Vertraulichkeits- und Sicherheitsvereinbarung
Präambel
Zwischen dem Land Brandenburg, vertreten durch das Ministerium der Justiz und für Digitalisierung, vertreten durch den Brandenburgischen IT-Dienstleister (kurz -- ZIT-BB --)
-- Steinstraße 104 – 106 – 14480 Potsdam --
und dem Auftragnehmer (kurz – AN --):
«Firmen_Bez»
«Adresse_1»; «PLZ»; «Ort» «Tel»
wird zur Vorbereitung und Durchführung des Auftrages:
«Projekt»
folgende Vereinbarung zur Vertraulichkeit und Sicherheit getroffen.
§ 1 Vertraulichkeit
(1) Vertrauliche Informationen sind sämtliche in mündlicher, schriftlicher und elektronischer Form zugänglich gemachte Informationen, die der Auftragnehmer direkt oder indirekt vom ZIT-BB erhält und als vertraulich oder als Verschlusssache gekennzeichnet sind oder die ein verständiger Dritter als vertraulich ansehen würde. Hierzu zählen auch gewonnene Erkenntnisse sowie Informationen über IT-Infrastrukturen und IT-Verfahren und die darin verarbeiteten Daten, soweit sie nicht öffentlich bekannt sind.
(2) Der Auftragnehmer verpflichtet sich:
- vertrauliche Informationen ausschließlich zur Vorbereitung und Durchführung des oben genannten Auftrags zu verwenden,
- im Umgang mit vertraulichen Informationen geltende Gesetze sowie ihm vom ZIT-BB bekannt gegebene Verwaltungsvorschriften und interne Regelungen zu beachten,
- im Umgang mit personenbezogenen Daten die Bestimmungen der Datenschutz-Grundverordnung (DSGVO) und des Brandenburgischen Datenschutzgesetzes (BbgDSG) zu beachten,
- die erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen, um sämtliche vertraulichen Informationen zu schützen, insbesondere sicherzustellen, dass diese Informationen vor der Einsichtnahme und dem Zugriff durch Dritte geschützt sind,
- vertrauliche Informationen strikt vertraulich zu behandeln und ohne die vorherige schriftliche Zustimmung des ZIT-BB weder vollständig noch teilweise an Dritte weiterzugeben,
- vertrauliche Informationen nur an die Mitarbeiter oder Subunternehmer weiterzugegeben, die sie aufgrund ihrer Tätigkeit erhalten müssen,
- sicherzustellen, dass die Weitergabe der vertraulichen Informationen an Beschäftigte bzw. Subunternehmer nur erfolgt, wenn diese schriftlich, für den ZIT-BB nachvollziehbar, und auch für die Zeit nach ihrer Tätigkeit für den Auftragnehmer zur vertraulichen Behandlung verpflichtet wurden,
- vorbehaltlich gesetzlicher Aufbewahrungsfristen sämtliche vertrauliche Informationen in schriftlicher oder elektronischer Form nach Abschluss des Auftrags zu vernichten bzw. zu löschen. Die den IT-Grundschutz-Standards des Bundesamtes für Sicherheit in der Informationstechnik (oder vergleichbar) entsprechende Vernichtung bzw. Löschung wird dem ZIT-BB auf Verlangen mit Datumsangabe schriftlich bestätigt,
- dem ZIT-BB auf Verlangen sämtliche in den Besitz des Auftragnehmers gelangten vertraulichen Informationen einschließlich ggf. gefertigter Kopien, die im Zusammenhang mit dem Auftragsverhältnis stehen, nach Abschluss der vertraglichen Arbeiten auszuhändigen.
(3) Das Eigentum an allen vertraulichen Informationen verbleibt jederzeit beim ZIT-BB.
(4) Erfolgt die Erledigung des Auftrags auf Basis eines EVB-IT-Vertrages und sollten die dort vereinbarten Bestimmungen zur Vertraulichkeit einzelnen Bestimmungen dieser Vereinbarung widersprechen, gelten die entsprechenden Bestimmungen des EVB-IT-Vertrages.
§ 2 Informationssicherheit
(1) Der Auftragnehmer verpflichtet sich, beim Zugang zu IT-Systemen, Netzen und Anwendungen, die vom ZIT-BB für die Landesverwaltung Brandenburg betrieben werden, folgende Sicherheitsmaßnahmen einzuhalten:
- Es sind ausschließlich die vom Auftraggeber für den jeweiligen Auftrag freigegebenen IT-Systeme, Zugänge und Anwendungen zu verwenden. Das Einsatzszenario für die Freigabe wird gesondert dokumentiert (Anlage „Freigabe IT-Infrastruktur für Externe“).
- Die freigegebenen IT-Systeme, Zugänge und Anwendungen sind ausschließlich für die vereinbarten Aufgaben zu nutzen.
- Für die vereinbarten Aufgaben sind die bekannt gegebenen Sicherheitsrichtlinien und Dienstanweisungen einzuhalten.
- Sicherheitsvorfälle, bekannt gewordene Schwachstellen oder der Verlust bereitgestellter Technik sind dem ZIT-BB sofort zu melden.
(2) Den Anschluss von Fremdgeräten zum Zweck der Entstörung und/oder Fehlereingrenzung sowie der Mitnahme von Daten zum Zweck der Fehlerauswertung, -eingrenzung und -beseitigung beantragt der Auftragnehmer begründet beim IT-Sicherheitsbeauftragten. Im Havariefall entscheidet die Leiterin vom Dienst oder der Leiter vom Dienst. Die Antragsstellung erfolgt über die Organisationseinheit im ZIT-BB, für die der Auftragnehmer tätig wird.
§ 3 Schlussbestimmungen
(1) Der Auftragnehmer stellt sicher, dass die im Zusammenhang mit dem Auftrag zum Einsatz kommenden Beschäftigten zuvor auf diese Vertraulichkeits- und Sicherheitsvereinbarung schriftlich verpflichtet werden. Der Auftragnehmer dokumentiert die Verpflichtung und stellt sie dem ZIT-BB auf Verlangen zur Verfügung.
(2) Der Auftragnehmer haftet für alle Schäden, die dem ZIT-BB dadurch entstehen, dass der Auftragnehmer seine sich aus dieser Vereinbarung ergebenden Verpflichtungen schuldhaft verletzt.
(3) Diese Vereinbarung tritt zum Zeitpunkt der Unterzeichnung in Kraft und dauert auch nach Beendigung der Zusammenarbeit an.
(4) Es bestehen keine mündlichen Nebenabreden. Änderungen, Ergänzungen oder Aufhebungen dieser Vertraulichkeitsvereinbarung bedürfen zu ihrer Wirksamkeit der Schriftform. Der Gerichtsstand ist Potsdam.
Salvatorische Klausel
Falls einzelne Bestimmungen dieser Vereinbarung unwirksam sein sollten, wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. Anstelle der unwirksamen Bestimmung gilt diejenige wirksame Bestimmung als vereinbart, die dem Sinn und Zweck der unwirksamen Bestimmung entspricht.
Ort: Datum: Ort: Datum:
___________________________ ___________________________
ZIT-BB Auftragnehmer
Anlage zur Vertraulichkeits- und Sicherheitsvereinbarung: Freigabe IT-Infrastruktur für Externe
1. Zielsetzung und Abgrenzung
Dieses Dokument ist eine Anlage der Vertraulichkeits- und Sicherheitsvereinbarung und dient der Freigabe von Zugängen, IT-Systemen und Anwendungen für Auftragnehmer. Die Einsatzszenarien sind unter der Freigabeerklärung erläutert.
2. Freigabeerklärung
Der Auftragnehmer darf zur Erfüllung seines Auftrags folgendes Einsatzszenario nutzen:
2.1 Fernwartung
Unter Fernwartung fallen die im IT-Grundschutz-Baustein zur „OPS 1.2.5 Fernwartung des BSI beschriebenen Aufgaben. Typische Aufgaben sind die Installation, Aktualisierung und Konfiguration von Software sowie Arbeiten im Rahmen einer Fehlerbehebung (Incident Handling). Für den Zugang zum IT-Verfahren werden folgende Technologien genutzt:
[ ] Terminalserver-Zugang aus dem Internet
[ ] Administration im 4-Augen-Prinzip via Desktop-Sharing (derzeit: FastViewer)
[ ] Zugriff auf Windows-basierte IT-Systeme und Anwendungen des Verfahrens via RDP
[ ] Zugriff auf Linux-basierte IT-Systeme und Anwendungen des Verfahrens via SSH (putty)
[ ] Zugriff auf IT-Systeme und Anwendungen des Verfahrens via (Client-)Fachanwendung
[ ] Zugriff auf IT-Systeme und Anwendungen des Verfahrens via Webbrowser
2.2 Monitoring
Unter Monitoring fällt die Überwachung der ordnungsgemäßen Funktion von IT-Infrastruktur und IT-Verfahren, einschließlich des Auslösens etablierter und im IT-Verfahren beschriebener Prozesse. Bei diesem Einsatzszenario können keine Aufgaben der Fernwartung wahrgenommen werden.
[ ] Terminalserver-Zugang aus dem Internet
[ ] Zugriff auf IT-Systeme und Anwendungen des Verfahrens via (Client-)Fachanwendung
[ ] Zugriff auf IT-Systeme und Anwendungen des Verfahrens via Webbrowser
[ ] Auslösen von im IT-Verfahren angelegten Prozessen (Skripte)
2.3 Externe Mitarbeitende
[x] Zugriff auf IT-Systeme, Zugänge und Anwendungen wie Beschäftigte
2.4 Projektarbeit
Im Projekt muss individuell festgelegt werden, welche Tätigkeiten erforderlich sind. Die Erforderlichkeit muss begründbar sein.
[x] Zugriff auf Dokumentenaustausch-Plattform
[ ] Zugriff gemäß Szenario Fernwartung (Auswahl s. o.)
[ ] Zugriff gemäß Szenario Monitoring (Auswahl s. o.)
[ ] Zugriff gemäß Szenario Externe Mitarbeitende (Auswahl s. o.)