Auftraggebers

Ansprechstelle der secnetic GmbH

office@secnetic.at

3. Eingesetztes Personal

secnetic setzt ausschließlich Personen ein, die zur Erfüllung der jeweiligen Aufgabe Kenntnis erlangen müssen. Diese Personen sind vor Aufnahme ihrer Tätigkeit schriftlich zur Vertraulichkeit verpflichtet; die Verpflichtung besteht über das Ende des jeweiligen Dienst- oder Auftragsverhältnisses hinaus fort. secnetic weist die eingesetzten Personen in die Anforderungen dieser Vereinbarung ein und führt darüber Aufzeichnungen. Auf Verlangen weist secnetic das Bestehen dieser Verpflichtungen nach, ohne personenbezogene Daten offenzulegen, die für den Nachweis nicht erforderlich sind.

4. Subunternehmer

Die Beiziehung von Subunternehmern zu Projekttätigkeiten bedarf der vorherigen Zustimmung des Auftraggebers in Textform. secnetic führt ein Verzeichnis der beigezogenen Subunternehmer und legt es auf Verlangen vor. secnetic überbindet Subunternehmern die Pflichten aus dieser Vereinbarung und aus der Geheimhaltungsvereinbarung im vollen Umfang und haftet für deren Verhalten wie für eigenes.

Dienstleistervereinbarung
Informationssicherheit

5. Zugänge und Berechtigungen

Zugänge zu Systemen des Auftraggebers werden auf das für die Leistungserbringung erforderliche Maß beschränkt und personenbezogen vergeben. Sammel- oder Gruppenkonten werden nicht verwendet. Für Zugänge mit erweiterten Rechten gilt zusätzlich:

• Vergabe, Umfang und Dauer werden dokumentiert.
• Die Anmeldung erfolgt mit Mehrfaktor-Authentifizierung, soweit das System dies unterstützt.
• Erweiterte Rechte werden nach Möglichkeit befristet oder anlassbezogen vergeben.

secnetic speichert Zugangsdaten ausschließlich in einem dafür vorgesehenen Kennwortspeicher, nicht in Dokumenten, Tabellen, Notizen oder Nachrichten. Wird ein Zugang nicht mehr benötigt, meldet secnetic dies unverzüglich. Spätestens mit Projektende sind sämtliche überlassenen Zugänge zu deaktivieren.

6. Schwachstellen und Sicherheitsbefunde

Schwachstellen, Fehlkonfigurationen und sonstige sicherheitsrelevante Feststellungen, die secnetic im Zuge der Projekttätigkeit erlangt, werden ausschließlich der nach Punkt 2 benannten Stelle mitgeteilt. Die Übermittlung erfolgt verschlüsselt. Eine Weitergabe an Dritte, eine Veröffentlichung sowie eine Verwendung in Referenzen, Vorträgen oder sonstigen Veröffentlichungen ist auch in anonymisierter oder aggregierter Form unzulässig, soweit der Auftraggeber nicht vorher in Textform zustimmt. secnetic bewahrt derartige Feststellungen nur so lange auf, wie es für den Projektzweck oder aufgrund einer gesetzlichen oder normativen Aufbewahrungspflicht erforderlich ist.

Dienstleistervereinbarung
Informationssicherheit

7. Meldung von Sicherheitsvorfällen

Als Sicherheitsvorfall gilt jedes Ereignis, das den Schutz von Informationen oder Systemen des Auftraggebers beeinträchtigt, insbesondere ein unbefugter Zugriff, ein Verlust, eine unbeabsichtigte Offenlegung oder eine unbefugte Veränderung von Informationen sowie die Kompromittierung eines Zugangs oder eines Geräts, mit dem auf Systeme des Auftraggebers zugegriffen wird.

secnetic meldet einen Sicherheitsvorfall unverzüglich, spätestens innerhalb von 48 Stunden ab Kenntnis, an die nach Punkt 2 benannte Stelle. Die Erstmeldung erfolgt auch dann, wenn der Sachverhalt noch nicht vollständig geklärt ist, und enthält, soweit bekannt, Art und Zeitpunkt des Vorfalls, die betroffenen Informationen und Systeme, die bereits getroffenen Maßnahmen sowie eine Ansprechperson für Rückfragen. secnetic ergänzt die Meldung laufend, bis der Sachverhalt geklärt ist.

secnetic unterstützt den Auftraggeber bei der Erfüllung seiner eigenen Melde- und Benachrichtigungspflichten, insbesondere nach Art. 33 und 34 DSGVO sowie nach den Vorschriften zur Netz- und Informationssicherheit. Die kurze Frist dieser Bestimmung dient dazu, dem Auftraggeber die Einhaltung seiner eigenen Fristen zu ermöglichen.

8. Rückgabe, Löschung und Projektende

Mit Abschluss eines Projekts oder auf Aufforderung gibt secnetic sämtliche Unterlagen und Datenträger zurück oder vernichtet sie unwiderruflich, deaktiviert die überlassenen Zugänge und entfernt Projektdaten von den eingesetzten Geräten. Ausgenommen sind Informationen, für die eine gesetzliche oder normative Aufbewahrungspflicht besteht; diese bleiben für die Dauer der Frist vertraulich und werden nach deren Ablauf unverzüglich gelöscht. Ausgenommen sind ferner Kopien in automatisierten Sicherungssystemen, die nicht mit vertretbarem Aufwand gezielt gelöscht werden können; sie bleiben bis zu ihrer turnusmäßigen Löschung vertraulich und werden nicht wiederhergestellt, außer zur Wiederherstellung des Gesamtsystems. Auf Verlangen bestätigt secnetic die Durchführung in Textform. Punkt 7 der Geheimhaltungsvereinbarung bleibt im Übrigen unberührt.

Dienstleistervereinbarung
Informationssicherheit

9. Nachweise und Prüfrecht

Der Auftraggeber ist berechtigt, die Einhaltung dieser Vereinbarung zu überprüfen. Die Prüfung erfolgt vorrangig anhand von Nachweisen, insbesondere durch Beantwortung eines Fragebogens oder durch Vorlage von Zertifikaten, Prüfberichten und Nachweisen über durchgeführte Maßnahmen. Reichen diese nicht aus, kann der Auftraggeber eine Prüfung vor Ort oder im Wege der Fernprüfung verlangen. Eine solche Prüfung ist mit einer Frist von vierzehn Tagen anzukündigen, findet während der üblichen Geschäftszeiten statt und wird höchstens einmal jährlich durchgeführt. Unabhängig davon besteht ein anlassbezogenes Prüfrecht nach einem Sicherheitsvorfall. Prüfungen erfolgen so, dass Betriebsabläufe und Geheimhaltungspflichten gegenüber anderen Auftraggebern gewahrt bleiben. Die Kosten einer Prüfung vor Ort trägt der Auftraggeber, es sei denn, es werden wesentliche Verstöße festgestellt.

10. Technische und organisatorische Maßnahmen

secnetic unterhält Maßnahmen zum Schutz der Informationen des Auftraggebers, die dem Stand der Technik entsprechen, insbesondere Verschlüsselung der eingesetzten Endgeräte, Mehrfaktor-Authentifizierung für die eigenen Zugänge, Schutz der Endgeräte gegen Schadsoftware, Trennung der Daten verschiedener Auftraggeber, Protokollierung administrativer Tätigkeiten sowie Datenhaltung innerhalb der Europäischen Union oder bei Anbietern, mit denen die Standardvertragsklauseln der Europäischen Kommission vereinbart sind. Für Projektunterlagen und Beschreibungen setzt secnetic Cloud- und KI-Dienste ausschließlich in Geschäftstarifen ein, deren Anbieter vertraglich zur Vertraulichkeit verpflichtet sind und die Inhalte nicht zum Training verwenden. Zugangsdaten, Schlüssel und Sicherheitsbefunde nach Punkt 6 werden in solche Dienste nicht eingegeben. Werden zusätzlich personenbezogene Daten verarbeitet, gilt ergänzend die Anlage B des Vertrags zur Auftragsverarbeitung.

11. Personenbezogene Daten

Soweit secnetic im Rahmen der Projekttätigkeit personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, schließen die Vertragsparteien zusätzlich einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ab. Dieser geht in allen datenschutzrechtlichen Fragen dieser Vereinbarung und der Geheimhaltungsvereinbarung vor. Eine Verarbeitung personenbezogener Daten ohne abgeschlossenen Vertrag zur Auftragsverarbeitung findet nicht statt.

Dienstleistervereinbarung
Informationssicherheit

12. Folgen bei Verstoß

Bei einem schwerwiegenden oder wiederholten Verstoß gegen die Pflichten aus dieser Vereinbarung oder aus der Geheimhaltungsvereinbarung ist die andere Vertragspartei berechtigt, die Zusammenarbeit mit sofortiger Wirkung zu beenden und laufende Aufträge ohne Ersatzanspruch zu entziehen. Bereits erbrachte Leistungen sind zu vergüten. Der Ersatz eines daraus entstehenden Schadens bleibt davon unberührt.

Im Verhältnis der Vertragsparteien zueinander gilt für die Haftung Punkt 8 der Allgemeinen Geschäftsbedingungen der secnetic GmbH, sofern diese vereinbart sind. Andernfalls haften die Vertragsparteien einander nur bei Vorsatz und grober Fahrlässigkeit, der Höhe nach begrenzt mit dem Honorar, das die secnetic GmbH in den zwölf Monaten vor dem schädigenden Ereignis von der anderen Vertragspartei vereinnahmt hat, mindestens jedoch mit EUR 5.000. Die Begrenzung gilt nicht bei Vorsatz, bei krass grober Fahrlässigkeit und für Personenschäden.

13. Laufzeit, Rangfolge und Schlussbestimmungen

Diese Vereinbarung tritt mit Unterfertigung in Kraft und gilt für die Dauer der Zusammenarbeit. Die Pflichten aus den Punkten 6, 7 und 8 bestehen darüber hinaus fort. Im Verhältnis der Dokumente zueinander gilt: in datenschutzrechtlichen Fragen geht der Vertrag zur Auftragsverarbeitung vor, in Fragen der Informationssicherheit diese Vereinbarung, im Übrigen die Geheimhaltungsvereinbarung. Ergänzungen und Abänderungen bedürfen der Schriftform, ebenso ein Abgehen von diesem Formerfordernis. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem wirtschaftlichen Zweck am nächsten kommt. Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts und internationaler Verweisungsnormen. Als ausschließlicher Gerichtsstand wird das für Wien Innere Stadt sachlich zuständige Gericht vereinbart.