[Seite 1]
Ergänzungsvereinbarung
betreffend die Umsetzung der Anforderungen aus der
Verordnung (EU) 2022/2554 über die digitale operationale Resilienz
im Finanzsektor („DORA“)
(nachstehend „Ergänzungsvereinbarung“)
zum Rahmenvertrag vom TT.MM.JJJJ
zwischen
Landesbank Hessen-Thüringen Girozentrale
Neue Mainzer Straße 52 -58
60311 Frankfurt
- nachfolgend Helaba oder Auftraggeber genannt -
und
[Adresszeile 1: Vollständige Firmierung des Auftragnehmers]
[Adresszeile 2: Straße des Auftragnehmers]
[Adresszeile 3: PLZ und Stadt des Auftragnehmers]
- nachfolgend [Kürzel des Auftragnehmers] oder Auftragnehmer ge- nannt -
– zusammen auch „Vertragspartner“, „Vertragsparteien“ oder „Par- teien“ genannt –
Version 0.9
[Seite 2]
Ergänzungsvereinbarung “DORA”
INHALTSVERZEICHNIS
1 GEGENSTAND DIESER ERGÄNZUNGSVEREINBARUNG ...................................... 4 1.1 Umsetzung der Vorgaben aus DORA .............................................................. 4 1.2 Regelungen für IKT-Dienstleistungen .............................................................. 4 1.3 Ergänzende Regelungen für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen („Kritische oder wichtige Funktion“)....................... 4 1.4 Vorrangige Reihenfolge ...................................................................................... 4 1.5 Begriffsbestimmungen ........................................................................................ 4 1.6 Aktualisierungen dieser Ergänzungsvereinbarung ........................................ 5 1.7 Nutzung ................................................................................................................. 5 2 REGELUNGEN FÜR IKT-DIENSTLEISTUNGEN ................................................... 5 2.1 Vertraulichkeit und Datenschutz ....................................................................... 5 2.2 Löschung oder Rückgabe von Informationen ................................................. 5 2.3 Sicherheit .............................................................................................................. 5 2.4 Teilnahme an bedrohungsorientierten Penetrationstests der Helaba (TLPT) 6 2.5 Sicherheitsbewusstsein und Schulung............................................................. 6 2.6 Geschützter Zugang zu den IKT-Dienstleistungen ........................................ 6 2.7 IKT-bezogene Vorfälle - Benachrichtigung und Unterstützung .................... 6 2.8 Zusammenarbeit mit den zuständigen Behörden .......................................... 6 2.9 Beschreibung der Dienstleistung ...................................................................... 7 2.10 Standort der IKT-Dienstleistungen .................................................................... 7 2.11 Subunternehmer .................................................................................................. 7 2.12 Zusätzliche Kündigungsrechte der Helaba ...................................................... 7 2.13 IKT-Altsysteme ..................................................................................................... 8 2.14 Dem Netz / Internet exponierte IKT-Assets ..................................................... 8 3 ERGÄNZENDE REGELUNGEN FÜR IKT-DIENSTLEISTUNGEN MIT KRITISCHEN ODER WICHTIGEN FUNKTIONEN ...................................................................... 8 3.1 Bedingungen des Subunternehmervertrags und Überwachung der Einhaltung ............................................................................................................................. 8 3.2 Geschäftsfortführungsplan ................................................................................. 9 3.3 Zusätzliche Sicherheitsanforderungen ............................................................. 9 3.4 Benachrichtigung über Entwicklungen, die wesentliche Auswirkungen haben 9 3.5 Prüfung und Überwachung ................................................................................ 9
Seite 2 von 10
[Seite 3]
Ergänzungsvereinbarung “DORA”
3.6 Service Level ...................................................................................................... 10 3.7 Übergangsfrist .................................................................................................... 10
Seite 3 von 10
[Seite 4]
Ergänzungsvereinbarung “DORA”
1 Gegenstand dieser Ergänzungsvereinbarung
1.1 Umsetzung der Vorgaben aus DORA
Den Parteien ist bewusst, dass sie Pflichtenadressaten der DORA sind. Es besteht Einver- nehmen zwischen den Parteien, dass sie Anforderungen aus der DORA, soweit diese nicht bereits im Rahmenvertrag und dieser Ergänzungsvereinbarung umgesetzt sind oder noch durch aufsichtsrechtliche Vorgaben konkretisiert werden, im Rahmen geeigneter Vertragser- gänzungen umsetzen werden.
1.2 Regelungen für IKT-Dienstleistungen
Die Bestimmungen in Ziffer 2 dieser Ergänzungsvereinbarung gelten für die Erbringung aller gemäß dem Rahmenvertrag durch den Auftragnehmer zu erbringenden IKT- Dienstleistungen.
1.3 Ergänzende Regelungen für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen („Kritische oder wich- tige Funktion“)
Über die Bestimmungen in Ziffer 2 dieser Ergänzungsvereinbarung hinaus gelten zusätzlich die Bestimmungen in Ziffer 3 dieser Ergänzungsvereinbarung für die Erbringung aller gemäß dem Rahmenvertrag durch den Auftragnehmer zu erbringenden kritischen oder wichtigen Funktionen. Die Helaba wird dem Auftragnehmer mitteilen, wenn sie die im Rahmenvertrag geregelten IKT-Dienstleistungen als kritische oder wichtige Funktion einstuft.
Umgekehrt wird der Auftragnehmer der Helaba unverzüglich mitteilen, wenn er als kritischer IKT-Dienstleister seitens der zuständigen Behörde eingestuft wurde.
1.4 Vorrangige Reihenfolge
Anforderungen aus dem Rahmenvertrag, die über die Anforderungen aus dieser Ergän- zungsvereinbarung hinausgehen, bestehen fort. Diese Ergänzungsvereinbarung gilt nur in dem Umfang vorrangig vor dem Rahmenvertrag, soweit dieser die Vorgaben aus DORA nicht abdeckt.
1.5 Begriffsbestimmungen
Die in dieser Ergänzungsvereinbarung verwendeten Begriffe haben die in der DORA gere- gelte Bedeutung.
Seite 4 von 10
[Seite 5]
Ergänzungsvereinbarung “DORA”
1.6 Aktualisierungen dieser Ergänzungsvereinbarung
Die Parteien werden diese Ergänzungsvereinbarung anpassen, wenn dies – z.B. in Anse- hung geänderter Rechtsvorschriften, Vorgaben seitens der Aufsichtsbehörden, Feststellun- gen im Rahmen interner oder externer Audits oder nach Bereitstellung von Standardver- tragsklauseln (Art. 30 Abs. 4 DORA) – erforderlich ist.
1.7 Nutzung
Zur Nutzung der IKT-Dienstleistungen (mit/ohne „kritische oder wichtige Funktion“) berechtigt sind insbesondere Personen, die bei der Helaba angestellt sind, jeder Auftragnehmer, der unter der Leitung der Helaba im Rahmen der gewöhnlichen Geschäftstätigkeit der Helaba handelt, und ferner Personen, die im Zusammenhang mit dem Rahmenvertrag als Nutzer be- zeichnet werden.
2 Regelungen für IKT-Dienstleistungen
2.1 Vertraulichkeit und Datenschutz
Vertraulichkeits-, Datenschutz- und Datensicherheitsbestimmungen sind im Rahmenvertrag geregelt und gelten für alle IKT-Dienstleistungen.
2.2 Löschung oder Rückgabe von Informationen
Im Falle der Beendigung des Rahmenvertrages, der Auflösung oder der Einstellung des Ge- schäftsbetriebs wird der Auftragnehmer die Helaba um Weisung bitten, wie der Auftragneh- mer] mit den beim Auftragnehmer vorhandenen und der Helaba zuordenbaren Informationen verfahren soll. Sollte die Helaba nicht binnen angemessener Zeit eine anderslautende Wei- sung erteilen, wird der Auftragnehmer die Informationen unverzüglich zurückgeben bzw. bei sich löschen, soweit der Auftragnehmer nicht vertraglich oder gesetzlich zur Aufbewahrung der Informationen verpflichtet ist, und gegenüber der Helaba die Vollständigkeit der Rück- gabe bzw. Löschung bestätigen.
2.3 Sicherheit
Der Auftragnehmer ergreift und unterhält angemessene Sicherheitsmaßnahmen im von der DORA geforderten Umfang, um die Vertraulichkeit, Authentizität, Verfügbarkeit und Integrität von Daten bei der Erbringung der IKT-Dienstleistung zu gewährleisten. Der Auftragnehmer verfügt über geeignete Richtlinien und Instrumente, um ein angemessenes Sicherheitsniveau für die Erbringung der IKT-Dienstleistungen zu gewährleisten. Dies kann unbenommen bereits vereinbarter Sicherheitsanforderungen insbesondere die Durchführung regelmäßiger Scans, den Einsatz geeigneter Sicherheits-Patches und die Wiederherstellung von Daten in
Seite 5 von 10
[Seite 6]
Ergänzungsvereinbarung “DORA”
Übereinstimmung mit genehmigten Disaster-Recovery-Plänen umfassen, jeweils in dem Maße, wie dies gesetzlich oder regulatorisch erforderlich ist.
2.4 Teilnahme an bedrohungsorientierten Penetrationstests der Helaba (TLPT)
Der Auftragnehmer ist verpflichtet, an den TLPT der Helaba teilzunehmen. Auf Wunsch der Helaba sind die Ergebnisse der letzten bedrohungsorientierten Penetrationstests vom Auf- tragnehmer] zur Verfügung stellen. Auf Wunsch der Helaba und nur in dem Umfang, der ge- mäß den anwendbaren Rechtsvorschriften erforderlich ist, wird der Auftragnehmer einen ge- bündelten bedrohungsorientierten Penetrationstest durch einen zugelassenen externen Tes- ter ermöglichen, soweit dem nicht durch zwingende gesetzliche oder aufsichtsrechtliche Vor- gaben, denen der Auftragnehmer unterliegt, entgegenstehen.
2.5 Sicherheitsbewusstsein und Schulung
Die Helaba kann vom Auftragnehmer] verlangen, dass der Auftragnehmer an Maßnahmen (z.B. Schulungen) der Helaba im Zusammenhang mit der Sensibilisierung für IKT-Sicherheit bzw. zur digitalen betrieblichen Resilienz teilnimmt.
2.6 Geschützter Zugang zu den IKT-Dienstleistungen
Soweit für den geschützten Zugang zu den IKT-Dienstleistungen erforderlich, kann der Auf- tragnehmer verlangen, dass die Helaba vom Auftragnehmer in angemessenem Umfang vor- gegebene Sicherungsmaßnahmen (z.B. Verwendung von Passwörtern) beachtet.
2.7 IKT-bezogene Vorfälle - Benachrichtigung und Unterstützung
Der Auftragnehmer wird geeignete Maßnahmen zur Benachrichtigung und Meldung von IKT- bezogenen Vorfällen ergreifen. Der Auftragnehmer wird die Helaba in geeigneter Weise über die Benachrichtigungs- und Meldemaßnahmen informieren. Der Auftragnehmer wird mit der Helaba zusammenarbeiten und die von der Helaba benötigten Unterstützungsleistungen und Informationen bereitstellen.
2.8 Zusammenarbeit mit den zuständigen Behörden
Der Auftragnehmer wird in vollem Umfang mit den zuständigen Behörden (einschließlich der von diesen benannten Personen) zusammenarbeiten, wenn diese zuständigen Behörden ihre Regulierungsfunktionen in Bezug auf die IKT-Dienstleistungen ausüben. Die Helaba wird den Auftragnehmer über eine Untersuchung durch eine zuständige Behörde informieren, so- weit (i) sich die Untersuchung auf eine vom Auftragnehmer für die Helaba erbrachte IKT- Dienstleistung bezieht und (ii) der Helaba nicht untersagt ist, diese Information an den Auf- tragnehmer zu geben.
Seite 6 von 10
[Seite 7]
Ergänzungsvereinbarung “DORA”
2.9 Beschreibung der Dienstleistung
Der Auftragnehmer wird der Helaba eine Beschreibung der IKT-Dienstleistungen und der an- wendbaren Service Level sowie, nach welcher Schutzbedarfsklasse er die jeweilige IKT Dienstleistung betreibt, zur Verfügung stellen.
2.10 Standort der IKT-Dienstleistungen
Die Standorte (namentlich das Land oder die Region), an denen die IKT-Dienstleistungen (einschließlich der unterbeauftragten IKT-Dienstleistungen) erbracht werden und an denen die Daten verarbeitet werden, einschließlich des Speicherortes, sind im Rahmenvertrag und den jeweiligen Einzelverträgen geregelt. Änderungen der Standorte können nur einvernehm- lich vereinbart werden.
2.11 Subunternehmer
Soweit der Auftragnehmer beabsichtigt, IKT-Dienstleistungen, einschließlich derjenigen mit „kritischer oder wichtiger Funktion“, ganz oder teilweise an Subunternehmer zu vergeben, wird der Auftragnehmer die Helaba hierüber vorab informieren und führt eine angemessene Due-Diligence-Prüfung und Risikobewertung in Bezug auf den Subunternehmer durch.
Der Auftragnehmer wird Subunternehmer nur mit der Erbringung von nach dem Rahmenver- trag geschuldeten IKT-Dienstleistungen beauftragen, wenn die Helaba der Einschaltung des Subunternehmers nicht innerhalb der vertraglich vereinbarten Frist, spätestens jedoch nach 6 Wochen aus wichtigem Grund widersprochen hat.
Ein wichtiger Grund liegt insbesondere vor, wenn die Einschaltung des Subunternehmers die Risiken aus Sicht der Helaba erhöht oder wenn für die Helaba ein begründeter Anlass zu Zweifeln besteht, dass der Subunternehmer über die für die Erbringung der Leistungen erfor- derliche Eignung oder Zuverlässigkeit verfügt oder dass der Subunternehmer die vereinbarte Leistung ordnungsgemäß erbringt.
Der Auftragnehmer wird der Helaba eine Liste seiner Subunternehmer zur Verfügung stellen und diese aktualisieren sowie auf Verlangen geeignete Nachweise für die Einhaltung von de- ren vertraglich geschuldeter Leistungen vorlegen.
2.12 Zusätzliche Kündigungsrechte der Helaba
(a) Die Helaba kann IKT-Dienstleistungen jederzeit insgesamt oder teilweise kündigen, wenn der Auftragnehmer im Zusammenhang mit der Erbringung dieser IKT-Dienstleistungen in erheblichem Maße gegen (i) geltendes Recht oder geltende Vorschriften oder (ii) die Be- dingungen des Rahmenvertrages oder des jeweiligen Einzelvertrages verstößt. In Fällen von Satz 1 (ii) wird die Helaba vorab gegenüber dem Auftragnehmer eine angemessene Frist zur Behebung des Verstoßes setzen.
Seite 7 von 10
[Seite 8]
Ergänzungsvereinbarung “DORA”
(b) Die Helaba kann IKT-Dienstleistungen jederzeit insgesamt oder teilweise kündigen, wenn sich in der Verantwortungssphäre des Auftragnehmers eine Beeinträchtigung ergibt, die zu einer wesentlichen nachteiligen Veränderung der Risikobewertung der IKT- Dienstleistungen durch die Helaba führt. Die Helaba wird vorab gegenüber dem Auftrag- nehmer eine angemessene Frist zur Behebung der Beeinträchtigung setzen.
(c) Die Helaba kann IKT-Dienstleistungen jederzeit insgesamt oder teilweise kündigen, wenn in der Verantwortungssphäre des Auftragnehmers eine Beeinträchtigung besteht in Be- zug auf (i) das IKT-Risikomanagement des Auftragnehmers oder (ii) die Art und Weise, wie der Auftragnehmer die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten sicherstellt. Die Helaba wird vorab gegenüber dem Auftragnehmer eine angemes- sene Frist zur Behebung der Beeinträchtigung setzen.
(d) Die Helaba kann IKT-Dienstleistungen jederzeit insgesamt oder teilweise kündigen, wenn die zuständige Behörde dies von der Helaba verlangt oder Umstände vorliegen, unter de- nen die zuständige Behörde erklärt, dass sie die Helaba aufgrund der Bedingungen oder Umstände im Zusammenhang mit der IKT-Dienstleistung nicht mehr wirksam beaufsichti- gen kann.
2.13 IKT-Altsysteme
Der Auftragnehmer ist dazu verpflichtet, auf Anfrage der Helaba Auskunft mittels Auflistung über die für die Dienstleistungserbringung eingesetzten IKT-Altsysteme sowie die durch diese unterstützenden Funktionen zu geben.
2.14 Dem Netz / Internet exponierte IKT-Assets
Der Auftragnehmer ist dazu verpflichtet, auf Anfrage der Helaba Auskunft mittels Auflistung über die für die Dienstleistungserbringung verwendeten IKT-Assets, die gegenüber dem In- ternet exponiert sind, sowie die durch diese unterstützenden Funktionen zu geben.
3 Ergänzende Regelungen für IKT-Dienstleistungen mit
kritischen oder wichtigen Funktionen
3.1 Bedingungen des Subunternehmervertrags und Überwachung der Einhaltung
Der Auftragnehmer schließt mit jedem Subunternehmer eine Vereinbarung ab, die geeignete Maßnahmen enthält, um zu verlangen, dass die untervergebenen Dienstleistungen, die die IKT-Dienstleistungen mit kritischen oder wichtige Funktionen unterstützen, den Anforderun- gen aus dem Rahmenvertrag einschließlich der Ergänzungsvereinbarung auch im Verhältnis zwischen dem Auftragnehmer und dem Subunternehmer unterliegen. Dies sind insbeson- dere die Regelungen in Bezug auf
Seite 8 von 10
[Seite 9]
Ergänzungsvereinbarung “DORA”
(i) anwendbare Service Level,
(ii) angemessene Sicherheitsstandards und Meldepflichten,
(iii) angemessene Audit-, Informations- und Zugriffsrechte, und
(iv) angemessene Maßnahmen zum Schutz der kontinuierlichen Erbringung von un- tervergebenen Dienstleistungen, die kritische oder wichtige Funktionen unterstüt- zen, in jedem Fall in dem von den anwendbaren Rechtsvorschriften geforderten Umfang.
Der Auftragnehmer bleibt für die Überwachung und Beaufsichtigung der Leistung des Unter- auftragnehmers und die Einhaltung der Bedingungen des Unterauftrags verantwortlich. Der Auftragnehmer wird alle wesentlichen Entwicklungen in Bezug auf untervergebene Dienst- leistungen, die kritische oder wichtige Funktionen unterstützen, überwachen und gegenüber der Helaba darüber berichten.
3.2 Geschäftsfortführungsplan
Der Auftragnehmer wird für die gesamte Dauer der Erbringung von IKT-Dienstleistungen für die Helaba einen angemessenen Geschäftsfortführungsplan und entsprechende Richtlinien einführen und aufrechterhalten. Der Auftragnehmer testet den Geschäftsfortführungsplan in Übereinstimmung mit den einschlägigen Marktstandards.
3.3 Zusätzliche Sicherheitsanforderungen
Der Auftragnehmer wird über einen angemessenen Rahmen für Penetrationstests und ge- eignete Standards verfügen, um die Frequenz von Penetrationstests und bedrohungsorien- tierten Penetrationstests zu regeln.
3.4 Benachrichtigung über Entwicklungen, die wesentliche Auswir- kungen haben
Falls der Auftragnehmer von einer Entwicklung Kenntnis erlangt, die nach Ansicht des Auf- tragnehmers wesentliche Auswirkungen auf die Fähigkeit des Auftragnehmers zur effektiven Erbringung kritischer oder wichtiger Funktionen haben könnte, wird der Auftragnehmer die Helaba hierüber unverzüglich informieren.
3.5 Prüfung und Überwachung
(a) Rechte auf Prüfung
Die Helaba, von der Helaba beauftragte Dritte und die zuständige Behörde haben das Recht, die Erbringung der IKT-Dienstleistungen mit kritischen oder wichtigen Funktionen durch den Auftragnehmer zu überwachen. Dies umfasst das Recht auf Zugang zu den Räumlichkeiten
Seite 9 von 10
[Seite 10]
Ergänzungsvereinbarung “DORA”
und Systemen des Auftragnehmers, das Recht, Kopien relevanter Unterlagen vor Ort anzufertigen, wenn diese für den Betrieb und die Erbringung der jeweiligen IKT- Dienstleistung mit kritischen oder wichtigen Funktionen entscheidend sind. Der Auftragnehmer wird bei solchen Prüfungen uneingeschränkt kooperieren.
(b) Kosten der Prüfung
Die Parteien tragen ihre eigenen Kosten im Zusammenhang mit einer Prüfung gemäß 3.5 grundsätzlich selbst. Sofern nur eine Partei Prüfungssubjekt ist, so wird sie auf Verlangen der anderen Partei deren im Zusammenhang mit der Prüfung entstandene Kosten im ange- messenen Umfang erstatten.
3.6 Service Level
Eine wesentliche oder fortdauernde Nichterfüllung der vereinbarten Service Level bei der Er- bringung einer IKT-Dienstleistung mit kritischen oder wichtigen Funktionen durch den Auf- tragnehmer oder einem Subunternehmer, die sich nur mit einer mehr als nur unerheblichen Verzögerung beheben ließe, stellt eine erhebliche Vertragsverletzung im Sinne von Klausel 2.12 (a) dar.
3.7 Übergangsfrist
Der Auftragnehmer wird die Helaba während eines Zeitraums von einem Jahr nach Beendi- gung des Rahmenvertrags beim geordneten Übergang der IKT-Dienstleistungen mit kriti- schen oder wichtigen Funktionen auf einen anderen Dienstleister oder einer Inhouse-Lösung unterstützen, soweit der Rahmenvertrag nicht bereits einen längeren Zeitraum vorsieht. Fer- ner wird der Auftragnehmer die IKT-Dienstleistungen mit kritischen oder wichtigen Funktio- nen während dieses Zeitraums vorbehaltlich der fortlaufenden Zahlung der vereinbarten Ver- gütung durch die Helaba weiter erbringen.
Seite 10 von 10