I 04 - Anlage 3 - Informationssicherheit - SAP-ABAKUS.docx

Anlage 3

zum Rahmenvertrag zwischen der Helaba (nachfolgend „Auftraggeber“ genannt) und [Bezeichnung des Auftragnehmers] (nachfolgend „Auftragnehmer“ genannt) vom TT.MM.JJJJ

Informationssicherheit

Helaba Landesbank Hessen-Thüringen Girozentrale Neue Mainzer Straße 52-58 60311 Frankfurt/Main

Inhaltsverzeichnis

Präambel 3

1 SICHERHEITSANFORDERUNGEN 4

2 ABGLEICH VON INFORMATIONSSICHERHEITSVORGABEN 5

3 SENSIBILISIERUNG UND SCHULUNG 6

4 INFORMATIONSSICHERHEITSAUDITS 6

5 BERICHTE ZUR INFORMATIONSSICHERHEIT 7

6 INFORMATIONSRISIKOMANAGEMENT 7

7 SUBUNTERNEHMER 8

8 ANHÄNGE 8

9 Unterschriften 9

Präambel

Beide Parteien verpflichten sich, eine dem Stand der Technik entsprechende Informationssicherheitspolitik in den eigenen Regelwerken und Anweisungen sowie in der täglichen Praxis umzusetzen.

Die nachfolgenden Regelungen legen den Inhalt und die weitere inhaltliche Konkretisierung der Verpflichtungen fest, die sich hieraus für die Parteien ergeben.

Bei Widersprüchen zwischen den Regelungen dieser Anlage (nebst Anhängen) und dem Rahmenvertrag nebst Anlagen und Leistungsscheinen oder Einzelverträgen gehen die Regelungen in dieser Anlage dem Rahmenvertrag nebst Anlagen und Leistungsscheinen oder Einzelverträgen vor.

SICHERHEITSANFORDERUNGEN

1. Der Auftragnehmer betreibt ein Informationssicherheits-Managementsystem (ISMS), durch welches der Auftragnehmer die Informationssicherheit der in seiner Verantwortung stehenden Datenbestände und Informationssysteme hinsichtlich Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität steuert. Für den Nachweis der standardkonformen Umsetzung des ISMS erfolgt eine Zertifizierung nach ISO 27001 oder vergleichbar. Der Scope des ISMS entspricht dem, der im aktuellen Zertifikat (oder einem vergleichbaren Nachweis) hinterlegt und bescheinigt ist. Das jeweils gültige Zertifikat und das zugehörige Statement of Applicability (oder ein vergleichbarer Nachweis) sind jährlich und bei Änderungen vorzulegen. Die bankaufsichtsrechtlichen Anforderungen (v. a. MaRisk, BAIT und EBA Guidelines on ICT and security risk management sowie ab 17. Januar 2025 DORA) werden im ISMS und den Richtlinien des Auftragnehmers erfüllt. Der Auftragnehmer kann die Erfüllung auf Anfrage nachweisen.
2. Das ISMS ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern. Das ISMS verfolgt dabei die Ziele,
3. die Einhaltung der Sicherheitsziele Integrität, Verfügbarkeit, Vertraulichkeit und Authentizität zu gewährleisten,
4. die Erkennung und Vermeidung von IT-Risiken, Ermittlung und Umsetzung von Maßnahmen zur Risikoreduktion zu ermöglichen und
5. die Umsetzung rechtlicher Anforderungen zu gewährleisten.
6. Der Auftragnehmer stellt durch eine geeignete Aufbau- und Ablauforganisation sicher, dass die Daten des Auftraggebers gegen unbefugte oder zufällige Vernichtung, zufälligen Verlust, technische Fehler, Fälschung, Diebstahl, widerrechtliche Verwendung, unbefugtes Ändern, Kopieren, Zugreifen und andere unbefugte Bearbeitungen geschützt sind. Es stellt ferner entsprechend sicher, dass sicherheitsrelevante Vorfälle umgehend erkannt, bearbeitet und geeignete Gegenmaßnahmen getroffen werden können.
7. Der Auftragnehmer wird den Auftraggeber unverzüglich über jeden sicherheitsrelevanten Vorfall unterrichten. Sicherheitsrelevanter Vorfall ist jeder eingetretene oder drohende Verstoß gegen vertragliche oder gesetzliche Sicherheitsanforderungen sowie alle Vorfälle, Ereignisse oder Umstände, die wesentliche Auswirkungen auf die Sicherheit (Verletzung der unter Ziffer 1 (2) a) genannten Sicherheitsziele, Integrität, oder Kontinuität der Leistungen und/oder die Sicherheit von Daten oder sonstiger Informationen hat oder haben könnte.
8. Der Auftragnehmer wird für die vom Auftragnehmer für den Auftraggeber bereitgestellten Leistungen mindestens die in der Anlage definierten Sicherheitsziele durch geeignete Maßnahmen sicherstellen. Hierfür sind mindestens die in dieser Anlage definierten Maßnahmen umzusetzen. Sofern erforderlich muss der Auftragnehmer weitere, ergänzende Maßnahmen zur Erreichung der Sicherheitsziele definieren und umsetzen. Dieses Sicherheitsniveau muss während der Vertragslaufzeit aufrechterhalten werden. Dafür hat der Auftragnehmer ein Sicherheitskonzept zu erstellen und dieses dem Auftraggeber bereitzustellen. Das Sicherheitskonzept zeigt auf, wie die Informationssicherheitsvorgaben durch den Auftragnehmer umgesetzt werden und die Sicherheitsziele erreicht werden. Es ist laufend zu aktualisieren und enthält die Beschreibung der Berücksichtigung der vereinbarten Sicherheitsziele, Maßnahmen, Vorgaben und Kontrollen in der schriftlich fixierten Ordnung des Auftragnehmers.
9. Der Auftraggeber ist berechtigt, die Einhaltung der in dieser Anlage vereinbarten Pflichten im Rahmen der in Kapitel 4 definierten Regelungen zu prüfen. Dabei kann er im Zusammenhang mit den vertraglichen Leistungen insbesondere Auskünfte anfordern, Einsicht in die Geschäftsunterlagen nehmen, Geschäftsräume betreten und sich Zugang zu Daten und Datenbanken verschaffen.

ABGLEICH VON INFORMATIONSSICHERHEITSVORGABEN

1. Die Vertragsparteien haben sich darauf verständigt, die Informationssicherheitsvorgaben des Auftraggebers mit den Inhalten aus den Informationssicherheitsdokumenten des Auftragnehmers initial abzugleichen. Dieser Abgleich enthält jeweils Aussagen zu Anwendbarkeit, Erfüllungsgrad und Abweichungen der Inhalte aus den dokumentierten Sicherheitsleistungen des Auftragnehmers gegenüber den Vorgaben des Auftraggebers.
2. Das Ergebnis der Gegenüberstellung wird verbindlich festgeschrieben und Bestandteil dieser Vereinbarung [Anhang 3.1- Anforderungskatalog].
3. Beide Parteien stellen sich mindestens einmal jährlich ihre aktuellen gültigen Informationssicherheitsdokumente zur Verfügung. Erfolgen unterjährig wesentliche Änderungen an den Dokumenten, so erfolgt die Zurverfügungstellung anlassbezogen. Wesentlich sind u. a. solche Änderungen, die den Erfüllungsgrad betreffen könnten. Änderungen oder Ergänzungen gegenüber der Vorversion werden die Parteien jeweils in den eigenen Dokumenten kenntlich machen. Sollten die Änderungen mehr als nur unwesentliche Auswirkungen auf die Zusammenarbeit haben, werden die Vertragsparteien gemeinsam eine Aktualisierung des Abgleichs von Informationssicherheitsvorgaben durchführen. Über die Behandlung der identifizierten Abweichungen werden sich die Vertragsparteien abstimmen und die Ergebnisse verbindlich dokumentieren.
4. Soweit der Auftragnehmer plant, bestehende Leistungsinhalte aus den Informationssicherheitsdokumenten in Zukunft nicht mehr zu unterstützen, ist dies, soweit nicht besondere Umstände vorliegen, mit einem Vorlauf von mindestens zwölf (12) Monaten zum Jahresende anzukündigen.

SENSIBILISIERUNG UND SCHULUNG

1. Um die korrekte Einhaltung und Umsetzung aller Informationssicherheitsrichtlinien beim Auftragnehmer zu gewährleisten, werden alle Mitarbeiter regelmäßig hinsichtlich Informationssicherheit geschult und sensibilisiert. Ein angemessenes Bewusstsein für Informationssicherheit wird bei Führungskräften und Mitarbeitern geschaffen und aufrechterhalten.
2. Der Wissensstand der Mitarbeiter beim Auftragnehmer, die direkt mit Aufgaben der Informationssicherheit betraut sind, wird durch Schulungen auf aktuellem Niveau gehalten. In diesem Rahmen erfolgt eine Sensibilisierung hinsichtlich der Wichtigkeit der Umsetzung und der Kontrolle der beschriebenen Maßnahmen. Zusätzlich werden alle Mitarbeiter durch regelmäßige Security-Awareness-Schulungen sensibilisiert.

INFORMATIONSSICHERHEITSAUDITS

1. Unter dem Begriff Informationssicherheitsaudit wird die Kontrolle und Überwachung der ausgelagerten Leistungen des Auftraggebers auf Einhaltung der vereinbarten Regelungen zur Informationssicherheit und der daraus abgeleiteten Umsetzungsstrategien und Sicherheitskonzepte verstanden.
2. Ziel von Informationssicherheitsaudits ist es, die Angemessenheit und Wirksamkeit der mit dem Auftraggeber vereinbarten Anforderungen zur Informationssicherheit auf Grundlage des Sicherheitskonzepts und dieses Vertrages zu kontrollieren (Soll-Ist-Abgleich).
3. Der Auftragnehmer führt selbst regelmäßige Informationssicherheitsaudits durch. Alle Ergebnisse, Feststellungen und Mängel der Prüfungen sind dem Auftraggeber im Falle von schwerwiegenden Mängeln oder Schwachstellen unverzüglich, spätestens innerhalb von 10 Arbeitstagen nach Beendigung der Prüfungshandlungen darzulegen, soweit diese die Informationssicherheit der ausgelagerten Leistungen berühren. Der Auftraggeber berücksichtigt diese Prüfungshandlungen und -ergebnisse bei der Durchführung eigener Prüfungshandlungen.
4. Darüber hinaus sind dem Auftraggeber sowie von ihm beauftragte Dritte berechtigt Informationssicherheitsaudits beim Auftragnehmer, zu jeder Zeit, nach vorheriger Ankündigung und unter Berücksichtigung einer angemessenen Vorlaufzeit, durchzuführen. Der Auftragnehmer darf ein solches Audit nur ablehnen, wenn Gefahr im Verzug ist oder hieraus eine Beeinträchtigung des ordnungsgemäßen Geschäftsbetriebs resultiert. Der Mehraufwand eines Audits ist keine Beeinträchtigung des ordnungsgemäßen Geschäftsbetriebs.
5. Wird ein Informationssicherheitsaudit mit hoher Dringlichkeit eingestuft oder ist eine unverzügliche Prüfung aufgrund einer Anordnung einer Aufsichtsbehörde (z. B. BSI, EZB, BaFin) oder einer anderen gesetzlich zuständigen Behörde erforderlich, dann ist die Aufnahme der Prüfungshandlungen mit kürzeren Fristen, ggfs. auch taggleich, während der üblichen Geschäftszeiten des Auftragnehmers möglich.
6. Die Einstufung der Dringlichkeit einer Prüfungshandlung muss durch die Informationssicherheitsverantwortlichen beider Vertragsparteien einvernehmlich festgelegt werden.

BERICHTE ZUR INFORMATIONSSICHERHEIT

1. Der Auftragnehmer berichtet dem Auftraggeber bei Bedarf unverzüglich aus gegebenem Anlass über den Stand der Informationssicherheit beim Auftragnehmer.
2. Wesentliche Inhalte des Berichtswesens zur Informationssicherheit sind:
3. Aus gegebenem Anlass:

Sicherheitsvorfälle und Sicherheitsereignisse, die den Auftraggeber bzw. den Auslagerungssachverhalt betreffen, und darauf erfolgte Reaktionen und Maßnahmen, Berichte über Datenerhebungen von Strafverfolgungsbehörden und darauf erfolgte Reaktionen und Maßnahmen, sofern Daten des Auftraggebers betroffen sind, Berichte über wesentliche Risiken sowie Maßnahmen zur Risikoreduktion/-vermeidung.

1. Jährlich:

Informationssicherheitsbericht: Bericht über den Nachweis der wirksamen Umsetzung der vereinbarten Maßnahmen, Vorgaben und Kontrollen für das aktuelle Kalenderjahr, der durchgeführten Maßnahmen und Projekte zur Erhaltung bzw. Verbesserung der Informationssicherheit und der für die nächste Planungsperiode vorgesehenen Maßnahmen zur Verbesserung der Informationssicherheit.

1. Eine Übersicht der bereitzustellenden Berichte zur Informationssicherheit ist in der Anlage 2 Berichtswesen dokumentiert.
2. Darüber hinaus können individuelle und regelmäßig zu liefernde Berichte zur Informationssicherheit bzw. zur konkreten Umsetzung der Informationssicherheit gesondert beauftragt werden.

INFORMATIONSRISIKOMANAGEMENT

1. Um Informationsrisiken systematisch zu ermitteln, zu bewerten und zu steuern, sowie Maßnahmen zu deren Behandlung abzuleiten, ist das Informationsrisikomanagement (IRM) beim Auftragnehmer als ein Teilprozess des Informationssicherheitsmanagements etabliert. Die Durchführung findet unter maßgeblicher Beteiligung der für die Umsetzung von Maßnahmen verantwortlichen Fachbereiche statt und wird vom Informationssicherheitsmanagement kontrolliert.
2. Das Informationsrisikomanagement (IRM) des Auftragnehmers orientiert sich an der ISO 27005 und dient im Sinne der ISO 31000 als vorqualifizierender Prozess für das zentrale Risikomanagement in Bezug auf Risikoindikatoren des Schlüsselfaktors "Informationssicherheit". Die Umsetzung des Informationsrisikomanagements erfolgt unter Berücksichtigung des KWG der MaRisk, EBA Guidelines, und der BAIT sowie ab 17. Januar 2025 der DORA. Im zentralen Risikomanagement werden darüberhinausgehend auch weitere Arten von Risiken erfasst.

SUBUNTERNEHMER

Wenn der Auftragnehmer Teile der Auslagerungsleistung für den Auftraggeber an weitere Subunternehmen auslagert, müssen die vom Auftraggeber in diesem Dokument beschriebenen Sicherheitsanforderungen nebst Anhängen in den Vereinbarungen mit den Subunternehmern berücksichtigt werden. Die Sicherheitsanforderungen mit den Subunternehmern müssen so definiert werden, dass die Sicherheitsstandards für die Daten des Auftraggebers und Leistungen für den Auftraggeber in jedem Fall eingehalten werden und dass der Auftragnehmer in der Lage ist, eigene Verpflichtungen zur Sicherheit gegenüber dem Auftraggeber vollumfassend zu erfüllen. Eine transparente Darstellung der durchgehenden Sicherheit der Lieferkette einschließlich Subunternehmer ist gegenüber dem Auftraggeber nachzuweisen.

ANHÄNGE

Weiterer Vertragsbestandteil ist:

Anhang 3.1 Anforderungskatalog

Unterschriften

Dieses Dokument wurde von den nachstehenden Unterzeichnern genehmigt.