[Seite 1]
Kriterienkatalog für Cloudleistungen
Anlage zum EVB-IT Cloudvertrag CDSS Radiologie
Katalog gilt für folgende Leistungen: Einführung Radiologisches Clinical Decision Support System (eindeutige Bezeichung bzw. Verweis auf Leistungsbeschreibung)
- Kriterien
S,P,I
M
S,P,I
| Nr. | Kriterium | Ausprägung | ||||||
|---|---|---|---|---|---|---|---|---|
| 1 | 2 | 3 | ||||||
| Nutzungsumfang/Lizenzmetrik | ||||||||
| 1. | Art der Cloud | Public Cloud (Ressourcen werden für eine Vielzahl nicht näher bestimmter Kunden bereitgestellt) Private Cloud bzw. sonstige Cloud gemäß Anlage Nr. 2, Leistungsbeschreibung, Kapitel 5.1 (z.B. Hybrid-Cloud, künftige Private Government Cloud für öffentliche Stellen) | ||||||
| 2. | Managed Cloud Services (MCS)* | Der Auftragnehmer erbringt folgende ergänzende Leistungen (Managed Cloud Services*): Zugangsverwaltung/Administration gemäß Anlage Nr. 2 und 3 ServiceDesk/Hotline gemäß Anlage Nr. 2 und 3 Kapazitätsmanagement gemäß Anlage Nr. 2 und 3 Automatisierung von Routineaufgaben gemäß Anlage Nr. 2 und 3 Incident- und Problemmanagement gemäß Anlage Nr. 2 und 3 Release- und Patchmanagement gemäß Anlage Nr. 2 und 3 Beratungsleistungen gemäß Anlage Nr. gemäß Anlagen Nr. 2 und Nr. 3 Erbringung der Mitwirkungsleistungen die der Auftraggeber aus dem Vertrag/den Verträgengemäß Anlage Nr. schuldet. | ||||||
| 3. | Leistungsort | Abweichend von Ziffer 4 EVB-IT Cloud-AGB erfolgt die Verarbeitung von Daten des Auftraggebers durch den Auftragnehmer nicht beschränkt auf die EU und den EWR sowie, sofern einAngemessenheitsbeschluss gem. Art. 45 DSGVO besteht, die Schweiz, sondern zusätzlich in Staaten mit Angemessenheitsbeschluss gem. Art. 45 DSGVO. ohne örtliche Beschränkung (sofern keine personenbezogenen Daten verarbeitet werden). ohne örtliche Beschränkung, sofern die Anforderungen aus Anlage Nr. für die Verarbeitung personenbezogener Daten erfüllt sind. nur innerhalb der Bundesrepublik Deutschland nur in den folgenden vereinbarten Rechenzentren: ausschließlich für Support- und Wartungszwecke auch in auchaußerhalb von EU und EWR, jedoch nicht in Staaten der |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)
[Seite 2]
| Staatenliste im Sinne von § 13 Absatz 1 Nummer 17 SÜG und § 32 SÜG; wobei für personenbezogene Supportdaten die Regelungen zur Verarbeitung personenbezogener Daten vorrangig gelten. Abweichend von Ziffer 4 EVB-IT Cloud-AGB dürfen Metadaten im Sinne des Anforderungskataloges C 5 (in Version 2020: OPS 11) nur in der EU und im EWR verarbeitet werden. Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Leistungsort. Die Verarbeitung erfolgt im Inland, in einem Mitgliedstaat der Europäischen Union oder des Europäischen Wirtschaftsraums; der Cloud-Anbieter verfügt über eine deutsche Niederlassung. | ||
|---|---|---|
| 4. | Georedundanz | Abweichend vom C5 Basiskriterium PS-02 erfolgt die Bereitstellung des Cloud- Dienstes aus mehr als zwei zueinander georedundanten Standorten. Bei einem zeitgleichen Ausfall zweier Standorte steht mindestens ein dritter Standort weiterhin zur Verfügung, um einen Totalausfall zu verhindern. Die Georedundanz ist so ausgelegt, dass die vereinbarten Verfügbarkeitsanforderungen eingehalten werden. Die Funktionsfähigkeit der Redundanz wird mindestens jährlich durch geeignete Tests und Übungen überprüft (vgl. BCM-04 - Verifizierung, Aktualisierung und Test der Betriebskontinuität). Eine Georedundanz von 2RZs ist erforderlich. |
| 5. | Übergabepunkt | Abweichend von Ziffer 5.1. der AGB ergibt sich der Übergabepunkt aus Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Übergabepunkt. |
| 6. | Bereitstellungsz eitpunkt | ab Vertragsbeginn ab dem Zeitpunkt der Abnahme der Gesamtleistung innerhalb von (z.B. 3 Tagen) nach Anforderung durch den Auftraggeber |
| 7. | Nutzer | max. Anzahl gleichzeitiger Nutzer (concurrent user): max. Anzahl benannter Nutzer (named user): Diese sind jederzeit austauschbar Dies sind nur aus wichtigen Grund jederzeit austauschbar, ohne wichtigen Grund alle Tage. Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Nutzer. gemäß Anlage Nr. 3, Leistungsverzeichnis |
| 8. | Nutzerkreis | Keine Beschränkung (z.B. Alle Mitarbeiter in der Finanzverwaltung) Der Cloud Dienst bietet die Möglichkeit der Anmeldung mit Absicherung durch einen zweiten Faktor (MFA) Eine anonyme Nutzung der Software ist nicht möglich |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)
[Seite 3]
| 9. | Nutzungsort | Abweichend von Ziffer 14.1 EVB-IT Cloud-AGB ist das Recht zur Nutzung der Leistung örtlich auf das Gebiet der Vertragsstaaten der EU und des EWR sowie der Schweiz beschränkt |
|---|---|---|
| 10. | Identitäts- und Berechtigungsm anagement (IDM) | C5 Zusatzkriterium IDM-02: Der Auftragnehmer bietet dem Auftraggeber einen Self-Service an, mit welchem diese Zugangs- und Zugriffsberechtigungen eigenständig vergeben und ändern können. Der Auftragnehmer sorgt durch technische Maßnahmen dafür, dass die Nutzer keine Leistungen beauftragen können, welche nicht vom Leistungsumfang des Vertrages umfasst sind. |
| 11. | Sonstiger Nutzungsumfan g/Lizenzmetrik | Gerätemetrik (z.B. Anzahl zugreifender PC/mobilerer Endgeräte) Andere Metrik gemäß Anlage Nr. (z.B. Anzahl Bescheide pro Zeiteinheit, Datenvolumen, Nutzungsdauer) Eine Erweiterung/Reduzierung des Nutzungsumfangs ist jederzeit möglich. Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Sonstiger Nutzungsumfang/Lizenzmetrik. |
| 12. | Endgeräte/Zuga ng | webbasiert webbasiert optimiert für mobile Endgeräte nicht unterstützte Browser: Anforderungen an webbasierten Zugang: keine Plug-Ins, Add-Ons zugelassene Plug-Ins, Add-Ons sonstige Sicherheitseinstellungen (ggf. Anlage) Terminalserver/ graphischer Remote Zugriff (zum Beispiel RDS oder RDP): VPN VPN-Anforderungen: API API-Anforderungen: Über native Zugriffssoftware (Name) für PC/Notebooks, Windows ab Version andere: mobile Geräte (Apps) iOS ab Version Android ab Version andere mobile OS (Bezeichnung) |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)
[Seite 4]
| besondere Systemvoraussetzungen beim Auftraggeber technische Anforderungen für den Zugang gemäß Anlage Der Auftragnehmer wird den Auftraggeber auf dessen Anforderung bei deren Installation durch telefonische Anleitung und, soweit durch den Auftraggeber der Zugang ermöglicht wird, durch Remoteservice unterstützen. Dies gilt auch für neue Programmstände der Zugriffssoftware. Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Endgeräte/Zugang. Der Cloud Dienst bietet eine IP Adressbereich Einschränkung an | ||
|---|---|---|
| 13. | Speicher- Größe (für Speicherung von Auftrag- geberdaten) | Keine Speicherung beim Auftragnehmer Speicherung beim Auftragnehmer (bzw. bei von ihm eingesetzten Nachunternehmen) feste Größe: Siehe Anlage 3 Leistungsverzeichnis (Mengengerüst) dynamisch: mind. GB bis maximal: GB dynamische Anpassung im laufenden Betrieb (kein Neustart) keine Limitierung des Speicherumfangs |
| 14. | Art der Anbindung | MPLS xDSL: (gewünschte DSL-Variante) Ethernet Connect (z.B. Glasfaser) IPSec: Direktverbindung: SD-WAN: TLS Version gemäß Anlage Nr. Redundante Anbindung |
| 15. | Bandbreite der Anbindung des Auftragnehmers an das Internet, die für den Auftraggeber zur Verfügung steht | Mbit/s asynchron Uplink: Mbit/s Downlink: Mbit/s dynamisch: mind. Mbit/s bis maximal: Mbit/s |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)
[Seite 5]
| 16. | Datensicherung* | Ergänzend zu Ziffer 7 EVB-IT Cloud-AGB gilt Folgendes: Der Auftragnehmer ist zur Erstellung von Backups der Daten des Auftraggebers verpflichtet. Gegenstand des Backups ist das Image Backup (komplettes Image der virtuellen Maschinen) sind folgende Daten sämtliche Konfigurationsdaten sind Das Backup erfolgt in folgendem Format: . Das Backup erfolgt (z.B. stündlich, transaktionsorientiert). Das Backup erfolgt an folgendem Ort (z.B. gesondertem Server oder anderem Rechenzentrum, jeweils gemäß Standortvorgabe in Ziffer 4 EVB-IT Cloud-AGB auf (Server, Band). Eine Kopie des Backups erfolgt an folgendem Ort (z.B. gesondertem Server oder anderem Rechenzentrum, jeweils gemäß Standortvorgabe in Ziffer 4 EVB-IT Cloud-AGB) auf (Server, Band). Eine Löschung des Backups erfolgt frühestens nach (z.B. 2 Wochen, 6 Monaten) gemäß Anlage Nr. Weitere Regelungen zur Datenlöschung gelten gemäß Anlage Nr. (während der Vertragslaufzeit) oder nach Vertragsende wenn vereinbart. Eine Löschung des Backups erfolgt gemäß Anlage Nr. Regelungen zum Backup gemäß Anlage Nr. . (z.B. Backup-Konzept) Abweichend von Ziffer 7.2 EVB-IT Cloud-AGB ist der Auftragnehmer nicht verpflichtet, einzelne vom Auftraggeber zuvor gelöschten Dateien wiederherzustellen, sondern lediglich den Datenbestand insgesamt auf den vorherigen und soweit vorhanden und vom Auftraggeber gewünscht, auf die davor liegenden Stände wiederherzustellen Der wiederhergestellte Stand wird dem Auftraggeber auf dessen Wunsch gesondert zur Verfügung gestellt wird. Zusätzlich zum C5 Basiskriterium OPS-08 ist der Auftragnehmer verpflichtet, den Auftraggeber auf dessen Anforderung über die Ergebnisse der durchgeführten Wiederherstellungstests zu informieren. Wiederherstellungstests sind in das Notfallmanagement des Auftragnehmers eingebettet. Weitere Regelungen zur Datenlöschung gemäß Anlage Nr. (während der Vertragslaufzeit oder nach Vertragsende). Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Datensicherung*. Der Auftraggeber ist für folgende Datensicherungen* selbst verantwortlich, wobei der Auftragnehmer die dazu erforderlichen Funktionalitäten zur Verfügung stellt: |
|---|---|---|
| 17. | Datenexport/ Datenimport | Zusätzlich zu Ziffer 7.3 EVB-IT Cloud-AGB gilt: Für folgende Teile der Leistung (z.B. Datenbankdaten) erfolgt unabhängig von einem ggf. vereinbarten Backup ein Datenexport durch den Auftragnehmer. Der Datenexport erfolgt (z.B. täglich, wöchentlich) in folgendem Format (z.B. .csv, .vhd) an folgendem Ort (z.B. gesonderter Server oder anderes Rechenzentrum)auf |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)
[Seite 6]
| (Server, Band). Für folgende Teile der Leistung (z.B. Datenbankdaten) erfolgt ein Datenimport durch den Auftragnehmer. Der Datenimport erfolgt (z.B. täglich, wöchentlich) in folgendem Format (z.B. .csv, .vhd) von folgendem Ort (z.B. gesonderter Server oder anderes Rechenzentrum gemäß Standortvorgabe in Ziffer 4 EVB-IT Cloud-AGB) von (Server, Band). Der Export von sicherheitsrelevanten Log Daten zur Übertragung in ein externes SIEM ist jederzeit möglich. Für den Datenexport bzw. Datenimport verwendet der Auftragnehmer folgenden Standard . Dem Auftraggeber stehen für den eigenen Datenimport und Datenexport folgende Möglichkeiten zur Verfügung: (z.B. Nennung der Schnittstelle und deren Spezifikation). | ||
|---|---|---|
| 18. | IT Sicherheit | Abweichend von Ziffer 1.2 EVB-IT Cloud-AGB ist nicht nur die Einhaltung der C5 Basiskriterien, sondern auch der C5 Zusatzkriterien geschuldet Abweichend von Ziffer 1.2 EVB-IT Cloud-AGB ist nicht nur die Einhaltung der C5 Basiskriterien, sondern auch der folgenden C5 Zusatzkriterien geschuldet CRY-03: Die für die Verschlüsselung verwendeten privaten Schlüssel sind ausschließlich und ohne Ausnahme dem Kunden nach geltenden rechtlichen und regulatorischen Verpflichtungen und Anforderungen bekannt. AM-05: Physische Assets der internen und externen Mitarbeiter unterliegen einer zentralen Verwaltung. Die zentrale Verwaltung ermöglicht eine Software-, Daten- und Richtlinienverteilung sowie eine Remote-Deaktivierung, -Löschung, oder -Sperrung. OPS-22: Sicherheitspatches werden ab dem Zeitpunkt ihrer Verfügbarkeit* in Abhängigkeit des nach der jüngsten Version des Common Vulnerability Scoring Systems (CVSS) eingeordneten Schweregrades der dadurch adressierten Schwachstellen eingespielt: Kritisch (CVSS = 9.0 - 10.0): 3 Stunden Hoch (CVSS = 7.0 - 8.9): 3 Tage Mittel (CVSS = 4.0 - 6.9): 1 Monat Niedrig (CVSS = 0.1 - 3.9): 3 Monate Abweichend bzw. ergänzend zu Ziffer 6.2 EVB-IT Cloud-AGB wird vereinbart, dass das vom Auftragnehmer implementierte Sicherheitskonzept und sein ISMS auf ISO 27001 und BSI IT-Grundschutz in der jeweils geltenden Fassung basiert. das Notfall-Management gemäß BSI-Standard 100-4 bzw. nach dessen Inkrafttreten BSI Standard 200-4 ISO 22301 erfolgt. die Parteien für den Not- und Krisenfall besondere Vereinbarungen gemäß Anlage Nr. treffen, die auch die erforderliche Beteiligung des BSI einschließen. |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)
[Seite 7]
S,P,I
| der Auftragnehmer die Umsetzung der Vorgaben zur IT-Sicherheit durch entsprechende Zertifikate durch folgende Zertifikate durch (z.B. C5 Testat nach BSI) nachweisen muss. der Auftragnehmer auf Anforderung des Auftraggebers die verwendeten Verschlüsselungs- und Authentifikationsmechanismen offenlegt. Abweichend von Ziffer 1.2 EVB-IT Cloud-AGB wird vereinbart, dass die aus Anlage Nr. ersichtlichen C5 Basiskriterien nicht geschuldet werden. Soweit nicht in der Anlage konkrete Alternativen vorgesehen sind, sieht der Auftragnehmer angemessene Alternativen zur Erfüllung der entsprechenden Anforderungen vor. Dem Auftraggeber ist eine Schnittstelle zum Monitoring* der Leistungen und der Cloud-Infrastruktur zur Verfügung zu stellen. Der Schutzbedarf der vertragsgegenständlichen Daten des Auftraggebers ergibt sich aus Anlage Nr. . Ein CERT des Auftraggebers kann angebunden werden gemäß Anlage Nr. . Zusätzlich zum C5 Basiskriterium OPS-19 finden Penetrationstests nicht nur einmal jährlich, sondern halbjährlich statt. Diese müssen darüber hinaus zwingend durch unabhängige Externe durchgeführt werden. Internes Personal für Penetrationstests darf die externen Dienstleister dabei unterstützen. Ergibt das Prüfungsergebnis gemäß Ziffer 6.4.2 EVB-IT Cloud AGB keine oder nur unwesentliche Beanstandungen, trägt der Auftraggeber die beim Auftragnehmer anfallenden notwendigen Kosten des Auftragnehmers (auch interne Kosten) und etwaiger Unterauftragnehmer bis zu einem Höchstbetrag von Euro netto je Prüfung. Dem Auftraggeber steht das Prüfungsrecht gemäß Ziffer 6.4.2 EVB-IT Cloud AGB anlassunabhängig zu. Ergibt das Prüfungsergebnis keine Beanstandungen, trägt der Auftraggeber die beim Auftragnehmer anfallenden notwendigen Kosten bis zu einem Höchstbetrag von 1.000,00 Euro netto. Gespeicherte Daten (data at-rest) sind verschlüsselt | ||
|---|---|---|
| 19. | Verfügbarkeit* | Abweichend von Ziffer 8 EVB-IT Cloud-AGB schuldet der Auftragnehmer während der Betriebszeit* eine Verfügbarkeit* von mindestens der Verfügbarkeitsklasse* im Bezugszeitraum, ist der Bezugszeitraum* der verstehen sich alle Zeitangaben als Angaben statt nach mitteleuropäischer Zeit (MEZ) bzw. Sommerzeit (MESZ) nach ist die Betriebszeit* die Zeit von bis (hier Tage angeben) von bis Uhr; besteht in der Zeit von 00:00 bis 00:00 Uhr eine Kernbetriebszeit*. Geplante Nichtverfügbarkeiten (etwa zur Installation und Integration der im Vertrag vereinbarten Programmstände*) werden frühzeitig (mindestens 3 Werktage vorher) angekündigt und sind dann auch während der Kernbetriebszeiten möglich; . den besonderen Leistungsmerkmalen gemäß Anlage Nr. ist die Zeit von bis Uhr am (hier Tag angeben) Zeit geplanter Nichtverfügbarkeit (z.B. für Wartungsarbeiten) und wird bei der |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)
[Seite 8]
| Berechnung der Verfügbarkeit* nicht berücksichtigt, In Ergänzung zu Ziffer 8 der EVB-IT Cloud-AGB und der Definition zur Verfügbarkeit* gilt die Leistung auch dann als nicht verfügbar, wenn im Durchschnitt einer Stunde in der Betriebszeit Durchschnitt für die Betriebszeit eines Tages folgendes gegeben ist: Das Antwortzeitverhalten der Funktion (z.B. Bezeichnung einer konkreten Abfrage und der Ausgabe einer entsprechenden Antwort) ist schlechter als (z.B. Sekunden, Minuten). Der Datendurchsatz (die übertragene Datenmenge) am Übergabepunkt (z.B. der Ausgangsrouter des Auftragnehmers zum Internet) beträgt weniger als (z.B.1 GB), pro (z.B. Sekunden, Minuten). Die Paketverzögerung (der Zeitbedarf, um ein IP-Paket von nach zu senden) beträgt mehr als (z.B. 4 Millisekunden). Der Round Trip Delay (RTD) beträgt mehr als Millisekunden. Die Paketverlustrate (die Zahl der IÜ-Pakete, die pro Zeiteinheit verloren gehen, weil sie nicht rechtzeitig an ihren Bestimmungsort gelangen) beträgt mehr als (z.B. 20 Prozent). Weniger als Nutzer können gleichzeitig die Leistung vollumfänglich nutzen. Anstelle der Verfügbarkeitsregelung in Ziffer 8 EVB-IT Cloud-AGB und der Definition zur Verfügbarkeit* gilt Anlage Nr. . Ergänzend zu Ziffer 8 EVB-IT Cloud-AGB liegt eine die Verfügbarkeit* ausschließende betriebsverhindernde Störung* insbesondere auch vor, wenn , betriebsbehindernde Störung*, insbesondere auch vor, wenn . | ||
|---|---|---|
| 20. | Gutschriften bei Nichtverfügbark eit | Für den Fall der Nichteinhaltung der vereinbarten Verfügbarkeit* die folgende Gutschrift zugunsten des Auftraggebers vereinbart: Unterschreitung in Prozentpunkten◘ Gutschrift in Prozent der für den vereinbarten Bezugszeitraum * geschuldeten Vergütung ◘ > 0 < 1 2 % > = 1 < 2 5 % > = 2 < 3 7,5 % > = 3 < 4 10 % > = 4 15 % * Als für den vereinbarten Bezugszeitraum geschuldete Vergütung gilt der Preis für Gesamtpreis für das/die beauftragte/n Studienpaket/e gemäß Pos. 5 Preisblatt (Anlage Nr. 4). Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Gutschriften bei Nichtverfügbarkeit*. Messpunkte für die Feststellung der Verfügbarkeit* sind die folgenden: |
| Unterschreitung in Prozentpunkten◘ | Gutschrift in Prozent der für den vereinbarten Bezugszeitraum * geschuldeten Vergütung ◘ | |
|---|---|---|
| > 0 | < 1 | 2 % |
| > = 1 | < 2 | 5 % |
| > = 2 | < 3 | 7,5 % |
| > = 3 | < 4 | 10 % |
| > = 4 | 15 % |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)
[Seite 9]
| 21. | Reaktions- und Wiederher- stellungszeiten* | Es werden folgende Reaktions- und Wiederherstellungszeiten* vereinbart: Störungsklasse Reaktionszeit* in Wiederherstellungs- Stunden zeit* in Stunden 1 2 3 Schwerwiegende 1 24 Störung* erhebliche Störung* 2 48 Leichte Störung* 12 144 Dabei gilt abweichend von den EVB-IT Cloud-AGB: Die Wiederherstellungszeiten* laufen unabhängig der Servicezeiten von Montag 08:00 Uhr bis Freitag 18:00 Uhr durchgehend. |
|---|---|---|
| 22. | Protokollierung | Der Auftragnehmer führt folgende Protokolle: Protokolle über die Zugriffe auf die vom Auftraggeber genutzten Leistungen einschließlich der entsprechenden Daten und Datensicherungen*. Protokolliert werden muss dabei mindestens, durch wen, wann, wie und wie lange ein Zugriff erfolgte. Protokolle über sämtliche Zugriffe auf Infrastrukturkomponenten. Protokolliert werden müssen dabei insbesondere: An- und Abmeldungen, Installation, Deinstallation und Modifikation von Anwendungen, Änderungen von Berechtigungen und Änderungen im Benutzermanagement. Die Erfassung und Protokollierung weiterer Daten (auch Metadaten) erfolgt in dem im Vertrag vereinbarten Umfang. Protokolle über den Sicherheitsstatus des Cloud-Managementsystems (Vollständigkeit, Verfügbarkeit*, Integrität und Vertraulichkeit der verarbeiteten Daten). Protokolle über Art und Zeitpunkte der durchgeführten Datensicherungsmaßnahmen und Rücksicherungen. Der Auftraggeber hat das jederzeitige Recht, diese Protokolle einzusehen und in elektronisch bearbeitbarer Form abrufen zu können. Die Protokolle sind mindestens: sechs Monate aufzubewahren. 12 Monate aufzubewahren. Die Protokolle sind revisionssicher aufzubewahren, sofern es hierzu gesetzlichen Vorgaben gibt. Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Protokollierung. |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)
[Seite 10]
| 23. | Aktualisierung | Die Leistungen sind mit jeweils allgemein verfügbaren und vom Hersteller regulär supporteten Programmständen* zu erbringen. Der Auftragnehmer ist zu deren Bereitstellung verpflichtet. Der Auftragnehmer ist verpflichtet, folgende Programmstände* zu installieren und zu integrieren, sobald verfügbar: Updates* Upgrades* neue Releases/Versionen* neue Firmwarestände Kritische Sicherheitslücken, die eine sofortige Einspielung von Patches, Updates oder Upgrades erforderlich machen, sind dem Auftraggeber unverzüglich zu melden. Die Umsetzung erforderlicher Maßnahmen zur Behebung der Lücken sind mit dem Auftraggeber abzustimmen. Der Auftragnehmer ist verpflichtet, Programmstände* zur Umsetzung von Änderungen solcher Rechtsvorschriften und technischer Normen gemäß Anlage Nr. zu installieren und zu integrieren. Der Auftragnehmer stellt die geschuldeten Programmstände* innerhalb angemessener Zeit vor, spätestens aber mit dem Inkrafttreten der jeweiligen Vorschrift oder Norm bzw. dem Zeitpunkt der vorgesehenen Änderung bzw. Anpassung. Erfolgt dies nicht spätestens zu diesen Terminen, ist der Auftragnehmer unbeschadet davon verpflichtet, dem Auftraggeber eine Übergangslösung bereitzustellen. Soweit ihm beides zu diesen Terminen zeitlich nicht zumutbar ist, haben sie innerhalb einer angemessenen Frist zu erfolgen. |
|---|---|---|
| 24. | Reporting | Abweichend von Ziffer 9.1 EVB-IT Cloud-AGB erfolgt das Reporting nicht monatlich, sondern täglich wöchentlich quartalsweise Ergänzend zu Ziffer 9 EVB-IT Cloud-AGB hat das Reporting folgende Inhalte: die durchgeführten Einspielungen neuer Programmstände* (z.B. Sicherheitspatches) eine Nutzungsstatistik über die max. Anzahl der gleichzeitigen Nutzer, der Nutzer und der Zugriffe insgesamt über die Fallzahlen des Systems, soweit vergütungsrelevant über erfolgte Zugriffe auf Backup-Daten (insbesondere Nutzer, Zeitpunkt und Umfang des Zugriffs) gemäß Anlage Nr. . sämtliche für die Leistungen relevante Sicherheitsvorfälle (Zeitpunkt, Art, und Umfang des Vorfalls) und die vom Auftragnehmer getroffenen Maßnahmen zu deren Beseitigung die durchgeführten Backups und Datenexporte sowie ihre erfolgreiche Verifikation. weitere Angaben gemäß Anlage . Zusätzlich zu Ziffer 9 EVB-IT Cloud-AGB ist für den Auftraggeber während der Nutzung der Leistung in Echtzeit einsehbar, wie viele Cloud-Ressourcen (Virtueller Speicher, Virtuelles Netzwerk, Virtuelle CPU Last, Virtuelles Storage) aktuell in Gebrauch sind (d.h. eine Darstellungder Auslastung der aktuell sich |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)
[Seite 11]
| in Gebrauch befindlichen Cloud-Ressourcen). Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Reporting. Das Reporting basiert immer auf dem aktuellsten Datenbestand ohne zeitliche Verzögerung. | ||
|---|---|---|
| 25. | Mitwirkungs- leistungen des Auftraggebers | Zusätzlich zu bzw. abweichend von Ziffer 17 EVB-IT Cloud-AGB werden folgende Mitwirkungsleistungen des Auftraggebers vereinbart: gemäß Anlage Nr. |
- Sonderkriterien für IaaS* und PaaS*
| Lfd. | Anzahl gleicher | Parameter | Ausprägung | ||
|---|---|---|---|---|---|
| Systeme | |||||
| 1 | 2 | 3 | 4 | ||
| 1 | fest: minimal: maximal: | Rechenleistung | |||
| CPU-Anzahl vCPU-Anzahl | |||||
| Leistungsklasse bzw. nähere Beschreibung | |||||
| Speicher | |||||
| Arbeitsspeicher | feste Größe: GB dynamisch: mind. GB bis maximal: GB dynamische Anpassung im laufenden Betrieb (kein Neustart) | ||||
| (Festplatten-)Speicher- Größe | feste Größe: GB dynamisch: mind. GB bis maximal: GB dynamische Anpassung im laufenden Betrieb (kein Neustart) | ||||
| (Festplatten-)Speicher-Typ | SATA-Festplatte SSD SAS shared Storage | ||||
| Performanceanforderungen | Leistung in Total IOPS: Datenrate in MB/s mind.: Latenz in ms maximal: | ||||
| Betriebssystem | |||||
| Bezeichnung | (z.B. Linux Red Hat 6 64 bit) | ||||
| Installationsart | Standardinstallation kundenspezifische Ausprägung gemäß Anlage Nr. (z.B. besondere |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)
[Seite 12]
| Härtungsmaßnahmen) | |||
|---|---|---|---|
| Sofern auftraggeberseitig ein Betriebssystem installiert wird, ist Treiberunterstützung für folgende Betriebssysteme des Auftraggebers geschuldet: | (z.B. Linux Red Hat 6 64 bit) (z.B. Windows 10) | ||
| Virtualisierung | |||
| unterstützte Virtualisierungs- umgebungen | (z.B. VMware ESX, HyperV) | ||
| Kommunikationssicherheit | |||
| 2 | COS-06 C5 Zusatzkriterium: Die sichere Trennung durch physisch getrennte Netze oder durch stark verschlüsselte VLANs ist sichergestellt. Zur Definition einer starken Verschlüsselung ist die Technische Richtlinie TR-02102 des BSI zu berücksichtigen. |
- Erweiterung und Reduzierung der Leistung Ein weiteres gleiches System jedoch maximal bis zur vereinbarten Maximalanzahl gleicher Systeme, ist innerhalb von (Tagen, Wochen) nach Anforderung durch den Auftraggeber betriebsbereit bereitzustellen. Das System ist nach Anforderung innerhalb von (Tagen, Wochen) durch den Auftragnehmer zu deaktivieren, soweit dadurch nicht die Minimalanzahl gleicher Systeme unterschritten wird.
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022)