[Seite 1]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

VERTRAG ÜBER EINFÜHRUNG IT FINANCIAL MANAGEMENT (ITFM) KFW-2026-0035

BESONDERE VERTRAGSBEDINGUNGEN FÜR INFORMATIONSSI- CHERHEIT BEZÜGLICH CLOUD SERVICES: SAAS (SOFTWARE-AS-A-SER- VICE)

GRUNDSATZ FÜR INFORMATIONSSICHERHEITS-MAßNAHMEN 1.1 Die KfW legt mit dem vorliegenden Dokument (inkl. Anlagen) Mindestanfor- derungen an das Schutzniveau der Informationssicherheits-Maßnahmen fest, die im Rahmen der Leistungserbringung eingehalten werden müssen. Das vorgegebene Mindestschutzniveau kann auch durch abweichende, aber gleichwertige Maßnahmen erfüllt werden. 1.2 Die Wahl geeigneter Maßnahmen im Rahmen des eigenen Informationssi- cherheitsmanagements obliegt dem Auftragnehmer. Der Auftragnehmer ge- währleistet, dass bei der Leistungserbringung durchgehend Maßnahmen zum Schutz der Informationen der Unternehmen des KfW-Konzerns umge- setzt werden, die für die Einhaltung des in diesem Dokument (inklusive An- lage) festgelegte Mindestschutzniveaus sorgen und unter Berücksichtigung des jeweiligen Standes der Technik, der Art, des Umfangs und der Zwecke der Verarbeitung der Informationen sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für eine Gefährdung der Informationssicherheit (Verfüg- barkeit, Authentizität, Integrität und Vertraulichkeit der Informationen) getrof- fen worden sind. 1.3 Alle Referenzen auf den BSI Cloud Computing Compliance Criteria Ca- talogue - C5 in diesem Dokument beziehen sich auf die Version C5:2020. Alle Referenzen auf ISO Controls in diesem Dokument beziehen sich auf die Version DIN ISO 27001:2022. 1.4 Informationen im Sinne dieser Bestimmungen sind Informationen, die dem Auftragnehmer von der KfW oder einem Unternehmen des KfW-Konzerns zugänglich gemacht werden, sowie sämtliche Informationen und Erkennt- nisse, die er durch die oder gelegentlich der Zusammenarbeit mit der KfW oder einem Unternehmen des KfW-Konzerns auf Grundlage dieses Vertra- ges gewinnt, insbesondere auch Geschäfts- oder Betriebsgeheimnisse des KfW-Konzerns, seiner Kunden und sonstigen Geschäftspartner und umfas- sen sowohl elektronische Daten als auch Informationen, die nicht in elektro- nischer Form vorliegen. 1.5 Die Ziffer 4 bis 9 dieses Dokuments setzen Vorgaben der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor (DORA) sowie der zugehörigen Delegierten Rechtsakte und Durchführungsrechtsakte um und sind dementsprechend auszulegen.

Seite 1

[Seite 2]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

ALLGEMEINE ANFORDERUNGEN AN DIE INFORMATIONSSICHERHEIT 2.1 Die definierten Soll-Sicherheitsmaßnahmen (insb. angemessene Organisati- onsstruktur, geeignete Prozesse, technische und organisatorische Maßnah- men), die im Rahmen der Leistungserbringung zur Anwendung kommen, müssen geeignet sein, um ein dem Finanzsektor angemessenes IT- und In- formationssicherheitsniveau unter Einhaltung der regulatorischen Anforde- rungen zu erreichen. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 5.31) 2.2 Die im Rahmen der Leistungserbringung zur Anwendung kommenden Soll- Sicherheitsmaßnahmen müssen den Anforderungen der Normenreihe ISO 27001 / 27002 entsprechen und aus Best Practices, den Ergebnissen der Informationssicherheit-Risikoanalysen, (Security) Audits und Informationssi- cherheitsvorfällen abgeleitet sein. Darüber hinaus müssen die Soll-Sicherheitsmaßnahmen den Anforderungen der Basiskriterien des Cloud Computing Compliance Controls Catalog - C5 des Bundesamts für Sicherheit in der Informationstechnik (BSI https://www.bsi.bund.de/) entsprechen, welche insbesondere Sicherheitsan- forderungen in Cloud-Umgebungen konkretisieren. Dabei gilt die Normenreihe ISO 27001 / 27002 jeweils in der aktuellen Version nach Ablauf einer angemessenen Übergangsfrist, jedoch spätestens 2 Jahre nach Inkrafttreten einer neuen Version. Gleiches gilt für die Basiskriterien so- wie in dieser Vertragsanlage vereinbarte Zusatzkriterien des Cloud Compu- ting Compliance Controls Catalog - C5 des Bundesamts für Sicherheit in der Informationstechnik. Sollte der Auftragnehmer nicht innerhalb von 2 Jahren (vorbehaltlich einer anderen vom Gesetzgeber vorgegebenen Umsetzungsfrist, die in jedem Fall einzuhalten ist) ab der Veröffentlichung des Nachfolgedokumentes gegen- über der KfW auf Anforderung erklären, dass er die neuen und die geänder- ten Anforderungen erfüllt, hat die KfW ein mit einer Frist von einem Monat auszuübendes Sonderkündigungsrecht bezogen auf die betroffenen Leistun- gen. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 5.31) 2.3 Der Auftragnehmer setzt einen Informationssicherheitsbeauftragten bzw. Hauptverantwortlichen für die Informationssicherheit im Unternehmen mit di- rektem Berichtsweg zur Geschäftsleitung fortlaufend ein. (KfW-spezifische Vorgabe zusätzlich zu. ISO Control 5.2) 2.4 Der Auftragnehmer stellt der KfW eine zentrale Ansprechperson für Belange der Informationssicherheit für die Vertragslaufzeit zur Verfügung. (KfW-spe- zifische Vorgabe zusätzlich zu ISO Control 5.2)
ERGÄNZENDE ANFORDERUNGEN AN DIE INFORMATIONSSICHERHEIT 3.1 Der Auftragnehmer erbringt die Leistungen zusätzlich zu den Vorgaben der Ziffer 2 dieser Besonderen Vertragsbedingungen unter Einhaltung der folgen- den Zusatzkriterien des Cloud Computing Compliance Criteria Catalogue - C5.

IDM-02	Vergabe und Änderung von Zugangs- und Zugriffsberechtigun- gen
IDM-08	Vertraulichkeit von Authentisierungsinformationen

Seite 2

[Seite 3]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

PROGRAMME DER KFW ZUR IKT-SICHERHEIT UND SCHULUNGEN (Art. 30 Abs. 2 i in Verbindung mit Art. 13 Abs. 6 DORA) 4.1 Der Auftragnehmer bestimmt auf Verlangen der KfW einzelne zur Leistungs- erbringung eingesetzte Personen, einschließlich solcher Personen, die in lei- tender Funktion beteiligt sind, zur planmäßigen oder ad hoc Teilnahme und Mitwirkung an von der KfW angebotenen Programmen zur Sensibilisierung für die Sicherheit der Informations- und Kommunikationstechnologien (IKT) sowie an Schulungen zur digitalen operationalen Resilienz. 4.2 Der Auftragnehmer wird die Inhalte der Programme und Schulungen bei der Erbringung der Vertragsleistungen an die KfW beachten. Sofern dafür eine Änderung der Vertragsleistungen oder dieses Vertrages erforderlich wird, in- formiert der Auftragnehmer die KfW hierüber unverzüglich.
IKT-BEZOGENE VORFÄLLE GEMÄẞ DORA: DEFINITIONEN 5.1 Ein „IKT-bezogener Vorfall“ im Sinne dieses Vertrages ist ein nicht geplantes Ereignis bzw. eine entsprechende Reihe verbundener Ereignisse, das bzw. die die Sicherheit der Netzwerk- und Informationssysteme beeinträchtigt und nachteilige Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Informationen der Unternehmen des KfW-Konzerns oder auf die für die Unternehmen des KfW-Konzerns erbrachten Leistungen hat. 5.2 Ein „schwerwiegender IKT-bezogener Vorfall“ im Sinne dieses Vertrages ist ein IKT-Vorfall, der umfassende nachteilige Auswirkungen auf die Netzwerk- und Informationssysteme hat, die kritische oder wichtige Funktionen der Un- ternehmen des KfW-Konzerns unterstützen.

5.3 „Netzwerk- und Informationssysteme“ im Sinne dieses Vertrages umfassen a. elektronische Kommunikationsnetze im Sinne des Artikels 2 Nummer 1 der Richtlinie (EU) 2018/1972, d.h. Übertragungssysteme, ungeachtet des- sen, ob sie auf einer permanenten Infrastruktur oder zentralen Verwal- tungskapazität basieren, und gegebenenfalls Vermittlungs- und Leitwe- geinrichtungen sowie anderweitige Ressourcen – einschließlich der nicht aktiven Netzbestandteile –, die die Übertragung von Signalen über Kabel, Funk, optische oder andere elektromagnetische Einrichtungen ermögli- chen, einschließlich Satellitennetze, feste (leitungs- und paketvermittelt, einschließlich Internet) und mobile Netze, Stromleitungssysteme, soweit sie zur Signalübertragung genutzt werden, Netze für Hör- und Fernseh- funk sowie Kabelfernsehnetze, unabhängig von der Art der übertragenen Informationen, b. ein Gerät oder eine Gruppe miteinander verbundener oder zusammenhän- gender Geräte, die einzeln oder zu mehreren auf der Grundlage eines Pro- gramms die automatische Verarbeitung digitaler Daten durchführen, oder c. digitale Daten, die von den – in den Buchstaben a und b genannten – Ele- menten zum Zwecke ihres Betriebs, ihrer Nutzung, ihres Schutzes und ih- rer Pflege gespeichert, verarbeitet, abgerufen oder übertragen werden.

Seite 3

[Seite 4]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

IKT-VORFALLSMELDUNG (Art. 19 und 20 DORA) 6.1 Zur Erfüllung von Meldepflichten der KfW gegenüber Aufsichtsbehörden mel- det der Auftragnehmer der KfW jeden IKT- bezogenen Vorfall gem. Ziffer 5 unverzüglich und spätestens innerhalb von zwölf (12) Stunden nach Kenntnis des Auftragnehmers an die KfW per E-Mail an die E-Mail-Adresse lagezent- rum@kfw.de. Der Inhalt der Meldung enthält mindestens die in Anlage IKT- Vorfallsmeldung Teil 1 enthaltenen Inhalte. 6.2 Sofern es sich bei dem IKT-bezogenen Vorfall nach Bewertung der KfW um einen schwerwiegenden IKT-bezogenen Vorfall handelt, wird die KfW dies dem Auftragnehmer unverzüglich mitteilen. In diesem Fall hat der Auftrag- nehmer a. der KfW innerhalb von sechzig (60) Stunden nach Kenntnis des IKT-bezo- genen Vorfalls durch den Auftragnehmer mindestens die weiteren Anga- ben gemäß IKT-Vorfallsmeldung Teil 2 bereitzustellen und b. die nach vorstehendem Buchstaben a übermittelten Angaben aktualisiert bereitzustellen, sobald sich der Status oder die Handhabung des ur- sprünglichen IKT-bezogenen Vorfalls erheblich geändert hat sowie im Falle einer entsprechenden Aufforderung der Aufsichtsbehörden sowie c. im Falle einer Beendigung des IKT-bezogenen Vorfalls am Tag nach der Beendigung und ansonsten innerhalb von 21 Tagen ab Kenntnis des Auf- tragnehmers sowie danach auf Verlangen der KfW sämtliche Informatio- nen gemäß Anlage IKT-Vorfallsmeldung Teil 3 bereitzustellen, die die KfW für den durch die KfW zu erstellenden Abschlussbericht benötigt. 6.3 Die Datenfelder gemäß der Anlage IKT-Vorfallsmeldung basieren auf den entsprechenden Delegierten Rechtsakte der EU zu DORA. Die KfW hat das Recht in Bezug auf die Anlage IKT-Vorfallsmeldung zur Beachtung der je- weils aktuellen Vorgaben für Meldeverpflichtungen Datenfelder einseitig zu ändern.
UNTERSTÜTZUNG BEI IKT-BEZOGENEN VORFÄLLEN (Art. 30 Abs. 2 f DORA) 7.1 Der Auftragnehmer wird der KfW im Falle eines IKT-bezogenen Vorfalls – einschließlich schwerwiegender IKT-bezogener Vorfälle –, der in Zusammen- hang mit den vereinbarten Vertragsleistungen steht, unverzüglich Unterstüt- zung zur Beseitigung des IKT-bezogenen Vorfalls und seiner Folgen gewäh- ren. 7.2 Diese Unterstützung umfasst unter anderem die Bereitstellung von techni- schem Support, die Analyse des IKT-bezogenen Vorfalls, die Umsetzung not- wendiger Sofortmaßnahmen zur Eindämmung und Behebung des IKT-bezo- genen Vorfalls und die Mitwirkung am Lessons Learned Prozess. 7.3 Für die Unterstützung erhält der Auftragnehmer keine zusätzliche Vergütung; es sei denn, die KfW hat den Eintritt des IKT-bezogenen Vorfalls zu vertreten. In diesem Fall kann der Auftragnehmer eine angemessene Vergütung auf Grundlage der für den Vertrag geltenden Konditionen oder, wenn der Vertrag keine Regelung enthält, eine am Sitz der KfW ortsübliche Vergütung, verlan- gen.

Seite 4

[Seite 5]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

SONSTIGE INFORMATIONSSICHERHEITSVORFÄLLE 8.1 Alle sonstigen sicherheitskritischen Ereignisse, die keine IKT-bezogenen Vorfälle sind (z.B., weil diese sich nicht auf Netzwerk- und Informationssys- teme beziehen) und aus denen eine mögliche Kompromittierung hinsichtlich der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Informatio- nen in Bezug zu den Unternehmen des KfW-Konzerns resultieren könnte, sind der KfW zu melden. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 6.8) 8.2 Der Auftragnehmer meldet dies der KfW unverzüglich, spätestens innerhalb von achtundvierzig (48) Stunden nach Bekanntwerden an die Organisations- einheit für Informationssicherheit der KfW an die E-Mail-Adresse lagezent- rum@kfw.de. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 6.8)
WEITERE INFORMATIONSPFLICHTEN 9.1 Während der Vertragslaufzeit und nach Beendigung des Vertrages (gemäß den Vorgaben der Allgemeinen Vertragsbedingungen, soweit vereinbart) hat der Auftragnehmer auf Verlangen der KfW Prüfberichte zu datenschutz- und informationssicherheitsrelevanten Vorgängen und Vorfällen, welche Informa- tionen in Bezug zu den Unternehmen des KfW-Konzerns tangieren, vorzule- gen. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 6.8) 9.2 Während der Vertragslaufzeit muss der Auftragnehmer auf Verlangen der KfW Nachweise vorlegen, welche die Konformität seines ISMS und seines IT- und Informationssicherheitsniveaus mit den gesetzlichen und vertragli- chen Vorgaben bestätigen. Hierzu kann der Auftragnehmer beispielsweise folgende Nachweise vorlegen: a. gültiges BSI C5-Testat (inkl. aktuelle C5-Berichterstattung vom Typ2), oder b. gültige ISO 27001-Zertifizierung (inkl. Statement of Applicability), oder c. gültige ISAE 3402-Zertifizierung (mit Bezug zum Informationssicherheits- management), oder d. gleichwertig anzusehende gültige Zertifizierungen oder e. wenn keine geeigneten Zertifizierungen vorliegen: sonstige geeignete Prüfberichte, welche die Funktionsfähigkeit der leistungsbezogenen ISMS-relevanten Prozesse und Verfahren belegen. 9.3 Auf Anforderung der KfW legt der Auftragnehmer außerdem Nachweise über die regelmäßige Durchführung von Audits/Überprüfungen der Sicherheits- maßnahmen, Penetrationstests und Schwachstellenanalysen vor, z. B. durch entsprechende Bestätigungen von Auditoren. 9.4 Soweit die Vertragsbeziehung mit dem Auftragnehmer für die KfW eine Aus- lagerung im Sinne des KWG darstellt, umfasst die Nachweispflicht des Auf- tragnehmers u.a. auch Berichte zu IT-Prüfungen im Rahmen der Jahresab- schlussprüfung (bspw. IDW PS 330, 340 etc.); Nachweise über den Betrieb eines ISMS (bspw. ISO 27001 / IT-Grundschutz), Prüfungen der Wirksamkeit des internen Kontrollsystems beim Dienstleister (bspw. ISAE 3402, SAS 70, IDW PS 951, etc.) sowie Revisions- und Prüfberichte, die im Zusammenhang mit der vereinbarten Vertragsleistung stehen.

Seite 5

[Seite 6]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

9.5 Soweit Geschäftsgeheimnisse des Auftragnehmers betroffen sind, werden die Vertragsparteien ein Vorgehen vereinbaren, das die gegenseitigen Inte- ressen jeweils ausreichend berücksichtigt.

Prüfrechte der KfW 10.1 Zudem ist der Auftragnehmer auf Verlangen der KfW verpflichtet, entspre- chend qualifiziertem bzw. ausgebildetem Personal der KfW oder einer von der KfW beauftragten unabhängigen zur Berufsverschwiegenheit verpflichte- ten Prüfungsgesellschaft während der normalen Geschäftszeiten Zugang insbesondere zu den für die Verarbeitung der Informationen der Unterneh- men des KfW-Konzerns relevanten Verarbeitungssystemen, Einrichtungen sowie zu unterstützenden Unterlagen zu gewähren, sodass die KfW prüfen kann, ob der Auftragnehmer die gesetzlichen und vertraglichen Vorgaben einhält. Die Prüfung ist unter Beachtung der Sicherheitsbelange und der Be- triebs- und Geschäftsgeheimnisse des Auftragnehmers sowie der weiteren Kunden des Auftragnehmers durchzuführen. Der Auftragnehmer ist verant- wortlich dafür, dass die Prüfung gleichwohl effektiv und im erforderlichen Um- fang erfolgen kann. Jede Partei trägt die ihr entstehenden Kosten für derar- tige Prüfungen selbst. Soweit zielführend, sollte sich die Prüfung an dem Leit- faden „Anwendung des BSI C5 durch Interne Revision und Informationssi- cherheit“ der ISACA Germany Chapter e.V. orientieren. Die Grundsätze von Verhältnismäßigkeit und Wirtschaftlichkeit sind dabei grundsätzlich im Inte- resse aller Parteien zu wahren. 10.2 Die Prüfung hat mit angemessener Vorankündigung für den Auftragnehmer sowie unter Einhaltung der vertraglichen Vertraulichkeitsregeln zu erfolgen. Sie findet grundsätzlich, soweit kein besonderer Anlass besteht, nur einmal innerhalb eines 12 Monatszeitraums statt. Vor Beginn einer solchen Prüfung teilt die KfW den initialen Prüfungsgegenstand und den geplanten Umfang mit, damit der Auftragnehmer entsprechende Vorbereitungen treffen kann. Über Ort, Datum und Ansprechpartner stimmen sich die Parteien ab. 10.3 Etwaige sonstige vertragliche und gesetzliche Zugangs-, Informations- und Prüfrechte sowie Kontrollmöglichkeiten der KfW bleiben unberührt und kön- nen auch in Hinsicht auf Informationssicherheit geltend gemacht werden.
VERTRAGSÄNDERUNGSRECHT 11.1 Der KfW steht während der gesamten Vertragslaufzeit das Recht zu, ihre Einstufung zu überprüfen und zu ändern a. welchen Schutzbedarf sie den dem Auftragnehmer im Rahmen der Leis- tungserbringung überlassenen Informationen im Hinblick auf Verfügbar- keit, Authentizität, Integrität und Vertraulichkeit einschließlich der Risi- koeinschätzung zuordnet sowie b. ob die Vertragsleistung im Sinne von DORA eine IKT-Dienstleistung dar- stellt oder kritische oder wichtige Funktionen der Unternehmen des KfW- Konzerns unterstützt. 11.2 Eine Änderung der Einstufungen nach vorstehendem Absatz kann infolge veränderter tatsächlicher Gegebenheit, wie beispielsweise die Änderung der von dem Auftragnehmer erlangten Informationen, oder des Standes der Technik oder wegen veränderter rechtlicher Maßstäbe erfolgen. Bei einer

Seite 6

[Seite 7]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

veränderten Einstufung nach vorstehendem Absatz steht der KfW während der gesamten Vertragslaufzeit das Recht zu, Änderungen dieses Dokuments und seiner Anlagen zu verlangen. Der Auftragnehmer hat solchen Verlangen unverzüglich in Textform (§126b BGB) zuzustimmen, es sei denn, die Ände- rung ist für den Auftragnehmer unzumutbar oder liegt nicht innerhalb seiner Leistungsfähigkeit. 11.3 Im Übrigen gelten, soweit vereinbart, die Regelungen zu Vertragsänderun- gen gemäß den Allgemeinen Vertragsbedingungen.

Seite 7

[Seite 8]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

Anlage: IKT-Vorfallsmeldung (1) Teil 1 – Inhalt der Erstmeldung

Description
Datum und Uhrzeit der Feststellung des IKT-bezogenen Vorfalls	Bei wiederholten Vorfällen das Datum und die Uhrzeit der Feststellung des letzten IKT-bezogenen Vorfalls.
Beschreibung der relevantesten Aspekte des IKT-bezogenen Vorfalls.	Bitte geben Sie einen allgemeinen Überblick über die folgenden Informationen:
…mögliche Ursachen
… unmittelbare Auswirkungen
…betroffene Systeme
…andere relevante Informationen
Ist die Sicherheit von Netz- und Informati- onssystemen betroffen?	Ja/Nein
Ist die Vertraulichkeit von Daten betroffen?	Ja/Nein
Ist die Integrität (inkl. Authentizität) von Da- ten betroffen?	Ja/Nein
Ist die Verfügbarkeit von Daten betroffen?	Ja/Nein
Handelt es sich um einen Cyberangriff?	Ja/Nein

(2) Teil 2 – Inhalt der Zwischenmeldung

Description
Datum und Uhrzeit des Eintretens des Vor- falls	Bei wiederholten IKT-bezogenen Vorfällen Datum und Uhrzeit des Eintretens des letzten IKT-bezoge- nen Vorfalls.

[Seite 9]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

Datum und Uhrzeit der Wiederherstellung der Dienste, Tätigkeiten oder Vorgänge	Angaben zu Datum und Uhrzeit der Wiederherstellung der von dem IKT-bezogenen Vorfall betroffe- nen Dienste, Tätigkeiten oder Vorgänge.
Dauer des Vorfalls	Die Dauer des IKT-bezogenen Vorfalls bestimmt sich vom Zeitpunkt des Eintretens des IKT-bezoge- nen Vorfalls bis zu dem Zeitpunkt, zu dem der Vorfall behoben wurde. Wenn der Zeitpunkt nicht bestimmbar ist, zu dem der IKT-bezogene Vorfall eingetreten ist, wird die Dauer des IKT-bezogenen Vorfalls ab dem Zeitpunkt bestimmt, zu dem der Dienstleister den IKT-be- zogenen Vorfall festgestellt hat, oder ab dem Zeitpunkt, zu dem der der Dienstleister den IKT-bezoge- nen Vorfall in Netzwerk- oder Systemprotokollen oder anderen Datenquellen aufgezeichnet hat, je nachdem,welcher Zeitpunkt zuerst eintritt.
Ausfallzeiten	Ausfallzeiten werden gemessen ab dem Zeitpunkt, zu dem der Dienst vollständig oder teilweise nicht mehr verfügbar für die Unternehmen des KfW-Konzerns ist, bis zu dem Zeitpunkt, zu dem die regulä- ren Tätigkeiten oder Vorgänge in dem vor dem IKT-bezogenen Vorfall herrschenden Umfang wieder- hergestellt sind. Wenn mehrere Dienste beeinträchtigt sind, bemisst sich die Ausfallzeit bis zu dem Zeitpunkt bis zu dem alle Dienste in vollem Umfang wieder hergestellt sind. Führen die Ausfallzeiten nach der Wiederherstellung der regulären Tätigkeiten oder Vorgänge zu ei- ner Verzögerung bei der Bereitstellung von Dienstleistungen an die Unternehmen des KfW-Konzerns, so werden die Ausfallzeiten vom Beginn des IKT-bezogenen Vorfalls bis zu dem Zeitpunkt, zu dem die verzögerte Dienstleistung erbracht ist, bemessen.
Angaben dazu, ob es sich bei der Dauer und den Ausfallzeiten um tatsächliche Zah- len oder Schätzungen handelt.	(a) Tatsächliche Zahlen; (b) Schätzungen; (c) tatsächliche Zahlen und Schätzungen; (d) keine Informationen verfügbar.
Beschreibung der Auswirkungen des IKT- bezogenen Vorfalls auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten der Unternehmen des KfW-Kon- zerns	Anzugeben ist die Art der von dem Vorfall betroffenen Daten, insbesondere, ob die Daten vertraulich sind und um welche Art von Vertraulichkeit es sich handelt (z. B. personenbezogene Daten, usw.).Die Informationen können auch mögliche Risiken im Zusammenhang mit den Datenverlusten umfassen, z. B. ob die von dem Vorfall betroffenen Daten zur Identifizierung einzelner Personen verwendet wer- den können und von dem Angreifer genutzt werden könnten, um Kredite oder Darlehen ohne die Zu- stimmung dieser Personen zu erhalten, Spear-Phishing-Angriffe durchzuführen oder Informationen öffentlich preiszugeben.

[Seite 10]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

Art des Vorfall	(a) Cybersicherheits-bezogen; (b) Prozessversagen; (c) Systemversagen; (d) Externes Ereignis; (e) Zahlungsbezogen; (f) Sonstiges (bitte angeben)
Bedrohungen und Techniken des Angreifers	Die folgenden Bedrohungen und Techniken müssen berücksichtigt werden: 1. Social Engineering (einschließlich Phishing); 2. (D)DoS; 3. Identitätsdiebstahl; 4. Datenverschlüsselung mit weitergehenden Folgen, einschließlich Ransomware; 5. Kaperung von Ressourcen; 6. Datenexfiltration und -manipulation, einschließlich Identitätsdiebstahl; 7. Datenvernichtung; 8. mutwillige Veränderung (Defacement); 9. Lieferkettenangriff; 10. Sonstiges (bitte angeben).
Angabe, welche Behörden über den IKT-be- zogenen Vorfall informiert wurden.	(a) Polizei/Straf-verfolgung; (b) CSIRT; (c) Datenschutzbehörde; (d) nationale Agentur für Cybersicherheit; (e) keine; (f) andere (bitte angeben)
Beschreibung etwaiger ergriffener oder ge- planter befristeter Maßnahmen zur Wieder- herstellung nach dem Vorfall	Es ist zu beschreiben, welche Sofortmaßnahmen ergriffen wurden, einschließlich der Isolierung des Vorfalls auf Netzwerkebene, der Aktivierung von Workaround-Verfahren, der Sperrung von USB- Ports, der Aktivierung der Site für die Wiederherstellung im Notfall und anderer vorübergehend einge- richteter zusätzlicher Sicherheitsmechanismen. Der Dienstleister muss das Datum und die Uhrzeit der Umsetzung der befristeten Maßnahmen sowie den voraussichtlichen Zeitpunkt der Rückkehr zur primären Site angeben. Bei befristeten Maßnah- men, die nicht umgesetzt wurden, aber noch geplant sind, ist das Datum anzugeben, bis zu dem sie voraussichtlich umgesetzt werden.

[Seite 11]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

Falls keine befristeten Maßnahmen ergriffen wurden, bitte den Grund angeben.

Gegebenenfalls Informationen im Zusam- menhang mit dem IKT-bezogenen Vorfall, die dazu beitragen können, böswillige Aktivi- täten innerhalb eines Netzwerks oder Infor- mationssystems zu erkennen (Kompromit- tierungsindikatoren).

Die bereitgestellten Kompromittierungsindikatoren enthalten die folgenden Datenkategorien: a) IP-Adressen; b) URL-Adressen; c) Domains; d) Datei-Hashes; e) Daten zu Schadsoftware (Name der Schadsoftware, Dateinamen und ihre Speicherorte, spezifi- sche Registrierungsschlüssel im Zusammenhang mit Schadsoftware-Aktivitäten); f) Daten zu Netzaktivitäten (Ports, Protokolle, Adressen, Referrer, User Agents, Header, spezifische Protokolle oder auffällige Muster im Netzwerkverkehr); g) Daten zu E-Mail-Nachrichten (Absender, Empfänger, Betreff, Header, Inhalt); h) DNS-Anfragen und Registrierungskonfigurationen; i) Nutzerkontoaktivitäten (Anmeldungen, Kontoaktivitäten privilegierter Nutzer, Rechteausweitung); j) Datenbankverkehr (Lesen/Schreiben), Anfragen für dieselbe Datei. Diese Art von Informationen kann in der Praxis Daten umfassen, die sich unter anderem auf Indikato- ren, die Muster im Netzwerkverkehr im Zusammenhang mit bekannten Angriffen/Botnetkommunika- tion beschreiben, IP-Adressen von mit Schadsoftware infizierten Rechnern (Bots), Daten über von Schadsoftware genutzte „Command and Control“-Server (in der Regel Domains oder IP-Adressen) und URLs in Bezug auf Phishing-Websites oder Websites, bei denen beobachtet wurde, dass sie für das Hosting von Schadsoftware oder Exploit Kits genutzt werden, beziehen. Dieses Feld ist verpflichtend für den Zwischenbericht und die Abschlussmeldung, wenn „Cybersicher- heits-bezogen“ in „Art des Vorfalls“ weiter oben angegeben wurde.

[Seite 12]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein (3) Teil 3 – Inhalt der Abschlussmeldung

Description

Übergeordnete Einstufung der Ursa- chen des IKT-bezogenen Vorfalls bei den Arten von Vorfällen.

a) Böswillige Handlungen; b) Prozessversagen; c) Systemversagen/-störung; d) menschliches Versagen; e) externes Ereignis

Detaillierte Einstufung der Ursachen des IKT-bezogenen Vorfalls bei den Arten von Vorfällen.

1. Böswillige Handlungen (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Vorsätzliche interne Handlungen; b) vorsätzliche physische Schäden/Manipulation/Diebstahl; c) betrügerische Handlungen. 2. Prozessversagen (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Unzureichende Überwachung oder mangelhafte Überwachung und Kontrolle; b) unzureichende/unklare Rollen und Zuständigkeiten; c) Versagen des IKT-Risikomanagementprozesses; d) unzureichende oder nicht funktionierende IKT-Abläufe und IKT-Sicherheitsabläufe; e) unzureichendes oder nicht funktionierendes IKT-Projektmanagement; f) unzureichende interne Richtlinien, Verfahren und Dokumentation; g) unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen; h) Sonstiges (bitte angeben). 3. Systemversagen/-störung (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Hardwarekapazität und -leistung: IKT-bezogene Vorfälle, die durch Hardwareressourcen verursacht wer- den, die sich in Bezug auf Kapazität oder Leistung als unzureichend erweisen, um die geltenden rechtlichen Anforderungen zu erfüllen; b) Wartung der Hardware: IKT-bezogene Vorfälle infolge unangemessener oder unzureichender Wartung von Hardwarekomponenten (ausgenommen „Veralterung/Alterung der Hardware“); c) Veralterung/Alterung der Hardware: Diese Ursache betrifft IKT-bezogene Vorfälle aufgrund veralteter oder alternder Hardwarekomponenten;

[Seite 13]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein d) Softwarekompatibilität/-konfiguration: IKT-bezogene Vorfälle, die durch Softwarekomponenten verursacht werden, die mit anderen Software- oder Systemkonfigurationen nicht kompatibel sind, einschließlich IKT-be- zogener Vorfälle aufgrund von Softwarekonflikten, fehlerhaften Einstellungen oder falsch konfigurierten Para- metern, die sich auf die Gesamtfunktionalität des Systems auswirken; e) Softwareleistung: IKT-bezogene Vorfälle infolge von Softwarekomponenten, die aus anderen als den unter „Softwarekompatibilität/-konfiguration“ genannten Gründen eine schlechte Leistung oder Ineffizienz aufwei- sen, einschließlich IKT-bezogener Vorfälle, die durch langsame Reaktionszeiten, übermäßigen Ressourcen- verbrauch oder ineffiziente Abfragen, die sich auf die Leistung der Software oder des Systems auswirken, verursacht werden; f) Netzwerkkonfiguration: IKT-bezogene Vorfälle, die auf fehlerhafte oder falsch konfigurierte Netzwerkein- stellungen oder -infrastruktur zurückzuführen sind, einschließlich IKT-bezogener Vorfälle aufgrund von Netz- werkkonfigurationsfehlern, Routingproblemen, Fehlkonfigurationen der Firewall oder anderen netzwerkbezo- genen Problemen, die die Konnektivität oder die Kommunikation beeinträchtigen; g) physische Schäden: IKT-bezogene Vorfälle, die durch physische Schäden an der IKT-Infrastruktur verur- sacht werden, die zu Systemversagen führen; h) Sonstiges (bitte angeben).

Menschliches Versagen (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Unterlassung (unbeabsichtigt); b) Irrtum; c) Fähigkeiten und Kenntnisse: IKT-bezogene Vorfälle, die durch mangelndes Fachwissen oder mangelnde Kompetenz im Umgang mit IKT-Systemen oder -Prozessen verursacht werden, was auf unzureichende Aus- bildung, unzureichendes Wissen oder Qualifikationsdefizite im Hinblick auf die durchzuführenden Aufgaben oder die Bewältigung technischer Herausforderungen zurückzuführen sein kann; d) unzureichende personelle Ausstattung: IKT-bezogene Vorfälle, die durch einen Mangel an erforderlichen Ressourcen, einschließlich Hardware, Software, Infrastruktur oder Personal, verursacht werden, einschließ- lich Situationen, in denen unzureichende Ressourcen zu operativen Ineffizienzen, Systemversagen oder der Unfähigkeit der Unternehmen, die geschäftlichen Anforderungen zu erfüllen, führen; e) Fehlkommunikation; f) Sonstiges (bitte angeben).
Externes Ereignis (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Naturkatastrophen/höhere Gewalt;

[Seite 14]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

b) Ausfälle bei Dritten; c) Sonstiges (bitte angeben).

Weitergehende Einstufung der Ursa- chen des Vorfalls IKT-bezogenen Vor- falls bei den Arten von Vorfällen

2(a) Unzureichende oder mangelhafte Überwachung und Kontrolle: a) Überwachung der Einhaltung von Richtlinien; b) Überwachung von Drittdienstleistern; c) Überwachung und Überprüfung der Behebung von Schwachstellen; d) Identitäts- und Zugangsmanagement; e) Verschlüsselung und Kryptografie; f) Protokollierung. 2(c) Versagen des IKT-Risikomanagementprozesses: a) Versäumnis, genaue Risikotoleranzen festzulegen; b) unzureichende Bewertungen von Bedrohungen und Schwachstellen; c) unzureichende Maßnahmen für die Risikobehandlung; d) Unzureichendes Management der IKT-Restrisiken. 2(d) Unzureichende oder nicht funktionierende IKT-Abläufe und IKT-Sicherheitsabläufe: a) Schwachstellen- und Patch-Management; b) Änderungsmanagement; c) Kapazitäts- und Leistungsmanagement; d) Management von IKT-Assets und Informationsklassifizierung; e) Sicherung und Wiederherstellung; f) Fehlerbehandlung. 2(g) Unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen: a) Unzureichende Beschaffung, Entwicklung und Wartung von IKT-Systemen; b) unzureichende Software-Tests oder Versagen von Software-Tests.

[Seite 15]

BVB Informationssicherheit für Cloud Services Dokumentversion:11.09.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 2-2-2, kwF-nein

Beschreibung der Abfolge der Ereig- nisse, die zu dem IKT-bezogenen Vor- fall geführt haben, und Beschreibung, wie der Vorfall eine offensichtlich ähn- liche Ursache hat, wenn dieser Sicher- heitsvorfall als wiederholter Vorfall ein- gestuft wird	Dies beinhaltet eine kurze Beschreibung aller zugrunde liegenden Gründe und Hauptfaktoren, die zum Ein- treten des IKT-bezogenen Vorfalls beigetragen haben. Bei böswilligen Handlungen ergänzt um eine Beschreibung des Mechanismus der böswilligen Handlung, ein- schließlich der verwendeten Taktiken, Techniken und Verfahren, sowie des Eintrittsvektors des Vorfalls, Gegebenenfalls einschließlich einer Beschreibung der Untersuchungen und Analysen, die zur Ermittlung der Ursachen geführt haben.
Zusätzliche Angaben zu den Maßnah- men, die ergriffen wurden/geplant sind, um den Vorfall dauerhaft zu be- heben und zu verhindern, dass sich dieser Vorfall erneut ereignet. Aus dem Vorfall gewonnene Erkennt- nisse.	Die Beschreibung muss folgende Punkte enthalten (nicht abschließende Liste): 1. Beschreibung der Maßnahmen zur Behebung a) Maßnahmen zur dauerhaften Behebung des Vorfalls (ausgenommen befristete Maßnahmen); b) bei jeder ergriffenen Maßnahme Angabe Ihrer potenziellen Beteiligung; c) Angabe, ob die Verfahren nach dem Vorfall angepasst wurden; d) Angabe etwaiger zusätzlicher Kontrollen, die eingeführt wurden oder geplant sind (mit Zeitplan für die Um- setzung). Mögliche Probleme in Bezug auf die Robustheit der betroffenen IT-Systeme bzw. gegebenenfalls in Bezug auf die bestehenden Verfahren oder Kontrollen 2. Gewonnene Erkenntnisse Beschreiben Sie die Ergebnisse der Überprüfung nach dem Vorfall.
Datum und Uhrzeit der Behebung der Ursache des Vorfalls.
Datum und Uhrzeit der Behebung des Vorfalls.
Gegebenenfalls eine Beschreibung des Grundes, warum das Datum der dauerhaften Behebung der Vorfälle von dem ursprünglich geplanten Um- setzungsdatum abweicht.

vi. Besondere Vertragsbedingungen_Informationssicherheit.pdf