[Seite 1]
Anlage ANG 22 Offenes Verfahren Rahmenvertrag IT-Dienstleistungen IBBW - EU 1/2026
Anlage ANG 22
Ergänzende Vertragsbedingung Meldung von Cyberangriffen beziehungsweise Sicherheitsvorfällen
Der Auftragnehmer wird im Rahmen der vertraglichen Nebenpflichten den Auftraggeber unverzüglich informieren, wenn er auf Basis konkreter An- haltspunkte erkennt, dass eine in feindseliger Willensrichtung begangene Handlung betreffend die IT-Infrastruktur des Auftragnehmers oder des Auftraggebers, zum Beispiel ein Cyberangriff, zu einem Schaden oder ei- ner schwerwiegenden Beeinträchtigung der schutzwürdigen Interessen des Auftraggebers, seiner Kunden oder seiner Beschäftigten führt. Dies gilt entsprechend, wenn aufgrund einer derartigen Handlung ein Schaden oder eine schwerwiegende Beeinträchtigung bereits eingetreten ist. Unter den gleichen Voraussetzungen wird der Auftragnehmer den Auftraggeber über anderweitige den Auftraggeber betreffende Sicherheitsvorfälle in Kenntnis setzen.
Die Meldung ist an informationssicherheit@ibbw.kv.bwl.de zu richten. Sollten konkrete Einzelabrufe direkt betroffen sein, sind deren Ansprech- partner/-innen zur Kenntnis aufzunehmen.
Soweit berechtigte Interessen nicht entgegenstehen, hat die Meldung ins- besondere folgende Angaben zu umfassen: • konkrete Beschreibung des Vorfalls; • Zeitpunkt des Bekanntwerdens; • den erkannten oder vermuteten Angriffsvektor; • Erkenntnisse zu einer möglichen Kompromittierung von Daten der Landesverwaltung Baden-Württemberg oder der DV-Infrastruktur der Landesverwaltung Baden-Württemberg; • ob es sich um einen meldepflichtigen Vorgang nach Artikel 33 der Datenschutz-Grundverordnung (DSGVO) handelt und ob eine Mel- dung an die/den zuständige/n Landesbeauftragte/n für Datenschutz und Informationsfreiheit erfolgt ist; • ob das Landeskriminalamt oder sonstige (Strafverfolgungs-)Behör- den informiert worden sind;
Anlage ANG 22 – EVB zur Meldung von Sicherheitsvorfällen Seite 1 von 2
[Seite 2]
Anlage ANG 22 Offenes Verfahren Rahmenvertrag IT-Dienstleistungen IBBW - EU 1/2026
• die Benennung einer Ansprechperson des Auftragnehmers bezüglich des Vorfalls für den Auftraggeber; • die Art der Zugriffe der Mitarbeiterinnen beziehungsweise der Mitar- beiter des Auftragnehmers auf die DV-Infrastruktur der Landesver- waltung Baden-Württemberg.
Der Aufragnehmer wird den Auftraggeber erforderlichenfalls bei der Bear- beitung der Vorgänge und der Aufklärung des Sachverhalts zu unterstüt- zen.
Diese Benachrichtigung lässt anderweitige Meldepflichten insbesondere auch Melde- und Benachrichtigungspflichten nach Artikel 33 und Artikel 34 DSGVO unberührt.
Der Auftraggeber wird auf die berechtigten Interessen des Auftragneh- mers bei der Bearbeitung des Vorgangs Rücksicht nehmen. Er erkennt insbesondere an, dass die Eindämmung des Vorfalls durch den Auftrag- nehmer Vorrang vor einer Meldung an den Auftraggeber haben kann.
Anlage ANG 22 – EVB zur Meldung von Sicherheitsvorfällen Seite 2 von 2