[Seite 1]
Anlage Kriterienkatalog für Cloudleistungen
Seite 1 von 11
Vertragsnummer/Kennung Auftraggeber 0229/26 Vertragsnummer/Kennung Auftragnehmer __________
Kriterienkatalog für Cloudleistungen
Anlage 2 zum EVB-IT Cloudvertrag 0229/26
Katalog gilt für folgende Leistungen: Digitale Beteiligungsplattform (BTMS) gemäß Leistungsbeschreibung (Anlage 1)
- Kriterien
S,P,I
M
S,P,I
| Nr. | Kriterium | Ausprägung | ||||||
|---|---|---|---|---|---|---|---|---|
| 1 | 2 | 3 | ||||||
| Nutzungsumfang/Lizenzmetrik | ||||||||
| 1. | Art der Cloud | Public Cloud (Ressourcen werden für eine Vielzahl nicht näher bestimmter Kunden bereitgestellt) Private Cloud bzw. sonstige Cloud gemäß Anlage Nr. (z.B. Hybrid- Cloud, künftige Private Government Cloud für öffentliche Stellen) | ||||||
| 2. | Managed Cloud Services (MCS)* | Der Auftragnehmer erbringt folgende ergänzende Leistungen (Managed Cloud Services*): Zugangsverwaltung/Administration gemäß Anlage Nr. 1 ServiceDesk/Hotline gemäß Anlage Nr. 1 Kapazitätsmanagement gemäß Anlage Nr. 1 Automatisierung von Routineaufgaben gemäß Anlage Nr. Incident- und Problemmanagement gemäß Anlage Nr. 1 Release- und Patchmanagement gemäß Anlage Nr. 1 Beratungsleistungen gemäß Anlage Nr. gemäß Anlage Nr. Erbringung der Mitwirkungsleistungen die der Auftraggeber aus dem Vertrag/den Verträgen gemäß Anlage Nr. 1 schuldet. | ||||||
| 3. | Leistungsort | Abweichend von Ziffer 4 EVB-IT Cloud-AGB erfolgt die Verarbeitung von Daten des Auftraggebers durch den Auftragnehmer nicht beschränkt auf die EU und den EWR sowie, sofern ein Angemessenheitsbeschluss gem. Art. 45 DSGVO besteht, die Schweiz, sondern zusätzlich in Staaten mit Angemessenheitsbeschluss gem. Art. 45 DSGVO. ohne örtliche Beschränkung (sofern keine personenbezogenen Daten verarbeitet werden). ohne örtliche Beschränkung, sofern die Anforderungen aus Anlage Nr. für die Verarbeitung personenbezogener Daten erfüllt sind. nur innerhalb der Bundesrepublik Deutschland nur in den folgenden vereinbarten Rechenzentren: ausschließlich für Support- und Wartungszwecke auch in auch außerhalb von EU und EWR, jedoch nicht in Staaten der Staatenliste im Sinne von § 13 Absatz 1 Nummer 17 SÜG und § 32 SÜG; wobei für personenbezogene Supportdaten die Regelungen zur Verarbeitung |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022) Änderungen sind farblich markiert.
[Seite 2]
Anlage Kriterienkatalog für Cloudleistungen
Seite 2 von 11
Vertragsnummer/Kennung Auftraggeber 0229/26 Vertragsnummer/Kennung Auftragnehmer __________
S,P,I
S,P,I
S,P,I
S,P
| personenbezogener Daten vorrangig gelten. Abweichend von Ziffer 4 EVB-IT Cloud-AGB dürfen Metadaten im Sinne des Anforderungskataloges C 5 (in Version 2020: OPS 11) nur in der EU und im EWR verarbeitet werden. Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Leistungsort. | ||
|---|---|---|
| 4. | Georedundanz | Abweichend vom C5 Basiskriterium PS-02 erfolgt die Bereitstellung des Cloud- Dienstes aus mehr als zwei zueinander georedundanten Standorten. Bei einem zeitgleichen Ausfall zweier Standorte steht mindestens ein dritter Standort weiterhin zur Verfügung, um einen Totalausfall zu verhindern. Die Georedundanz ist so ausgelegt, dass die vereinbarten Verfügbarkeitsanforderungen eingehalten werden. Die Funktionsfähigkeit der Redundanz wird mindestens jährlich durch geeignete Tests und Übungen überprüft (vgl. BCM-04 - Verifizierung, Aktualisierung und Test der Betriebskontinuität). |
| 5. | Übergabepunkt | Abweichend von Ziffer 5.1. der AGB ergibt sich der Übergabepunkt aus Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Übergabepunkt. |
| 6. | Bereitstellungsz eitpunkt | ab Vertragsbeginn ab dem 1 Quartal 2027 innerhalb von (z.B. 3 Tagen) nach Anforderung durch den Auftraggeber |
| 7. | Nutzer | max. Anzahl gleichzeitiger Nutzer (concurrent user): max. Anzahl benannter Nutzer (named user): Diese sind jederzeit austauschbar Dies sind nur aus wichtigen Grund jederzeit austauschbar, ohne wichtigen Grund alle Tage. Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Nutzer. gemäß Anlage Nr. Anlage 1 Leistungsbeschreibung Ziffer 3 |
| 8. | Nutzerkreis | Keine Beschränkung (z.B. Alle Mitarbeiter in der Finanzverwaltung) |
| 9. | Nutzungsort | Abweichend von Ziffer 14.1 EVB-IT Cloud-AGB ist das Recht zur Nutzung der Leistung örtlich auf das Gebiet der Vertragsstaaten der EU und des EWR sowie der Schweiz beschränkt |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022) Änderungen sind farblich markiert.
[Seite 3]
Anlage Kriterienkatalog für Cloudleistungen
Seite 3 von 11
Vertragsnummer/Kennung Auftraggeber 0229/26 Vertragsnummer/Kennung Auftragnehmer __________
S,P,I
| 10. | Identitäts- und Berechtigungsm anagement (IDM) | C5 Zusatzkriterium IDM-02: Der Auftragnehmer bietet dem Auftraggeber einen Self-Service an, mit welchem diese Zugangs- und Zugriffsberechtigungen eigenständig vergeben und ändern können. Der Auftragnehmer sorgt durch technische Maßnahmen dafür, dass die Nutzer keine Leistungen beauftragen können, welche nicht vom Leistungsumfang des Vertrages umfasst sind. |
|---|---|---|
| 11. | Sonstiger Nutzungsumfan g/Lizenzmetrik | Gerätemetrik (z.B. Anzahl zugreifender PC/mobilerer Endgeräte) Andere Metrik gemäß Anlage Nr. (z.B. Anzahl Bescheide pro Zeiteinheit, Datenvolumen, Nutzungsdauer) Eine Erweiterung/Reduzierung des Nutzungsumfangs ist jederzeit möglich. Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Sonstiger Nutzungsumfang/Lizenzmetrik. |
| 12. | Endgeräte/Zuga ng | webbasiert webbasiert optimiert für mobile Endgeräte nicht unterstützte Browser: Anforderungen an webbasierten Zugang: keine Plug-Ins, Add-Ons zugelassene Plug-Ins, Add-Ons sonstige Sicherheitseinstellungen (ggf. Anlage) Terminalserver/ graphischer Remote Zugriff (zum Beispiel RDS oder RDP): VPN VPN-Anforderungen: API API-Anforderungen: Über native Zugriffssoftware (Name) für PC/Notebooks, Windows ab Version andere: mobile Geräte (Apps) iOS ab Version Android ab Version andere mobile OS (Bezeichnung) besondere Systemvoraussetzungen beim Auftraggeber technische Anforderungen für den Zugang gemäß Anlage Der Auftragnehmer wird den Auftraggeber auf dessen Anforderung bei deren Installation durch telefonische Anleitung und, soweit durch den Auftraggeber der Zugang ermöglicht wird, durch Remoteservice unterstützen. Dies gilt auch für neue Programmstände der Zugriffssoftware. Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Endgeräte/Zugang. |
| 13. | Speicher- Größe | Keine Speicherung beim Auftragnehmer |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022) Änderungen sind farblich markiert.
[Seite 4]
Anlage Kriterienkatalog für Cloudleistungen
Seite 4 von 11
Vertragsnummer/Kennung Auftraggeber 0229/26 Vertragsnummer/Kennung Auftragnehmer __________
| (für Speicherung von Auftrag- geberdaten) | Speicherung beim Auftragnehmer feste Größe: GB dynamisch: mind. GB bis maximal: GB dynamische Anpassung im laufenden Betrieb (kein Neustart) keine Limitierung des Speicherumfangs | |
|---|---|---|
| 14. | Art der Anbindung | MPLS xDSL: (gewünschte DSL-Variante) Ethernet Connect (z.B. Glasfaser) IPSec: Direktverbindung: SD-WAN: TLS Version gemäß Anlage Nr. Redundante Anbindung |
| 15. | Bandbreite der Anbindung des Auftragnehmers an das Internet, die für den Auftraggeber zur Verfügung steht | Mbit/s asynchron Uplink: Mbit/s Downlink: Mbit/s dynamisch: mind. 100 Mbit/s bis maximal: 1000 Mbit/s |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022) Änderungen sind farblich markiert.
[Seite 5]
Anlage Kriterienkatalog für Cloudleistungen
Seite 5 von 11
Vertragsnummer/Kennung Auftraggeber 0229/26 Vertragsnummer/Kennung Auftragnehmer __________
S,P, M
S,P
| 16. | Datensicherung* | Ergänzend zu Ziffer 7 EVB-IT Cloud-AGB gilt Folgendes: Der Auftragnehmer ist zur Erstellung von Backups der Daten des Auftraggebers verpflichtet. Gegenstand des Backups ist das Image Backup (komplettes Image der virtuellen Maschinen) sind folgende Daten sämtliche Anwendungsdaten sind Das Backup erfolgt in folgendem Format: . Das Backup erfolgt täglich (z.B. stündlich, transaktionsorientiert). Das Backup erfolgt an folgendem Ort (z.B. gesondertem Server oder anderem Rechenzentrum, jeweils gemäß Standortvorgabe in Ziffer 4 EVB-IT Cloud-AGB auf (Server, Band). Eine Kopie des Backups erfolgt an folgendem Ort (z.B. gesondertem Server oder anderem Rechenzentrum, jeweils gemäß Standortvorgabe in Ziffer 4 EVB-IT Cloud-AGB) auf (Server, Band). Eine Löschung des Backups erfolgt frühestens nach 8 Monaten (z.B. 2 Wochen, 6 Monaten) gemäß Anlage Nr. Weitere Regelungen zur Datenlöschung gelten gemäß Anlage Nr. (während der Vertragslaufzeit) oder nach Vertragsende wenn vereinbart. Eine Löschung des Backups erfolgt gemäß Anlage Nr. Regelungen zum Backup gemäß Anlage Nr. . (z.B. Backup-Konzept) Abweichend von Ziffer 7.2 EVB-IT Cloud-AGB ist der Auftragnehmer nicht verpflichtet, einzelne vom Auftraggeber zuvor gelöschten Dateien wiederherzustellen, sondern lediglich den Datenbestand insgesamt auf den vorherigen und soweit vorhanden und vom Auftraggeber gewünscht, auf die davor liegenden Stände wiederherzustellen Der wiederhergestellte Stand wird dem Auftraggeber auf dessen Wunsch gesondert zur Verfügung gestellt wird. Zusätzlich zum C5 Basiskriterium OPS-08 ist der Auftragnehmer verpflichtet, den Auftraggeber auf dessen Anforderung über die Ergebnisse der durchgeführten Wiederherstellungstests zu informieren. Wiederherstellungstests sind in das Notfallmanagement des Auftragnehmers eingebettet. Weitere Regelungen zur Datenlöschung gemäß Anlage Nr. (während der Vertragslaufzeit oder nach Vertragsende). Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Datensicherung*. Der Auftraggeber ist für folgende Datensicherungen* selbst verantwortlich, wobei der Auftragnehmer die dazu erforderlichen Funktionalitäten zur Verfügung stellt: |
|---|---|---|
| 17. | Datenexport/ Datenimport | Zusätzlich zu Ziffer 7.3 EVB-IT Cloud-AGB gilt: Für folgende Teile der Leistung (z.B. Datenbankdaten) erfolgt unabhängig von einem ggf. vereinbarten Backup ein Datenexport durch den Auftragnehmer. Der Datenexport erfolgt (z.B. täglich, wöchentlich) in folgendem Format (z.B. .csv, .vhd) an folgendem Ort (z.B. gesonderter Server oder anderes Rechenzentrum) auf (Server, Band). |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022) Änderungen sind farblich markiert.
[Seite 6]
Anlage Kriterienkatalog für Cloudleistungen
Seite 6 von 11
Vertragsnummer/Kennung Auftraggeber 0229/26 Vertragsnummer/Kennung Auftragnehmer __________
S,P,I
| Für folgende Teile der Leistung (z.B. Datenbankdaten) erfolgt ein Datenimport durch den Auftragnehmer. Der Datenimport erfolgt (z.B. täglich, wöchentlich) in folgendem Format (z.B. .csv, .vhd) von folgendem Ort (z.B. gesonderter Server oder anderes Rechenzentrum gemäß Standortvorgabe in Ziffer 4 EVB-IT Cloud-AGB) von (Server, Band). Für den Datenexport bzw. Datenimport verwendet der Auftragnehmer folgenden Standard JSON, CSV, XML. Dem Auftraggeber stehen für den eigenen Datenimport und Datenexport folgende Möglichkeiten zur Verfügung: JSON, CSV, XML (z.B. Nennung der Schnittstelle und deren Spezifikation). | ||
|---|---|---|
| 18. | IT Sicherheit | Abweichend von Ziffer 1.2 EVB-IT Cloud-AGB ist nicht nur die Einhaltung der C5 Basiskriterien, sondern auch der C5 Zusatzkriterien geschuldet Abweichend von Ziffer 1.2 EVB-IT Cloud-AGB ist nicht nur die Einhaltung der C5 Basiskriterien, sondern auch der folgenden C5 Zusatzkriterien geschuldet CRY-03: Die für die Verschlüsselung verwendeten privaten Schlüssel sind ausschließlich und ohne Ausnahme dem Kunden nach geltenden rechtlichen und regulatorischen Verpflichtungen und Anforderungen bekannt. AM-05: Physische Assets der internen und externen Mitarbeiter unterliegen einer zentralen Verwaltung. Die zentrale Verwaltung ermöglicht eine Software-, Daten- und Richtlinienverteilung sowie eine Remote-Deaktivierung, -Löschung, oder -Sperrung. OPS-22: Sicherheitspatches werden ab dem Zeitpunkt ihrer Verfügbarkeit* in Abhängigkeit des nach der jüngsten Version des Common Vulnerability Scoring Systems (CVSS) eingeordneten Schweregrades der dadurch adressierten Schwachstellen eingespielt: Kritisch (CVSS = 9.0 - 10.0): 3 Stunden Hoch (CVSS = 7.0 - 8.9): 3 Tage Mittel (CVSS = 4.0 - 6.9): 1 Monat Niedrig (CVSS = 0.1 - 3.9): 3 Monate Abweichend bzw. ergänzend zu Ziffer 6.2 EVB-IT Cloud-AGB wird vereinbart, dass das vom Auftragnehmer implementierte Sicherheitskonzept und sein ISMS auf ISO 27001 und BSI IT-Grundschutz in der jeweils geltenden Fassung basiert. das Notfall-Management gemäß BSI-Standard 100-4 bzw. nach dessen Inkrafttreten BSI Standard 200-4 ISO 22301 erfolgt. die Parteien für den Not- und Krisenfall besondere Vereinbarungen gemäß Anlage Nr. treffen, die auch die erforderliche Beteiligung des BSI einschließen. der Auftragnehmer die Umsetzung der Vorgaben zur IT-Sicherheit durch entsprechende Zertifikate durch folgende Zertifikate ISO 27001 |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022) Änderungen sind farblich markiert.
[Seite 7]
Anlage Kriterienkatalog für Cloudleistungen
Seite 7 von 11
Vertragsnummer/Kennung Auftraggeber 0229/26 Vertragsnummer/Kennung Auftragnehmer __________
S,P,I
| durch C5-Testat nach BSI für die Rechenzentren in denen die Plattform betrieben wird (z.B. C5 Testat nach BSI) nachweisen muss. der Auftragnehmer auf Anforderung des Auftraggebers die verwendeten Verschlüsselungs- und Authentifikationsmechanismen offenlegt. Abweichend von Ziffer 1.2 EVB-IT Cloud-AGB wird vereinbart, dass die aus Anlage Nr. ersichtlichen C5 Basiskriterien nicht geschuldet werden. Soweit nicht in der Anlage konkrete Alternativen vorgesehen sind, sieht der Auftragnehmer angemessene Alternativen zur Erfüllung der entsprechenden Anforderungen vor. Dem Auftraggeber ist eine Schnittstelle zum Monitoring* der Leistungen und der Cloud-Infrastruktur zur Verfügung zu stellen. Der Schutzbedarf der vertragsgegenständlichen Daten des Auftraggebers ergibt sich aus Anlage Nr. ist hoch.. Ein CERT des Auftraggebers kann angebunden werden gemäß Anlage Nr. . Zusätzlich zum C5 Basiskriterium OPS-19 finden Penetrationstests nicht nur einmal jährlich, sondern halbjährlich statt. Diese müssen darüber hinaus zwingend durch unabhängige Externe durchgeführt werden. Internes Personal für Penetrationstests darf die externen Dienstleister dabei unterstützen. Ergibt das Prüfungsergebnis gemäß Ziffer 6.4.2 EVB-IT Cloud AGB keine oder nur unwesentliche Beanstandungen, trägt der Auftraggeber die beim Auftragnehmer anfallenden notwendigen Kosten des Auftragnehmers (auch interne Kosten) und etwaiger Unterauftragnehmer bis zu einem Höchstbetrag von Euro netto je Prüfung. Dem Auftraggeber steht das Prüfungsrecht gemäß Ziffer 6.4.2 EVB-IT Cloud AGB anlassunabhängig zu. Ergibt das Prüfungsergebnis keine Beanstandungen, trägt der Auftraggeber die beim Auftragnehmer anfallenden notwendigen Kosten bis zu einem Höchstbetrag von Euro netto. | ||
|---|---|---|
| 19. | Verfügbarkeit* | Abweichend von Ziffer 8 EVB-IT Cloud-AGB schuldet der Auftragnehmer während der Betriebszeit* eine Verfügbarkeit* von mindestens der Verfügbarkeitsklasse* im Bezugszeitraum, ist der Bezugszeitraum* der verstehen sich alle Zeitangaben als Angaben statt nach mitteleuropäischer Zeit (MEZ) bzw. Sommerzeit (MESZ) nach ist die Betriebszeit* die Zeit von bis (hier Tage angeben) von bis Uhr; besteht in der Zeit von bis Uhr eine Kernbetriebszeit* den besonderen Leistungsmerkmalen gemäß Anlage Nr. ist die Zeit von bis Uhr am (hier Tag angeben) Zeit geplanter Nichtverfügbarkeit (z.B. für Wartungsarbeiten) und wird bei der Berechnung der Verfügbarkeit* nicht berücksichtigt, In Ergänzung zu Ziffer 8 der EVB-IT Cloud-AGB und der Definition zur Verfügbarkeit* gilt die Leistung auch dann als nicht verfügbar, wenn im Durchschnitt einer Stunde in der Betriebszeit Durchschnitt für die Betriebszeit eines Tages in einer Stunde der Betriebszeit mehr als 5% der Anfragen eine Antwortzeit >1,5 Sekunden aufweisen. folgendes gegeben ist: Das Antwortzeitverhalten der Funktion (z.B. Bezeichnung |
Das Antwortzeitverhalten der Funktion (z.B. Bezeichnung
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022) Änderungen sind farblich markiert.
[Seite 8]
Anlage Kriterienkatalog für Cloudleistungen
Seite 8 von 11
Vertragsnummer/Kennung Auftraggeber 0229/26 Vertragsnummer/Kennung Auftragnehmer __________
S,P,I
S,P
| einer konkreten Abfrage und der Ausgabe einer entsprechenden Antwort) ist schlechter als (z.B. Sekunden, Minuten). Der Datendurchsatz (die übertragene Datenmenge) am Übergabepunkt (z.B. der Ausgangsrouter des Auftragnehmers zum Internet) beträgt weniger als (z.B.1 GB), pro (z.B. Sekunden, Minuten). Die Paketverzögerung (der Zeitbedarf, um ein IP-Paket von nach zu senden) beträgt mehr als (z.B. 4 Millisekunden). Der Round Trip Delay (RTD) beträgt mehr als Millisekunden. Die Paketverlustrate (die Zahl der IÜ-Pakete, die pro Zeiteinheit verloren gehen, weil sie nicht rechtzeitig an ihren Bestimmungsort gelangen) beträgt mehr als (z.B. 20 Prozent). Weniger als Nutzer können gleichzeitig die Leistung vollumfänglich nutzen. Anstelle der Verfügbarkeitsregelung in Ziffer 8 EVB-IT Cloud-AGB und der Definition zur Verfügbarkeit* gilt Anlage Nr. . Ergänzend zu Ziffer 8 EVB-IT Cloud-AGB liegt eine die Verfügbarkeit* ausschließende betriebsverhindernde Störung* insbesondere auch vor, wenn , betriebsbehindernde Störung*, insbesondere auch vor, wenn . | ||
|---|---|---|
| 20. | Gutschriften bei Nichtverfügbark eit | Für den Fall der Nichteinhaltung der vereinbarten Verfügbarkeit* die folgende Gutschrift zugunsten des Auftraggebers vereinbart: Unterschreitung in Prozentpunkten◘ Gutschrift in Prozent der für den vereinbarten Bezugszeitraum geschuldeten Vergütung◘ > = 3,5 < 1 10 > = 1 < 2 > = 2 < 3 > = 3 < 4 > = 4 Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Gutschriften bei Nichtverfügbarkeit*. Messpunkte für die Feststellung der Verfügbarkeit* sind die folgenden: |
| 21. | Reaktions- und Wiederher- stellungszeiten* | Es werden folgende Reaktions- und Wiederherstellungszeiten* vereinbart: Störungsklasse Reaktionszeit* in Wiederherstellungs- Stunden zeit* in Stunden 1 2 3 Schwerwiegende 4 8 Störung* erhebliche Störung* 8 16 |
| Unterschreitung in Prozentpunkten◘ | Gutschrift in Prozent der für den vereinbarten Bezugszeitraum geschuldeten Vergütung◘ | |
|---|---|---|
| > = 3,5 | < 1 | 10 |
| > = 1 | < 2 | |
| > = 2 | < 3 | |
| > = 3 | < 4 | |
| > = 4 |
| Störungsklasse | Reaktionszeit* in Stunden | Wiederherstellungs- zeit* in Stunden |
|---|---|---|
| 1 | 2 | 3 |
| Schwerwiegende Störung* | 4 | 8 |
| erhebliche Störung* | 8 | 16 |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022) Änderungen sind farblich markiert.
[Seite 9]
Anlage Kriterienkatalog für Cloudleistungen
Seite 9 von 11
Vertragsnummer/Kennung Auftraggeber 0229/26 Vertragsnummer/Kennung Auftragnehmer __________
S,P,I
S,P,I
Nur bei S
S,P,I
| Leichte Störung* | 24 | innerhalb von 20 Arbeitstagen oder mit dem nächsten Release | ||||
|---|---|---|---|---|---|---|
| 22. | Protokollierung | Der Auftragnehmer führt folgende Protokolle: Protokolle über die Zugriffe auf die vom Auftraggeber genutzten Leistungen einschließlich der entsprechenden Daten und Datensicherungen*. Protokolliert werden muss dabei mindestens, durch wen, wann, wie und wie lange ein Zugriff erfolgte. Protokolle über sämtliche Zugriffe auf Infrastrukturkomponenten. Protokolliert werden müssen dabei insbesondere: An- und Abmeldungen, Installation, Deinstallation und Modifikation von Anwendungen, Änderungen von Berechtigungen und Änderungen im Benutzermanagement. Die Erfassung und Protokollierung weiterer Daten (auch Metadaten) erfolgt in dem im Vertrag vereinbarten Umfang. Protokolle über den Sicherheitsstatus des Cloud-Managementsystems (Vollständigkeit, Verfügbarkeit*, Integrität und Vertraulichkeit der verarbeiteten Daten). Protokolle über Art und Zeitpunkte der durchgeführten Datensicherungsmaßnahmen und Rücksicherungen. Der Auftraggeber hat das jederzeitige Recht, diese Protokolle einzusehen und in elektronisch bearbeitbarer Form abrufen zu können. Die Protokolle sind mindestens: sechs Monate aufzubewahren. Monate aufzubewahren. Die Protokolle sind revisionssicher aufzubewahren. Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Protokollierung. | ||||
| 23. | Aktualisierung | Die Leistungen sind mit jeweils allgemein verfügbaren und vom Auftragnehmer regulär supporteten Programmständen* zu erbringen. Der Auftragnehmer ist zu deren Bereitstellung verpflichtet. Der Auftragnehmer ist verpflichtet, folgende Programmstände* zu installieren und zu integrieren, sobald verfügbar: Updates* Upgrades* neue Releases/Versionen* neue Firmwarestände Der Auftragnehmer ist verpflichtet, Programmstände* zur Umsetzung von Änderungen solcher Rechtsvorschriften und technischer Normen gemäß Anlage Nr. zu installieren und zu integrieren. Der Auftragnehmer stellt die geschuldeten Programmstände* innerhalb angemessener Zeit vor, spätestens aber mit dem Inkrafttreten der jeweiligen Vorschrift oder Norm bzw. dem Zeitpunkt der vorgesehenen Änderung bzw. Anpassung. Erfolgt dies nicht spätestens zu diesen Terminen, ist der Auftragnehmer unbeschadet davon verpflichtet, dem Auftraggeber eine Übergangslösung bereitzustellen. Soweit ihm beides zu diesen Terminen zeitlich nicht zumutbar ist, haben sie innerhalb einer angemessenen Frist zu erfolgen. | ||||
| 24. | Reporting | Abweichend von Ziffer 9.1 EVB-IT Cloud-AGB erfolgt das Reporting nicht |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022) Änderungen sind farblich markiert.
[Seite 10]
Anlage Kriterienkatalog für Cloudleistungen
Seite 10 von 11
Vertragsnummer/Kennung Auftraggeber 0229/26 Vertragsnummer/Kennung Auftragnehmer __________
S,P,I
| monatlich, sondern täglich wöchentlich quartalsweise Ergänzend zu Ziffer 9 EVB-IT Cloud-AGB hat das Reporting folgende Inhalte: die durchgeführten Einspielungen neuer Programmstände* (z.B. Sicherheitspatches) eine Nutzungsstatistik über die max. Anzahl der gleichzeitigen Nutzer, der Nutzer und der Zugriffe insgesamt über die Fallzahlen des Systems, soweit vergütungsrelevant über erfolgte Zugriffe auf Backup-Daten (insbesondere Nutzer, Zeitpunkt und Umfang des Zugriffs) gemäß Anlage Nr. . sämtliche für die Leistungen relevante Sicherheitsvorfälle (Zeitpunkt, Art, und Umfang des Vorfalls) und die vom Auftragnehmer getroffenen Maßnahmen zu deren Beseitigung die durchgeführten Backups und Datenexporte sowie ihre erfolgreiche Verifikation. weitere Angaben gemäß Anlage 1 Leistungsbeschreibung. Zusätzlich zu Ziffer 9 EVB-IT Cloud-AGB ist für den Auftraggeber während der Nutzung der Leistung in Echtzeit einsehbar, wie viele Cloud-Ressourcen (Virtueller Speicher, Virtuelles Netzwerk, Virtuelle CPU Last, Virtuelles Storage) aktuell in Gebrauch sind (d.h. eine Darstellung der Auslastung der aktuell sich in Gebrauch befindlichen Cloud-Ressourcen). Gemäß Anlage zur Einbeziehung auftragnehmerseitiger AGB, dort Anhang II. zur Kategorie Reporting. | ||
|---|---|---|
| 25. | Mitwirkungs- leistungen des Auftraggebers | Zusätzlich zu bzw. abweichend von Ziffer 17 EVB-IT Cloud-AGB werden folgende Mitwirkungsleistungen des Auftraggebers vereinbart: Ziffer 17.2 EVB-IT Cloud-AGB wird ausgeschlossen gemäß Anlage Nr. 1 Leistungsbeschreibung |
- Sonderkriterien für IaaS* und PaaS*
| Lfd. | Anzahl gleicher | Parameter | Ausprägung | ||
|---|---|---|---|---|---|
| Systeme | |||||
| 1 | 2 | 3 | 4 | ||
| 1 | fest: minimal: maximal: | Rechenleistung | |||
| CPU-Anzahl vCPU-Anzahl | |||||
| Leistungsklasse bzw. nähere Beschreibung | |||||
| Speicher | |||||
| Arbeitsspeicher | feste Größe: GB dynamisch: mind. GB bis maximal: GB |
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022) Änderungen sind farblich markiert.
[Seite 11]
Anlage Kriterienkatalog für Cloudleistungen
Seite 11 von 11
Vertragsnummer/Kennung Auftraggeber 0229/26 Vertragsnummer/Kennung Auftragnehmer __________
| dynamische Anpassung im laufenden Betrieb (kein Neustart) | |||
|---|---|---|---|
| (Festplatten-)Speicher- Größe | feste Größe: GB dynamisch: mind. GB bis maximal: GB dynamische Anpassung im laufenden Betrieb (kein Neustart) | ||
| (Festplatten-)Speicher-Typ | SATA-Festplatte SSD SAS shared Storage | ||
| Performanceanforderungen | Leistung in Total IOPS: Datenrate in MB/s mind.: Latenz in ms maximal: | ||
| Betriebssystem | |||
| Bezeichnung | (z.B. Linux Red Hat 6 64 bit) | ||
| Installationsart | Standardinstallation kundenspezifische Ausprägung gemäß Anlage Nr. (z.B. besondere Härtungsmaßnahmen) | ||
| Sofern auftraggeberseitig ein Betriebssystem installiert wird, ist Treiberunterstützung für folgende Betriebssysteme des Auftraggebers geschuldet: | (z.B. Linux Red Hat 6 64 bit) (z.B. Windows 10) | ||
| Virtualisierung | |||
| unterstützte Virtualisierungs- umgebungen | (z.B. VMware ESX, HyperV) | ||
| Kommunikationssicherheit | |||
| 2 | COS-06 C5 Zusatzkriterium: Die sichere Trennung durch physisch getrennte Netze oder durch stark verschlüsselte VLANs ist sichergestellt. Zur Definition einer starken Verschlüsselung ist die Technische Richtlinie TR-02102 des BSI zu berücksichtigen. |
- Erweiterung und Reduzierung der Leistung Ein weiteres gleiches System jedoch maximal bis zur vereinbarten Maximalanzahl gleicher Systeme, ist innerhalb von (Tagen, Wochen) nach Anforderung durch den Auftraggeber betriebsbereit bereitzustellen. Das System ist nach Anforderung innerhalb von (Tagen, Wochen) durch den Auftragnehmer zu deaktivieren, soweit dadurch nicht die Minimalanzahl gleicher Systeme unterschritten wird.
Die mit * gekennzeichneten Begriffe sind am Ende der EVB-IT Cloud-AGB definiert. Version 1.01 (Stand: 01.03.2022) Änderungen sind farblich markiert.