[Seite 1]
Ergänzende Vertragsbedingung Meldung von Cyberangriffen beziehungsweise Sicherheitsvorfällen
Der Auftragnehmer wird im Rahmen der vertraglichen Nebenpflichten den Auftraggeber unverzüglich informieren, wenn er auf Basis konkreter Anhaltspunkte erkennt, dass eine in feindseliger Willensrichtung begangene Handlung betreffend die IT-Infrastruktur des Auftragnehmers oder des Auftraggebers, zum Beispiel ein Cyberangriff, zu einem Schaden oder einer schwerwiegenden Beeinträchtigung der schutzwürdigen Interessen des Auftraggebers, seiner Kunden oder seiner Beschäftigten führt. Dies gilt entsprechend, wenn aufgrund einer derartigen Handlung ein Schaden oder eine schwerwiegende Beeinträchtigung bereits eingetreten ist. Unter den gleichen Voraussetzungen wird der Auftragnehmer den Auftraggeber über anderweitige den Auftraggeber betreffende Sicherheitsvorfälle in Kenntnis setzen.
Die Meldung ist an Universitätsklinikum Freiburg Zentrum für Digitalisierung und Informationstechnologie Informationssicherheit informationssicherheit@uniklinik-freiburg.de Agnesenstraße 6-8 79106 Freiburg im Breisgau zu richten.
Soweit berechtigte Interessen nicht entgegenstehen, hat die Meldung insbesondere folgende Angaben zu umfassen:
• konkrete Beschreibung des Vorfalls;
• Zeitpunkt des Bekanntwerdens;
• den erkannten oder vermuteten Angriffsvektor;
• Erkenntnisse zu einer möglichen Kompromittierung von Daten des Universitätsklinikum Freiburg
• ob es sich um einen meldepflichtigen Vorgang nach Artikel 33 der Datenschutz Grundverordnung handelt und ob eine Meldung an die/den zuständige/n Landesbeauftragte/n für Datenschutz und Informationsfreiheit erfolgt ist;
• ob das Landeskriminalamt oder sonstige (Strafverfolgungs-)Behörden informiert worden sind;
UNIVERSITÄTSKLINIKUM FREIBURG · Anstalt des öffentlichen Rechts · Sitz Freiburg Bankverbindung Aufsichtsrat Vorsitzender: Dr. Carsten Dose Sparkasse Freiburg-Nördlicher Breisgau Vorstand IBAN DE08 6805 0101 0002 0044 06 Leitender Ärztlicher Direktor: Prof. Dr. Dr. h.c. Frederik Wenz (Vorsitz) BIC FRSPDE66 Stellvertretender Leitender Ärztlicher Direktor: Prof. Dr. Dr. Rainer Schmelzeisen Kaufmännischer Direktor: Markus Ehret (komm.) www.uniklinik-freiburg.de Dekan der Medizinischen Fakultät: Prof. Dr. Lutz Hein Pflegedirektor: Helmut Schiffer
[Seite 2]
• die Benennung einer Ansprechperson des Auftragnehmers bezüglich des Vorfalls für den Auftraggeber;
• die Art der Zugriffe der Mitarbeiterinnen beziehungsweise der Mitarbeiter des Auftragnehmers auf die DV-lnfrastruktur des Universitätsklinikum Freiburg.
Der Aufragnehmer wird den Auftraggeber erforderlichenfalls bei der Bearbeitung der Vorgänge und der Aufklärung des Sachverhalts unterstützen.
Diese Benachrichtigung lässt anderweitige Meldepflichten insbesondere auch Melde- und Benachrichtigungspflichten nach Artikel 33 und Artikel 34 DSGVO unberührt.
Der Auftraggeber wird auf die berechtigten Interessen des Auftragnehmers bei der Bearbeitung des Vorgangs Rücksicht nehmen. Er erkennt insbesondere an, dass die Eindämmung des Vorfalls durch den Auftragnehmer Vorrang vor einer Meldung an den Auftraggeber haben kann.
Seite 2/2