06_Anlage_3b_Kriterienkatalog_für_Cloudleistungen_final.pdf

Cloudvertrag

Kriterienkatalog für Cloudleistungen

Anlage 3b zum EVB-IT Cloudvertrag Vertrag über eine IT-Anwendung zur

Digitalisierung der Vorgänge bei der Trichinenuntersuchung, das Management

von Monitoring-Proben im Tiergesundheitsbereich, das Management im Falle

eines Ausbruches der Afrikanischen Schweinepest (ASP) und einer Schnittstelle

zur Jagdstatistik-Anwendung

Inhaltsangabe 1 Kriterien ......................................................................................................................................................... 2

1.1 Art der Cloud ........................................................................................................................................ 2 1.2 Managed Cloud Services (MCS)*......................................................................................................... 2

1.3 Leistungsort ......................................................................................................................................... 2

1.4 Georedundanz ..................................................................................................................................... 2

1.5 Übergabepunkt .................................................................................................................................... 3

1.6 Bereitstellungszeitpunkt ....................................................................................................................... 3 1.7 Nutzer .................................................................................................................................................. 3

1.8 Nutzerkreis ........................................................................................................................................... 3

1.9 Nutzungsort ......................................................................................................................................... 3

1.10 Identitäts- und Berechtigungsmanagement (IDM) ............................................................................... 3

1.11 Sonstiger Nutzungsumfang/Lizenzmetrik............................................................................................. 3

1.12 Endgeräte/Zugang ............................................................................................................................... 3

1.13 Speicher-Größe (für Speicherung von Auftraggeberdaten) ................................................................. 4

1.14 Art der Anbindung ................................................................................................................................ 4

1.15 Bandbreite der Anbindung des Auftragnehmers an das Internet, die für den Auftraggeber zur Verfügung steht ................................................................................................................................... 5

1.16 Datensicherung .................................................................................................................................... 5

1.17 Datenexport/Datenimport ..................................................................................................................... 6

1.18 IT-Sicherheit ........................................................................................................................................ 6 2 Verfügbarkeit* ................................................................................................................................................ 7

2.1 Gutschriften bei Nichtverfügbarkeit ...................................................................................................... 8 2.2 Reaktions- und Wiederherstellungszeiten* ........................................................................................... 8

2.3 Protokollierung ..................................................................................................................................... 8

2.4 Aktualisierung ...................................................................................................................................... 9

2.5 Reporting ............................................................................................................................................. 9

2.6 Mitwirkungsleistungen des Auftraggebers ......................................................................................... 10 3 Sonderkriterien für IaaS* und PaaS* ............................................................................................................ 10

4 Erweiterung und Reduzierung der Leistung ................................................................................................ 11

Katalog gilt für folgende Leistungen: Leistungen nach den Anlagen 1a und 1b

Version 1.0.2 vom 01.03.2026 Seite 1 von 11

Cloudvertrag

1 Kriterien

1.1 Art der Cloud ☒ Public Cloud (Ressourcen werden für eine Vielzahl nicht näher bestimmter Kunden bereitgestellt) ☐ Private Cloud bzw. sonstige Cloud gemäß Anlage Nr. _____ (z.B. Hybrid-Cloud, künftige Private Government Cloud für öffentliche Stellen)

1.2 Managed Cloud Services (MCS)* ☒ Der Auftragnehmer erbringt folgende ergänzende Leistungen (Managed Cloud Services*): ☒ Zugangsverwaltung/Administration gemäß Anlage Nr. 1a und b ☒ ServiceDesk/Hotline gemäß Anlage Nr. 1a und b ☒ Kapazitätsmanagement gemäß Anlage Nr. 1a ☐ Automatisierung von Routineaufgaben gemäß Anlage Nr. _____ ☒ Incident- und Problemmanagement gemäß Anlage Nr. 1a ☒ Release- und Patchmanagement gemäß Anlage Nr. 1a ☐ Beratungsleistungen gemäß Anlage Nr. _____ ☐ _____ gemäß Anlage Nr. _____ ☐ Erbringung der Mitwirkungsleistungen die der Auftraggeber aus dem Vertrag/den Verträgen gemäß Anlage Nr. _____ schuldet.

1.3 Leistungsort Abweichend von Ziffer 4 EVB-IT Cloud-AGB erfolgt die Verarbeitung von Daten des Auftraggebers durch den Auftragnehmer nicht beschränkt auf die EU und den EWR sowie, sofern ein Angemessenheitsbeschluss gem. Art. 45 DSGVO besteht, die Schweiz, sondern ☐ zusätzlich in Staaten mit Angemessenheitsbeschluss gem. Art. 45 DSGVO. ☐ ohne örtliche Beschränkung (sofern keine personenbezogenen Daten verarbeitet werden). ☐ ohne örtliche Beschränkung, sofern die Anforderungen aus Anlage Nr. _____ für die Verarbeitung personenbezogener Daten erfüllt sind. ☐ nur innerhalb der Bundesrepublik Deutschland ☐ nur in den folgenden vereinbarten Rechenzentren: _____ ☐ ausschließlich für Support- und Wartungszwecke ☐ auch in _____ ☐ auch außerhalb von EU und EWR, jedoch nicht in Staaten der Staatenliste im Sinne von § 13 Absatz 1 Nummer 17 SÜG und § 32 SÜG; wobei für personenbezogene Supportdaten die Regelungen zur Verarbeitung personenbezogener Daten vorrangig gelten. ☐ Abweichend von Ziffer 4 EVB-IT Cloud-AGB dürfen Metadaten im Sinne des Anforderungskataloges C 5 (in Version 2020: OPS 11) nur in der EU und im EWR verarbeitet werden. ☐ Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Leistungsort. ☐ _____

1.4 Georedundanz ☐ Abweichend vom C5 Basiskriterium PS-02 erfolgt die Bereitstellung des Cloud-Dienstes aus mehr als zwei zueinander georedundanten Standorten. Bei einem zeitgleichen Ausfall zweier Standorte steht mindestens ein dritter Standort weiterhin zur Verfügung, um einen Totalausfall zu verhindern. Die Georedundanz ist so ausgelegt, dass die vereinbarten Verfügbarkeitsanforderungen eingehalten werden. Die Funktionsfähigkeit der Redundanz wird mindestens jährlich durch geeignete Tests und Übungen überprüft (vgl. BCM-04 - Verifizierung, Aktualisierung und Test der Betriebskontinuität).

Version 1.0.2 vom 01.03.2026 Seite 2 von 11

Cloudvertrag

1.5 Übergabepunkt Abweichend von Ziffer 5.1. der AGB ergibt sich der Übergabepunkt aus ☐ Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Übergabepunkt. ☒ Anlage 1a und 1b

1.6 Bereitstellungszeitpunkt ☐ ab Vertragsbeginn ☒ ab dem 01.11.2026 ☐ innerhalb von _____ (z.B. 3 Tagen) nach Anforderung durch den Auftraggeber

1.7 Nutzer ☐ max. Anzahl gleichzeitiger Nutzer (concurrent user): _____ ☐ max. Anzahl benannter Nutzer (named user): _____ ☐ Diese sind jederzeit austauschbar ☐ Dies sind nur aus wichtigem Grund jederzeit austauschbar, ohne wichtigen Grund alle _____ Tage. ☐ Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Nutzer. ☐ gemäß Anlage Nr. _____

1.8 Nutzerkreis ☒ Keine Beschränkung ☐ _____ (z.B. Alle Mitarbeiter in der Finanzverwaltung) ☐ _____

1.9 Nutzungsort ☒ Abweichend von Ziffer 14.1 EVB-IT Cloud-AGB ist das Recht zur Nutzung der Leistung örtlich auf das Gebiet der Vertragsstaaten der EU und des EWR sowie der Schweiz beschränkt

1.10 Identitäts- und Berechtigungsmanagement (IDM) ☐ C5 Zusatzkriterium IDM-02: Der Auftragnehmer bietet dem Auftraggeber einen Self-Service an, mit welchem diese Zugangs- und Zugriffsberechtigungen eigenständig vergeben und ändern können. ☒ Der Auftragnehmer sorgt durch technische Maßnahmen dafür, dass die Nutzer keine Leistungen beauftragen können, welche nicht vom Leistungsumfang des Vertrages umfasst sind

1.11 Sonstiger Nutzungsumfang/Lizenzmetrik ☐ Gerätemetrik _____ (z.B. Anzahl zugreifender PC/mobilerer Endgeräte) ☒ Andere Metrik gemäß Anlage Nr. 2 (z.B. Anzahl Bescheide pro Zeiteinheit, Datenvolumen, Nutzungsdauer) ☐ Eine Erweiterung/Reduzierung des Nutzungsumfangs ist jederzeit möglich. ☐ Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Sonstiger Nutzungsumfang/Lizenzmetrik ☐ _____

1.12 Endgeräte/Zugang ☒ webbasiert ☒ webbasiert optimiert für mobile Endgeräte ☐ nicht unterstützte Browser: _____

Anforderungen an webbasierten Zugang: ☐ keine Plug-Ins, Add-Ons

Version 1.0.2 vom 01.03.2026 Seite 3 von 11

Cloudvertrag

☐ zugelassene Plug-Ins, Add-Ons _____ ☐ sonstige Sicherheitseinstellungen _____ (ggf. Anlage)

☐ Terminalserver/ graphischer Remote Zugriff (zum Beispiel RDS oder RDP): _____ ☐ VPN ☐ VPN-Anforderungen: _____ ☐ API ☐ API-Anforderungen: _____

Über native Zugriffssoftware --- (Name) für ☐ PC/Notebooks, ☐ Windows ab Version _____ ☐ andere: _____ ☒ mobile Geräte (Apps) ☒ iOS ab Version 15 ☒ Android ab Version 10 ☐ andere mobile OS (Bezeichnung) _____

☐ besondere Systemvoraussetzungen beim Auftraggeber _____ ☐ technische Anforderungen für den Zugang gemäß Anlage _____ ☒ Der Auftragnehmer wird den Auftraggeber auf dessen Anforderung bei deren Installation durch telefonische Anleitung und, soweit durch den Auftraggeber der Zugang ermöglicht wird, durch Remoteservice unterstützen. Dies gilt auch für neue Programmstände der Zugriffssoftware. ☐ Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Endgeräte/Zugang. ☐ _____

1.13 Speicher-Größe (für Speicherung von Auftraggeberdaten) ☐ Keine Speicherung beim Auftragnehmer ☒ Speicherung beim Auftragnehmer ☐ feste Größe: _____ GB ☐ dynamisch: mind. _____ GB bis maximal: _____ GB ☐ dynamische Anpassung im laufenden Betrieb (kein Neustart) ☒ keine Limitierung des Speicherumfangs

1.14 Art der Anbindung ☐ MPLS ☐ xDSL: _____ (gewünschte DSL-Variante) ☐ Ethernet Connect _____ (z.B. Glasfaser) ☐ IPSec: _____ ☐ Direktverbindung: _____

☐ SD-WAN: _____ ☒ TLS Version: 1.3 (erforderlichenfalls zusätzlich Version 1.2 zwecks Abwärtskompatibilität)

Version 1.0.2 vom 01.03.2026 Seite 4 von 11

Cloudvertrag

☐ gemäß Anlage Nr. _____

☐ Redundante Anbindung

1.15 Bandbreite der Anbindung des Auftragnehmers an das Internet, die für den Auftraggeber zur Verfügung steht ☐ _____ Mbit/s ☐ asynchron ☐ Uplink: _____ Mbit/s ☐ Downlink: _____ Mbit/s ☐ dynamisch: mind. _____ Mbit/s bis maximal: _____ Mbit/s ☐ _____

1.16 Datensicherung Ergänzend zu Ziffer 7 EVB-IT Cloud-AGB gilt Folgendes: ☒ Der Auftragnehmer ist zur Erstellung von Backups der Daten des Auftraggebers verpflichtet. ☒ Gegenstand des Backups ☐ ist das Image Backup (komplettes Image der virtuellen Maschinen) ☒ sind folgende Daten: sämtliche Anwendungsdaten ☐ sind _____ ☐ Das Backup erfolgt in folgendem Format: _____. ☒ Das Backup erfolgt täglich. ☐ Das Backup erfolgt an folgendem Ort _____ (z.B. gesondertem Server oder anderem Rechenzentrum, jeweils gemäß Standortvorgabe in Ziffer 4 EVB-IT Cloud-AGB) auf _____ (Server, Band). ☐ Eine Kopie des Backups erfolgt an folgendem Ort _____ (z.B. gesondertem Server oder anderem Rechenzentrum, jeweils gemäß Standortvorgabe in Ziffer 4 EVB-IT Cloud-AGB) auf _____ (Server, Band). ☒ Eine Löschung des Backups erfolgt ☒ frühestens nach 2 Wochen ☐ gemäß Anlage Nr. _____ ☐ Weitere Regelungen zur Datenlöschung gelten gemäß Anlage Nr. _____ (während der Vertragslaufzeit) oder nach Vertragsende wenn vereinbart. ☐ Eine Löschung des Backups erfolgt gemäß Anlage Nr. _____ ☐ Regelungen zum Backup gemäß Anlage Nr. _____. (z.B. Backup-Konzept) ☐ Abweichend von Ziffer 7.2 EVB-IT Cloud-AGB ist der Auftragnehmer nicht verpflichtet, einzelne vom Auftraggeber zuvor gelöschten Dateien wiederherzustellen, sondern lediglich den Datenbestand insgesamt auf den vorherigen und soweit vorhanden und vom Auftraggeber gewünscht, auf die davor liegenden Stände wiederherzustellen ☐ Der wiederhergestellte Stand wird dem Auftraggeber auf dessen Wunsch gesondert zur Verfügung gestellt wird. ☐ Zusätzlich zum C5 Basiskriterium OPS-08 ist der Auftragnehmer verpflichtet, den Auftraggeber auf dessen Anforderung über die Ergebnisse der durchgeführten Wiederherstellungstests zu informieren. Wiederherstellungstests sind in das Notfallmanagement des Auftragnehmers eingebettet. ☐ Weitere Regelungen zur Datenlöschung gemäß Anlage Nr. _____ (während der Vertragslaufzeit oder nach Vertragsende). ☐ Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Datensicherung*. ☐ _____

Version 1.0.2 vom 01.03.2026 Seite 5 von 11

Cloudvertrag

☐ Der Auftraggeber ist für folgende Datensicherungen* selbst verantwortlich, wobei der Auftragnehmer die dazu erforderlichen Funktionalitäten zur Verfügung stellt: _____

1.17 Datenexport/Datenimport ☐ Zusätzlich zu Ziffer 7.3 EVB-IT Cloud-AGB gilt: ☐ Für folgende Teile der Leistung _____ (z.B. Datenbankdaten) erfolgt unabhängig von einem ggf. vereinbarten Backup ein Datenexport durch den Auftragnehmer. Der Datenexport erfolgt _____ (z.B. täglich, wöchentlich) in folgendem Format _____ (z.B. .csv, .vhd) an folgendem Ort _____ (z.B. gesonderter Server oder anderes Rechenzentrum) auf _____ (Server, Band). ☐ Für folgende Teile der Leistung _____ (z.B. Datenbankdaten) erfolgt ein Datenimport durch den Auftragnehmer. Der Datenimport erfolgt _____ (z.B. täglich, wöchentlich) in folgendem Format _____ (z.B. .csv, .vhd) von folgendem Ort _____ (z.B. gesonderter Server oder anderes Rechenzentrum gemäß Standortvorgabe in Ziffer 4 EVB-IT Cloud-AGB) von _____ (Server, Band). ☐ Für den Datenexport bzw. Datenimport verwendet der Auftragnehmer folgenden Standard _____. ☐ Dem Auftraggeber stehen für den eigenen Datenimport und Datenexport folgende Möglichkeiten zur Verfügung: _____ (z.B. Nennung der Schnittstelle und deren Spezifikation).

1.18 IT-Sicherheit ☐ Abweichend von Ziffer 1.2 EVB-IT Cloud-AGB ist nicht nur die Einhaltung der C5 Basiskriterien, sondern auch der C5 Zusatzkriterien geschuldet ☐ Abweichend von Ziffer 1.2 EVB-IT Cloud-AGB ist nicht nur die Einhaltung der C5 Basiskriterien, sondern auch der folgenden C5 Zusatzkriterien geschuldet ☐ CRY-03: Die für die Verschlüsselung verwendeten privaten Schlüssel sind ausschließlich und ohne Ausnahme dem Kunden nach geltenden rechtlichen und regulatorischen Verpflichtungen und Anforderungen bekannt. ☐ AM-05: Physische Assets der internen und externen Mitarbeiter unterliegen einer zentralen Verwaltung. Die zentrale Verwaltung ermöglicht eine Software-, Daten- und Richtlinienverteilung sowie eine Remote- Deaktivierung, -Löschung, oder -Sperrung. ☐ OPS-22: Sicherheitspatches werden ab dem Zeitpunkt ihrer Verfügbarkeit* in Abhängigkeit des nach der jüngsten Version des Common Vulnerability Scoring Systems (CVSS) eingeordneten Schweregrades der dadurch adressierten Schwachstellen eingespielt: Kritisch (CVSS = 9.0 - 10.0): 3 Stunden Hoch (CVSS = 7.0 - 8.9): 3 Tage Mittel (CVSS = 4.0 - 6.9): 1 Monat Niedrig (CVSS = 0.1 - 3.9): 3 Monate ☐ Abweichend bzw. ergänzend zu Ziffer 6.2 EVB-IT Cloud-AGB wird vereinbart, dass ☐ das vom Auftragnehmer implementierte Sicherheitskonzept und sein ISMS auf ISO 27001 und BSI IT- Grundschutz in der jeweils geltenden Fassung basiert. ☐ das Notfall-Management gemäß ☐ BSI-Standard 100-4 bzw. nach dessen Inkrafttreten BSI Standard 200-4 ☐ ISO 22301 ☐ _____

erfolgt. ☐ die Parteien für den Not- und Krisenfall besondere Vereinbarungen gemäß Anlage Nr. _____ treffen, die auch die erforderliche Beteiligung des BSI einschließen. ☐ der Auftragnehmer die Umsetzung der Vorgaben zur IT-Sicherheit ☐ durch entsprechende Zertifikate ☐ durch folgende Zertifikate _____ ☐ durch _____ (z.B. C5 Testat nach BSI)

nachweisen muss.

Version 1.0.2 vom 01.03.2026 Seite 6 von 11

Cloudvertrag

☐ der Auftragnehmer auf Anforderung des Auftraggebers die verwendeten Verschlüsselungs- und Authentifikationsmechanismen offenlegt. ☐ Abweichend von Ziffer 1.2 EVB-IT Cloud-AGB wird vereinbart, dass die aus Anlage Nr. _____ ersichtlichen C5 Basiskriterien nicht geschuldet werden. Soweit nicht in der Anlage konkrete Alternativen vorgesehen sind, sieht der Auftragnehmer angemessene Alternativen zur Erfüllung der entsprechenden Anforderungen vor. ☐ Dem Auftraggeber ist eine Schnittstelle zum Monitoring* der Leistungen und der Cloud-Infrastruktur zur Verfügung zu stellen. ☐ Der Schutzbedarf der vertragsgegenständlichen Daten des Auftraggebers ergibt sich aus Anlage Nr. _____. ☐ Ein CERT des Auftraggebers kann angebunden werden gemäß Anlage Nr. _____. ☐ Zusätzlich zum C5 Basiskriterium OPS-19 finden Penetrationstests nicht nur einmal jährlich, sondern halbjährlich statt. Diese müssen darüber hinaus zwingend durch unabhängige Externe durchgeführt werden. Internes Personal für Penetrationstests darf die externen Dienstleister dabei unterstützen. ☐ Ergibt das Prüfungsergebnis gemäß Ziffer 6.4.2 EVB-IT Cloud AGB keine oder nur unwesentliche Beanstandungen, trägt der Auftraggeber die beim Auftragnehmer anfallenden notwendigen Kosten des Auftragnehmers (auch interne Kosten) und etwaiger Unterauftragnehmer bis zu einem Höchstbetrag von _____ Euro netto je Prüfung. ☐ Dem Auftraggeber steht das Prüfungsrecht gemäß Ziffer 6.4.2 EVB-IT Cloud AGB anlassunabhängig zu. Ergibt das Prüfungsergebnis keine Beanstandungen, trägt der Auftraggeber die beim Auftragnehmer anfallenden notwendigen Kosten bis zu einem Höchstbetrag von _____ Euro netto.

2 Verfügbarkeit* ☐ Abweichend von Ziffer 8 EVB-IT Cloud-AGB ☐ schuldet der Auftragnehmer während der Betriebszeit* eine Verfügbarkeit* von mindestens der Verfügbarkeitsklasse* _____ im Bezugszeitraum, ☐ ist der Bezugszeitraum* der _____ ☐ verstehen sich alle Zeitangaben als Angaben statt nach mitteleuropäischer Zeit (MEZ) bzw. Sommerzeit (MESZ) nach _____ ☐ ist die Betriebszeit* die Zeit von _____ bis _____ (hier Tage angeben) von _____ bis _____ Uhr; ☐ besteht in der Zeit von _____ bis _____ Uhr eine Kernbetriebszeit* den besonderen Leistungsmerkmalen gemäß Anlage Nr. _____ ☐ ist die Zeit von _____ bis _____ Uhr am _____ (Wochentag) Zeit geplanter Nichtverfügbarkeit (z.B. für Wartungsarbeiten) und wird bei der Berechnung der Verfügbarkeit* nicht berücksichtigt, ☐ In Ergänzung zu Ziffer 8 der EVB-IT Cloud-AGB und der Definition zur Verfügbarkeit* gilt die Leistung auch dann als nicht verfügbar, wenn im ☐ Durchschnitt einer Stunde in der Betriebszeit ☐ Durchschnitt für die Betriebszeit eines Tages ☐ _____

folgendes gegeben ist: ☐ Das Antwortzeitverhalten der Funktion _____ (z.B. Bezeichnung einer konkreten Abfrage und der Ausgabe einer entsprechenden Antwort) ist schlechter als _____ (z.B. Sekunden, Minuten). ☐ Der Datendurchsatz (die übertragene Datenmenge) am Übergabepunkt _____ (z.B. der Ausgangsrouter des Auftragnehmers zum Internet) beträgt weniger als _____ (z.B.1 GB), pro _____ (z.B. Sekunden, Minuten). ☐ Die Paketverzögerung (der Zeitbedarf, um ein IP-Paket von _____ nach _____ zu senden) beträgt mehr als _____ (z.B. 4 Millisekunden). ☐ Der Round Trip Delay (RTD) beträgt mehr als _____ Millisekunden. ☐ Die Paketverlustrate (die Zahl der IÜ-Pakete, die pro _____ Zeiteinheit verloren gehen, weil sie nicht rechtzeitig an ihren Bestimmungsort gelangen) beträgt mehr als _____ (z.B. 20 Prozent). ☐ Weniger als _____ Nutzer können gleichzeitig die Leistung vollumfänglich nutzen.

Version 1.0.2 vom 01.03.2026 Seite 7 von 11

Cloudvertrag

☐ Anstelle der Verfügbarkeitsregelung in Ziffer 8 EVB-IT Cloud-AGB und der Definition zur Verfügbarkeit* gilt Anlage Nr. _____. ☐ Ergänzend zu Ziffer 8 EVB-IT Cloud-AGB liegt eine die Verfügbarkeit* ausschließende ☐ betriebsverhindernde Störung* insbesondere auch vor, wenn _____, ☐ betriebsbehindernde Störung*, insbesondere auch vor, wenn _____.

2.1 Gutschriften bei Nichtverfügbarkeit ☐ Für den Fall der Nichteinhaltung der vereinbarten Verfügbarkeit* die folgende Gutschrift zugunsten des Auftraggebers vereinbart:

☐ Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Gutschriften bei Nichtverfügbarkeit*. ☐ _____ ☐ Messpunkte für die Feststellung der Verfügbarkeit* sind die folgenden: _____

2.2 Reaktions- und Wiederherstellungszeiten* ☒ Es werden folgende Reaktions- und Wiederherstellungszeiten* vereinbart:

2.3 Protokollierung Der Auftragnehmer führt folgende Protokolle: ☐ Protokolle über die Zugriffe auf die vom Auftraggeber genutzten Leistungen einschließlich der entsprechenden Daten und Datensicherungen*. Protokolliert werden muss dabei mindestens, durch wen, wann, wie und wie lange ein Zugriff erfolgte. ☐ Protokolle über sämtliche Zugriffe auf Infrastrukturkomponenten. Protokolliert werden müssen dabei insbesondere: An- und Abmeldungen, Installation, Deinstallation und Modifikation von Anwendungen, Änderungen von Berechtigungen und Änderungen im Benutzermanagement. Die Erfassung und Protokollierung weiterer Daten (auch Metadaten) erfolgt in dem im Vertrag vereinbarten Umfang. ☒ Protokolle über den Sicherheitsstatus des Cloud-Managementsystems (Vollständigkeit, Verfügbarkeit*, Integrität und Vertraulichkeit der verarbeiteten Daten). ☒ Protokolle über Art und Zeitpunkte der durchgeführten Datensicherungsmaßnahmen und Rücksicherungen.

Version 1.0.2 vom 01.03.2026 Seite 8 von 11

Cloudvertrag

Der Auftraggeber hat das jederzeitige Recht, diese Protokolle einzusehen und in elektronisch bearbeitbarer Form abrufen zu können. ☒ Die Protokolle sind mindestens: ☐ sechs Monate aufzubewahren. ☒ 12 Monate aufzubewahren. ☒ Die Protokolle sind revisionssicher aufzubewahren. ☐ Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Protokollierung.

2.4 Aktualisierung ☒ Die Leistungen sind mit jeweils allgemein verfügbaren und vom Hersteller regulär supporteten Programmständen* zu erbringen. Der Auftragnehmer ist zu deren Bereitstellung verpflichtet. ☒ Der Auftragnehmer ist verpflichtet, folgende Programmstände* zu installieren und zu integrieren, sobald verfügbar: ☒ Updates* ☒ Upgrades* ☒ neue Releases/Versionen* ☒ neue Firmwarestände ☐ Der Auftragnehmer ist verpflichtet, Programmstände* zur Umsetzung von Änderungen solcher Rechtsvorschriften und technischer Normen gemäß Anlage Nr. _____ zu installieren und zu integrieren. Der Auftragnehmer stellt die geschuldeten Programmstände* innerhalb angemessener Zeit vor, spätestens aber mit dem Inkrafttreten der jeweiligen Vorschrift oder Norm bzw. dem Zeitpunkt der vorgesehenen Änderung bzw. Anpassung. Erfolgt dies nicht spätestens zu diesen Terminen, ist der Auftragnehmer unbeschadet davon verpflichtet, dem Auftraggeber eine Übergangslösung bereitzustellen. Soweit ihm beides zu diesen Terminen zeitlich nicht zumutbar ist, haben sie innerhalb einer angemessenen Frist zu erfolgen.

2.5 Reporting ☒ Abweichend von Ziffer 9.1 EVB-IT Cloud-AGB erfolgt das Reporting nicht monatlich, sondern ☐ täglich ☐ wöchentlich ☒ quartalsweise ☒ Ergänzend zu Ziffer 9 EVB-IT Cloud-AGB hat das Reporting folgende Inhalte: ☐ die durchgeführten Einspielungen neuer Programmstände* (z.B. Sicherheitspatches) ☒ eine Nutzungsstatistik ☒ über die max. Anzahl der gleichzeitigen Nutzer, der Nutzer und der Zugriffe insgesamt ☒ über die Fallzahlen des Systems, soweit vergütungsrelevant ☐ über erfolgte Zugriffe auf Backup-Daten (insbesondere Nutzer, Zeitpunkt und Umfang des Zugriffs) ☐ gemäß Anlage Nr. _____. ☒ sämtliche für die Leistungen relevante Sicherheitsvorfälle (Zeitpunkt, Art, und Umfang des Vorfalls) und die vom Auftragnehmer getroffenen Maßnahmen zu deren Beseitigung ☐ die durchgeführten Backups und Datenexporte sowie ihre erfolgreiche Verifikation. ☐ weitere Angaben gemäß Anlage _____. ☐ Zusätzlich zu Ziffer 9 EVB-IT Cloud-AGB ist für den Auftraggeber während der Nutzung der Leistung in Echtzeit einsehbar, wie viele Cloud-Ressourcen (Virtueller Speicher, Virtuelles Netzwerk, Virtuelle CPU Last, Virtuelles Storage) aktuell in Gebrauch sind (d.h. eine Darstellung der Auslastung der aktuell sich in Gebrauch befindlichen Cloud-Ressourcen). ☐ Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Reporting.

Version 1.0.2 vom 01.03.2026 Seite 9 von 11

Cloudvertrag

2.6 Mitwirkungsleistungen des Auftraggebers ☐ Zusätzlich zu bzw. abweichend von Ziffer 17 EVB-IT Cloud-AGB werden folgende Mitwirkungsleistungen des Auftraggebers vereinbart: ☐ _____ ☐ gemäß Anlage Nr. _____

3 Sonderkriterien für IaaS* und PaaS*

Version 1.0.2 vom 01.03.2026 Seite 10 von 11

Cloudvertrag

4 Erweiterung und Reduzierung der Leistung ☐ Ein weiteres gleiches System jedoch maximal bis zur vereinbarten Maximalanzahl gleicher Systeme, ist innerhalb von _____ (Tagen, Wochen) nach Anforderung durch den Auftraggeber betriebsbereit bereitzustellen. ☐ Das System ist nach Anforderung innerhalb von _____ (Tagen, Wochen) durch den Auftragnehmer zu deaktivieren, soweit dadurch nicht die Minimalanzahl gleicher Systeme unterschritten wird.

Version 1.0.2 vom 01.03.2026 Seite 11 von 11