[Seite 1]
Anlage 2
Berichtswesen
zum Rahmenvertrag vom TT.MM.JJJJ
zwischen
Landesbank Hessen-Thüringen Girozentrale
Neue Mainzer Straße 52 -58
60311 Frankfurt
- nachfolgend Helaba oder Auftraggeber genannt –
und
[Adresszeile 1: Vollständige Firmierung des Auftragnehmers]
[Adresszeile 2: Straße des Auftragnehmers]
[Adresszeile 3: PLZ und Stadt des Auftragnehmers]
- nachfolgend [Kürzel des Auftragnehmers] oder Auftragnehmer genannt -
– zusammen auch „Vertragspartner“, „Vertragsparteien“ oder „Parteien“ ge-
nannt –
Version 0.9
[Seite 2]
Anlage 2 – Berichtswesen
INHALTSVERZEICHNIS
1 GEGENSTAND DIESER ANLAGE .................................................................................. 3 2 ALLGEMEINES .......................................................................................................... 3 3 SERVICE LEVEL REPORTS ......................................................................................... 3 4 AD-HOC BERICHTERSTATTUNG ................................................................................. 4 5 COMPLIANCE BERICHTE ........................................................................................... 5 5.1 Revisions- / Prüfbericht ....................................................................................... 5 5.2 Informationssicherheitsbericht .......................................................................... 6 5.3 Subunternehmerbericht ...................................................................................... 6 5.4 IT-Risikobericht .................................................................................................... 6 5.5 Datenschutzbericht .............................................................................................. 7
Seite 2 von 7
[Seite 3]
Anlage 2 – Berichtswesen
1 Gegenstand dieser Anlage
Gegenstand dieser Anlage ist eine Übersicht aller Berichte und Reports, die im Rahmen der laufenden Kontrolle und Steuerung der vertragsgegenständlichen Leistungen durch den Auf- tragnehmer bereitgestellt werden müssen.
2 Allgemeines
(1) Die Reports und Berichte werden vom Auftragnehmer in elektronischer Form revisionssi- cher bereitgestellt und zielgruppengerecht abgelegt mit klaren Zugriffsrechten und Archi- vierungsregeln. Sämtliche Berichte / Reports sind, soweit möglich, auch in einem bearbeit- baren Format zur Verfügung zu stellen.
(2) Die Lieferung der Berichte / Reports erfolgt vorzugsweise über eine Portallösung bzw. eine zwischen den Parteien noch zu vereinbarende Schnittstelle.
3 Service Level Reports
(1) Die Service Level Reports enthalten einen Überblick über die Qualität der Serviceerfüllung.
(2) Service-Level-relevante KPI sind in der Anlage 1 Verzeichnis der Service Level Agree- ments zum Rahmenvertrag definiert.
(3) Nicht erfüllte Service Level sind mit erklärenden Kommentaren zu versehen. Darüber hin- aus werden detaillierte Aussagen zu geschäftskritischen Ereignissen sowie mitigierende Maßnahmen bei nicht erfüllten Service Leveln im Report dokumentiert.
(4) Sofern eine weiter gehende Analyse aus Sicht des Auftraggebers notwendig ist, wird der Auftragnehmer die hierzu benötigten Informationen und Analysen auf Basis der beim Auf- tragnehmer vorhandenen Daten zeitnah, aber spätestens bis zum nächsten Governance- Meeting (siehe Anhang 7.1 Kommunikationsmatrix) bereitstellen.
| Berichtsname und Beschreibung | Berichtszeitraum | Format | ||
|---|---|---|---|---|
| und Bereitstellungs- | ||||
| termin | ||||
| Service Level Report Berichtet werden • Status und Qualität der Leistungserbringung für Service Level • Aussagen zu geschäftskritischen Ereignissen sowie mitigierende Maßnahmen bei nicht er- füllten Service Leveln. | monatlich, zum 10. Werktag des Folge- monats | PDF und XLS |
Seite 3 von 7
[Seite 4]
Anlage 2 – Berichtswesen
4 Ad-hoc Berichterstattung
| Berichtsname und Beschreibung | Berichtszeitraum | Format | ||
|---|---|---|---|---|
| und Bereitstel- | ||||
| lungstermin | ||||
| Ad-hoc Bericht Berichtet werden insbesondere Entwicklungen, Vor- kommnisse oder Fehler beim Auftragnehmer oder bei eingesetzten Subunternehmen, sofern sich hieraus - eine Beeinträchtigung der vertragsgegenständli- chen Leistung im Einklang mit gesetzlichen oder aufsichtsrechtlichen Anforderungen - ein Reputationsrisiko für den Auftraggeber oder - eine Gefahr für die Datensicherheit der beim Auftragnehmer befindlichen oder verarbeiteten Daten ergibt. Ferner müssen vom Auftragnehmer ad-hoc gemeldet werden: - Im Bereich Informationssicherheit: sicherheitsrelevante Vorfälle sowie schwerwie- gende Mängel oder Schwachstellen mit kriti- scher oder hoher Einstufung gemäß Anhang 3 Informationssicherheit zu Anlage 3 Daten- schutz und Informationssicherheit. - Im Bereich Datenschutz: Verletzungen des Schutzes personenbezogener Daten sowie Fehler bei der Verarbeitung perso- nenbezogener Daten gemäß Anhang 2 Auf- tragsverarbeitungsvertrag AVV zu Anlage 3 Datenschutz und Informationssicherheit. - Im Bereich Audit: alle als „wesentlich“ eingestufte Prüfungsfest- stellungen. | Unverzüglich |
Seite 4 von 7
[Seite 5]
Anlage 2 – Berichtswesen
5 Compliance Berichte
(1) Die im Folgenden aufgeführten Compliance-Berichte sind auf Anforderung des Auftragge- bers als optionale Leistung durch den Auftragnehmer bereitzustellen.
(2) Die hierdurch dem Auftragnehmer entstehenden aufwandsbezogenen Kosten werden im Anhang 5.1 Preisblatt gesondert ausgewiesen.
(3) Der Auftragnehmer stellt dem Auftraggeber als optionale Leistung die folgenden Berichte in den festgelegten Zyklen zur Verfügung.
| Berichtszyklus | ||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Jan | Feb | Mär | Apr | Mai | Jun | Jul | Aug | Sep | Okt | Nov | Dez | |||||
| Revisionsbe- | X | X | X | X | ||||||||||||
| richt / | ||||||||||||||||
| Prüfbericht | ||||||||||||||||
| Informations- | X | |||||||||||||||
| sicherheits- | ||||||||||||||||
| bericht | ||||||||||||||||
| Subunter- | anlassbezogen | |||||||||||||||
| nehmerbe- | ||||||||||||||||
| richt | ||||||||||||||||
| IT-Risikobe- richt | IT-Risikobe- | X | ||||||||||||||
| richt | ||||||||||||||||
| Datenschutz- | X | |||||||||||||||
| bericht |
5.1 Revisions- / Prüfbericht
| Berichtsname und Beschreibung | Berichtszeitraum und Be- | Format | ||
|---|---|---|---|---|
| reitstellungstermin | ||||
| Revisionsbericht / Prüfbericht gemäß ISAE oder IDW PS 951 Berichtet werden die bezogen auf den Leistungs- gegenstand relevanten Prüfungsergebnisse sowie vierteljährliche Informationen zum Erledigungs- stand von Feststellungen (follow-up). | Jährlich (spätestens sechs Wochen nach Berichtsstich- tag 31.12.) sowie quartals- weise follow-up (zu den Stichtagen 31.03./30.06./30.09./31.12.) | PDF und XLS |
Seite 5 von 7
[Seite 6]
Anlage 2 – Berichtswesen
5.2 Informationssicherheitsbericht
| Berichtsname und Beschreibung | Berichtszeitraum | Format | ||
|---|---|---|---|---|
| und Bereitstellungs- | ||||
| termin | ||||
| Informationssicherheitsbericht Bericht über den Nachweis der wirksamen Umsetzung der vereinbarten Maßnahmen, Vorgaben und Kontrol- len für das aktuelle Kalenderjahr, der durchgeführten Maßnahmen und Projekte zur Erhaltung bzw. Verbes- serung der Informationssicherheit und der für die nächste Planungsperiode vorgesehenen Maßnahmen zur Verbesserung der Informationssicherheit. | Jährlich (spätestens 12 Wochen nach Be- richtsstichtag 31.12.) | PDF und XLS |
5.3 Subunternehmerbericht
| Berichtsname und Beschreibung | Berichtszeitraum | Format | ||
|---|---|---|---|---|
| und Bereitstellungs- | ||||
| termin | ||||
| Subunternehmerbericht Für den Bericht ist die „Liste der aktuellen Subunter- nehmer gemäß Anlage 8, Anhang 1 Verzeichnis der beteiligten Subunternehmer, zu verwenden. | anlassbezogen | PDF und XLS |
5.4 IT-Risikobericht
| Berichtsname und Beschreibung | Berichtszeitraum | Format | ||
|---|---|---|---|---|
| und Bereitstellungs- | ||||
| termin | ||||
| IT-Risikobericht Der IT-Risikobericht enthält die mit der Leistungser- bringung durch den Auftragnehmer verbundenen Risi- ken, indem mindestens die wesentlichen Risiken mit detaillierter Darstellung sowie die als nicht wesentlich eingestuften Risiken mit Kurzbeschreibung aufgezeigt werden. Die Risikoberichterstattung erfolgt unter Ein- bezug von Informationen zu Weiterverlagerungen bzw. hieraus resultierenden Risiken. | Jährlich (spätestens 12 Wochen nach Be- richtsstichtag 31.12.) | PDF und XLS |
Seite 6 von 7
[Seite 7]
Anlage 2 – Berichtswesen
5.5 Datenschutzbericht
| Berichtsname und Beschreibung | Berichtszeitraum | Format | ||
|---|---|---|---|---|
| und Bereitstellungs- | ||||
| termin | ||||
| Datenschutzbericht Der Datenschutzbericht ist der Tätigkeitsbericht des Datenschutzbeauftragten des Auftragnehmers. Er fasst in angemessener Form die wichtigsten daten- schutzrechtlichen Ereignisse und Maßnahmen zusam- men und dient dem Auftraggeber als Nachweis der Einhaltung der datenschutzrechtlichen Vorgaben. | Jährlich (spätestens 12 Wochen nach Be- richtsstichtag 31.12.) |
Seite 7 von 7