BVB ISMS.pdf

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein

VERTRAG ÜBER

LEGAL AI WORKSPACE

KFW-2026-0025

BESONDERE VERTRAGSBEDINGUNGEN FÜR INFORMATIONSSI-

CHERHEIT

BEZÜGLICH CLOUD SERVICES: SAAS (SOFTWARE-AS-A-SER-

VICE)

1. GRUNDSATZ FÜR INFORMATIONSSICHERHEITS-MAßNAHMEN 1.1 Die KfW legt mit dem vorliegenden Dokument (inkl. Anlagen) Mindestanforderungen an das Schutzniveau der Informationssicherheits-Maßnahmen fest, die im Rahmen der Leistungserbringung eingehalten werden müssen. Das vorgegebene Mindest- schutzniveau kann auch durch abweichende, aber gleichwertige Maßnahmen erfüllt werden. 1.2 Die Wahl geeigneter Maßnahmen im Rahmen des eigenen Informationssicherheits- managements obliegt dem Auftragnehmer. Der Auftragnehmer gewährleistet, dass bei der Leistungserbringung durchgehend Maßnahmen zum Schutz der Informatio- nen der Unternehmen des KfW-Konzerns umgesetzt werden, die für die Einhaltung des in diesem Dokument (inklusive Anlage) festgelegte Mindestschutzniveaus sor- gen und unter Berücksichtigung des jeweiligen Standes der Technik, der Art, des Umfangs und der Zwecke der Verarbeitung der Informationen sowie der Eintritts- wahrscheinlichkeit und Schwere des Risikos für eine Gefährdung der Informations- sicherheit (Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Informatio- nen) getroffen worden sind. 1.3 Alle Referenzen auf den BSI Cloud Computing Compliance Criteria Catalogue - C5 in diesem Dokument beziehen sich auf die Version C5:2020. Alle Referenzen auf ISO Controls in diesem Dokument beziehen sich auf die Version DIN ISO 27001:2022. 1.4 Informationen im Sinne dieser Bestimmungen sind Informationen, die dem Auftrag- nehmer von der KfW oder einem Unternehmen des KfW-Konzerns zugänglich ge- macht werden, sowie sämtliche Informationen und Erkenntnisse, die er durch die oder gelegentlich der Zusammenarbeit mit der KfW oder einem Unternehmen des KfW-Konzerns auf Grundlage dieses Vertrages gewinnt, insbesondere auch Ge- schäfts- oder Betriebsgeheimnisse des KfW-Konzerns, seiner Kunden und sonsti- gen Geschäftspartner und umfassen sowohl elektronische Daten als auch Informa- tionen, die nicht in elektronischer Form vorliegen. 1.5 Die Ziffer 4 bis 9 dieses Dokuments setzen Vorgaben der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor (DORA) sowie der zugehö- rigen Delegierten Rechtsakte und Durchführungsrechtsakte um und sind dement- sprechend auszulegen.

2. ALLGEMEINE ANFORDERUNGEN AN DIE INFORMATIONSSICHERHEIT 2.1 Die definierten Soll-Sicherheitsmaßnahmen (insb. angemessene Organisations- struktur, geeignete Prozesse, technische und organisatorische Maßnahmen), die im Rahmen der Leistungserbringung zur Anwendung kommen, müssen geeignet sein, um ein dem Finanzsektor angemessenes IT- und Informationssicherheitsniveau

Seite 1

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein

unter Einhaltung der regulatorischen Anforderungen zu erreichen. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 5.31) 2.2 Die im Rahmen der Leistungserbringung zur Anwendung kommenden Soll-Sicher- heitsmaßnahmen müssen den Anforderungen der Normenreihe ISO 27001 / 27002 entsprechen und aus Best Practices, den Ergebnissen der Informationssicherheit- Risikoanalysen, (Security) Audits und Informationssicherheitsvorfällen abgeleitet sein. Darüber hinaus müssen die Soll-Sicherheitsmaßnahmen den Anforderungen der Basiskriterien des Cloud Computing Compliance Controls Catalog - C5 des Bun- desamts für Sicherheit in der Informationstechnik (BSI https://www.bsi.bund.de/) entsprechen, welche insbesondere Sicherheitsanforderungen in Cloud-Umgebun- gen konkretisieren. Dabei gilt die Normenreihe ISO 27001 / 27002 jeweils in der aktuellen Version nach Ablauf einer angemessenen Übergangsfrist, jedoch spätestens 2 Jahre nach Inkraft- treten einer neuen Version. Gleiches gilt für die Basiskriterien sowie in dieser Ver- tragsanlage vereinbarte Zusatzkriterien des Cloud Computing Compliance Controls Catalog - C5 des Bundesamts für Sicherheit in der Informationstechnik. Sollte der Auftragnehmer nicht innerhalb von 2 Jahren (vorbehaltlich einer anderen vom Gesetzgeber vorgegebenen Umsetzungsfrist, die in jedem Fall einzuhalten ist) ab der Veröffentlichung des Nachfolgedokumentes gegenüber der KfW auf Anforde- rung erklären, dass er die neuen und die geänderten Anforderungen erfüllt, hat die KfW ein mit einer Frist von einem Monat auszuübendes Sonderkündigungsrecht be- zogen auf die betroffenen Leistungen. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 5.31) 2.3 Der Auftragnehmer setzt einen Informationssicherheitsbeauftragten bzw. Hauptver- antwortlichen für die Informationssicherheit im Unternehmen mit direktem Berichts- weg zur Geschäftsleitung fortlaufend ein. (KfW-spezifische Vorgabe zusätzlich zu. ISO Control 5.2) 2.4 Der Auftragnehmer stellt der KfW eine zentrale Ansprechperson für Belange der In- formationssicherheit für die Vertragslaufzeit zur Verfügung. (KfW-spezifische Vor- gabe zusätzlich zu ISO Control 5.19) 2.5 Der Auftragnehmer führt in regelmäßigen Abständen und zumindest jährlich Schu- lungen zur Informationssicherheit für alle seine Mitarbeiter und sonstige zur Leis- tungserbringung eingesetzte Personen, welche an der Verarbeitung von Informatio- nen im Rahmen der Leistungserbringung beteiligt sind, im Rahmen eines fortdau- ernden Awarenessprogramms zur Gewährleistung eines angemessenen Informati- onssicherheitsbewusstseins (insbesondere zum vertraulichen Umgang mit Informa- tionen sowie zu Malware- und Phishing-Attacken) durch. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 6.3) 2.6 Die zur Leistungserbringung eingesetzte IT-Infrastruktur muss auf allen Ebenen re- gelmäßig, mindestens wöchentlich, durch einen Schwachstellen-Scanner (CVE- Vergleich) und einen APT-Scanner (Analyse der Systeme nach Einbruchspuren) nachweislich gescannt werden. (KfW-spezifische Vorgabe zusätzlich zu ISO-Control 8.8)

3. ERGÄNZENDE ANFORDERUNGEN AN DIE INFORMATIONSSICHERHEIT 3.1 Der Auftragnehmer erbringt die Leistungen zusätzlich zu den Vorgaben der Ziffer 2 dieser Besonderen Vertragsbedingungen unter Einhaltung der folgenden Zusatzkri- terien des Cloud Computing Compliance Criteria Catalogue - C5.

OPS-05 Schutz vor Schadprogrammen - Umsetzung

Seite 2

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein

4. PROGRAMME DER KFW ZUR IKT-SICHERHEIT UND SCHULUNGEN (Art. 30 Abs. 2 i in Verbindung mit Art. 13 Abs. 6 DORA) 4.1 Der Auftragnehmer bestimmt auf Verlangen der KfW einzelne zur Leistungserbrin- gung eingesetzte Personen, einschließlich solcher Personen, die in leitender Funk- tion beteiligt sind, zur planmäßigen oder ad hoc Teilnahme und Mitwirkung an von der KfW angebotenen Programmen zur Sensibilisierung für die Sicherheit der Infor- mations- und Kommunikationstechnologien (IKT) sowie an Schulungen zur digitalen operationalen Resilienz. 4.2 Der Auftragnehmer wird die Inhalte der Programme und Schulungen bei der Erbrin- gung der Vertragsleistungen an die KfW beachten. Sofern dafür eine Änderung der Vertragsleistungen oder dieses Vertrages erforderlich wird, informiert der Auftrag- nehmer die KfW hierüber unverzüglich.

5. IKT-BEZOGENE VORFÄLLE GEMÄẞ DORA: DEFINITIONEN 5.1 Ein „IKT-bezogener Vorfall“ im Sinne dieses Vertrages ist ein nicht geplantes Ereig- nis bzw. eine entsprechende Reihe verbundener Ereignisse, das bzw. die die Si- cherheit der Netzwerk- und Informationssysteme beeinträchtigt und nachteilige Aus- wirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von In- formationen der Unternehmen des KfW-Konzerns oder auf die für die Unternehmen des KfW-Konzerns erbrachten Leistungen hat. 5.2 Ein „schwerwiegender IKT-bezogener Vorfall“ im Sinne dieses Vertrages ist ein IKT- Vorfall, der umfassende nachteilige Auswirkungen auf die Netzwerk- und Informati- onssysteme hat, die kritische oder wichtige Funktionen der Unternehmen des KfW- Konzerns unterstützen.

5.3 „Netzwerk- und Informationssysteme“ im Sinne dieses Vertrages umfassen a. elektronische Kommunikationsnetze im Sinne des Artikels 2 Nummer 1 der Richt- linie (EU) 2018/1972, d.h. Übertragungssysteme, ungeachtet dessen, ob sie auf einer permanenten Infrastruktur oder zentralen Verwaltungskapazität basieren, und gegebenenfalls Vermittlungs- und Leitwegeinrichtungen sowie anderweitige Ressourcen – einschließlich der nicht aktiven Netzbestandteile –, die die Über- tragung von Signalen über Kabel, Funk, optische oder andere elektromagneti- sche Einrichtungen ermöglichen, einschließlich Satellitennetze, feste (leitungs- und paketvermittelt, einschließlich Internet) und mobile Netze, Stromleitungssys- teme, soweit sie zur Signalübertragung genutzt werden, Netze für Hör- und Fern- sehfunk sowie Kabelfernsehnetze, unabhängig von der Art der übertragenen In- formationen,

Seite 3

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein

b. ein Gerät oder eine Gruppe miteinander verbundener oder zusammenhängender Geräte, die einzeln oder zu mehreren auf der Grundlage eines Programms die automatische Verarbeitung digitaler Daten durchführen, oder c. digitale Daten, die von den – in den Buchstaben a und b genannten – Elementen zum Zwecke ihres Betriebs, ihrer Nutzung, ihres Schutzes und ihrer Pflege ge- speichert, verarbeitet, abgerufen oder übertragen werden.

6. IKT-VORFALLSMELDUNG (Art. 19 und 20 DORA) 6.1 Zur Erfüllung von Meldepflichten der KfW gegenüber Aufsichtsbehörden meldet der Auftragnehmer der KfW jeden IKT- bezogenen Vorfall gem. Ziffer 5 unverzüglich und spätestens innerhalb von zwölf (12) Stunden nach Kenntnis des Auftragnehmers an die KfW. In Abhängigkeit vom Mandanten erfolgt die Meldung per E-Mail an die E- Mail-Adresse lagezentrum@kfw.de (Mandanten KfW und KfW Capital), an die E- Mail-Adresse ipex.informationssicherheitsereignisse@kfw.de (Mandant IPEX) oder an die E-Mail-Adresse informationssicherheit@deginvest.de (Mandant DEG). Der Inhalt der Meldung enthält mindestens die in Anlage IKT-Vorfallsmeldung Teil 1 enthaltenen Inhalte. 6.2 Sofern es sich bei dem IKT-bezogenen Vorfall nach Bewertung der KfW um einen schwerwiegenden IKT-bezogenen Vorfall handelt, wird die KfW dies dem Auftrag- nehmer unverzüglich mitteilen. In diesem Fall hat der Auftragnehmer a. der KfW innerhalb von sechzig (60) Stunden nach Kenntnis des IKT-bezogenen Vorfalls durch den Auftragnehmer mindestens die weiteren Angaben gemäß IKT- Vorfallsmeldung Teil 2 bereitzustellen und b. die nach vorstehendem Buchstaben a übermittelten Angaben aktualisiert bereit- zustellen, sobald sich der Status oder die Handhabung des ursprünglichen IKT- bezogenen Vorfalls erheblich geändert hat sowie im Falle einer entsprechenden Aufforderung der Aufsichtsbehörden sowie c. im Falle einer Beendigung des IKT-bezogenen Vorfalls am Tag nach der Beendi- gung und ansonsten innerhalb von 21 Tagen ab Kenntnis des Auftragnehmers sowie danach auf Verlangen der KfW sämtliche Informationen gemäß Anlage IKT-Vorfallsmeldung Teil 3 bereitzustellen, die die KfW für den durch die KfW zu erstellenden Abschlussbericht benötigt. 6.3 Die Datenfelder gemäß der Anlage IKT-Vorfallsmeldung basieren auf den entspre- chenden Delegierten Rechtsakte der EU zu DORA. Die KfW hat das Recht in Bezug auf die Anlage IKT-Vorfallsmeldung zur Beachtung der jeweils aktuellen Vorgaben für Meldeverpflichtungen Datenfelder einseitig zu ändern.

7. UNTERSTÜTZUNG BEI IKT-BEZOGENEN VORFÄLLEN (Art. 30 Abs. 2 f DORA) 7.1 Der Auftragnehmer wird der KfW im Falle eines IKT-bezogenen Vorfalls – einschließ- lich schwerwiegender IKT-bezogener Vorfälle –, der in Zusammenhang mit den ver- einbarten Vertragsleistungen steht, unverzüglich Unterstützung zur Beseitigung des IKT-bezogenen Vorfalls und seiner Folgen gewähren. 7.2 Diese Unterstützung umfasst unter anderem die Bereitstellung von technischem Support, die Analyse des IKT-bezogenen Vorfalls, die Umsetzung notwendiger So- fortmaßnahmen zur Eindämmung und Behebung des IKT-bezogenen Vorfalls und die Mitwirkung am Lessons Learned Prozess. 7.3 Für die Unterstützung erhält der Auftragnehmer keine zusätzliche Vergütung; es sei denn, die KfW hat den Eintritt des IKT-bezogenen Vorfalls zu vertreten. In diesem Fall kann der Auftragnehmer eine angemessene Vergütung auf Grundlage der für den Vertrag geltenden Konditionen oder, wenn der Vertrag keine Regelung enthält, eine am Sitz der KfW ortsübliche Vergütung, verlangen.

Seite 4

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein

8. SONSTIGE INFORMATIONSSICHERHEITSVORFÄLLE 8.1 Alle sonstigen sicherheitskritischen Ereignisse, die keine IKT-bezogenen Vorfälle sind (z.B., weil diese sich nicht auf Netzwerk- und Informationssysteme beziehen) und aus denen eine mögliche Kompromittierung hinsichtlich der Verfügbarkeit, Au- thentizität, Integrität und Vertraulichkeit der Informationen in Bezug zu den Unter- nehmen des KfW-Konzerns resultieren könnte, sind der KfW zu melden. (KfW-spe- zifische Vorgabe zusätzlich zu ISO Control 6.8) 8.2 Der Auftragnehmer meldet dies der KfW unverzüglich, spätestens innerhalb von achtundvierzig (48) Stunden nach Bekanntwerden an die Organisationseinheit für Informationssicherheit der KfW. In Abhängigkeit vom Mandanten erfolgt die Meldung per E-Mail an die E-Mail-Adresse lagezentrum@kfw.de (Mandanten KfW und KfW Capital), an die E-Mail-Adresse ipex.informationssicherheitsereignisse@kfw.de (Mandant IPEX) oder an die E-Mail-Adresse informationssicherheit@degin- vest.de (Mandant DEG). (KfW-spezifische Vorgabe zusätzlich zu ISO Control 6.8)

9. WEITERE INFORMATIONSPFLICHTEN 9.1 Während der Vertragslaufzeit und nach Beendigung des Vertrages (gemäß den Vor- gaben der Allgemeinen Vertragsbedingungen, soweit vereinbart) hat der Auftrag- nehmer auf Verlangen der KfW Prüfberichte zu datenschutz- und informationssi- cherheitsrelevanten Vorgängen und Vorfällen, welche Informationen in Bezug zu den Unternehmen des KfW-Konzerns tangieren, vorzulegen. (KfW-spezifische Vor- gabe zusätzlich zu ISO Control 6.8) 9.2 Während der Vertragslaufzeit muss der Auftragnehmer auf Verlangen der KfW Nachweise vorlegen, welche die Konformität seines ISMS und seines IT- und Infor- mationssicherheitsniveaus mit den gesetzlichen und vertraglichen Vorgaben bestä- tigen. Hierzu kann der Auftragnehmer beispielsweise folgende Nachweise vorlegen: a. gültiges BSI C5-Testat (inkl. aktuelle C5-Berichterstattung vom Typ2), oder b. gültige ISO 27001-Zertifizierung (inkl. Statement of Applicability), oder c. gültige ISAE 3402-Zertifizierung (mit Bezug zum Informationssicherheitsmanage- ment), oder d. gleichwertig anzusehende gültige Zertifizierungen oder e. wenn keine geeigneten Zertifizierungen vorliegen: sonstige geeignete Prüfbe- richte, welche die Funktionsfähigkeit der leistungsbezogenen ISMS-relevanten Prozesse und Verfahren belegen. 9.3 Auf Anforderung der KfW legt der Auftragnehmer außerdem Nachweise über die regelmäßige Durchführung von Audits/Überprüfungen der Sicherheitsmaßnahmen, Penetrationstests und Schwachstellenanalysen vor, z. B. durch entsprechende Be- stätigungen von Auditoren. 9.4 Soweit die Vertragsbeziehung mit dem Auftragnehmer für die KfW eine Auslagerung im Sinne des KWG darstellt, umfasst die Nachweispflicht des Auftragnehmers u.a. auch Berichte zu IT-Prüfungen im Rahmen der Jahresabschlussprüfung (bspw. IDW PS 330, 340 etc.); Nachweise über den Betrieb eines ISMS (bspw. ISO 27001 / IT- Grundschutz), Prüfungen der Wirksamkeit des internen Kontrollsystems beim Dienstleister (bspw. ISAE 3402, SAS 70, IDW PS 951, etc.) sowie Revisions- und Prüfberichte, die im Zusammenhang mit der vereinbarten Vertragsleistung stehen. 9.5 Soweit Geschäftsgeheimnisse des Auftragnehmers betroffen sind, werden die Ver- tragsparteien ein Vorgehen vereinbaren, das die gegenseitigen Interessen jeweils ausreichend berücksichtigt.

Seite 5

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein

10. Prüfrechte der KfW 10.1 Zudem ist der Auftragnehmer auf Verlangen der KfW verpflichtet, entsprechend qua- lifiziertem bzw. ausgebildetem Personal der KfW oder einer von der KfW beauftrag- ten unabhängigen zur Berufsverschwiegenheit verpflichteten Prüfungsgesellschaft während der normalen Geschäftszeiten Zugang insbesondere zu den für die Verar- beitung der Informationen der Unternehmen des KfW-Konzerns relevanten Verar- beitungssystemen, Einrichtungen sowie zu unterstützenden Unterlagen zu gewäh- ren, sodass die KfW prüfen kann, ob der Auftragnehmer die gesetzlichen und ver- traglichen Vorgaben einhält. Die Prüfung ist unter Beachtung der Sicherheitsbe- lange und der Betriebs- und Geschäftsgeheimnisse des Auftragnehmers sowie der weiteren Kunden des Auftragnehmers durchzuführen. Der Auftragnehmer ist verant- wortlich dafür, dass die Prüfung gleichwohl effektiv und im erforderlichen Umfang erfolgen kann. Jede Partei trägt die ihr entstehenden Kosten für derartige Prüfungen selbst. Soweit zielführend, sollte sich die Prüfung an dem Leitfaden „Anwendung des BSI C5 durch Interne Revision und Informationssicherheit“ der ISACA Germany Chapter e.V. orientieren. Die Grundsätze von Verhältnismäßigkeit und Wirtschaft- lichkeit sind dabei grundsätzlich im Interesse aller Parteien zu wahren. 10.2 Die Prüfung hat mit angemessener Vorankündigung für den Auftragnehmer sowie unter Einhaltung der vertraglichen Vertraulichkeitsregeln zu erfolgen. Sie findet grundsätzlich, soweit kein besonderer Anlass besteht, nur einmal innerhalb eines 12 Monatszeitraums statt. Vor Beginn einer solchen Prüfung teilt die KfW den initialen Prüfungsgegenstand und den geplanten Umfang mit, damit der Auftragnehmer ent- sprechende Vorbereitungen treffen kann. Über Ort, Datum und Ansprechpartner stimmen sich die Parteien ab. 10.3 Etwaige sonstige vertragliche und gesetzliche Zugangs-, Informations- und Prüf- rechte sowie Kontrollmöglichkeiten der KfW bleiben unberührt und können auch in Hinsicht auf Informationssicherheit geltend gemacht werden.

11. VERTRAGSÄNDERUNGSRECHT 11.1 Der KfW steht während der gesamten Vertragslaufzeit das Recht zu, ihre Einstufung zu überprüfen und zu ändern a. welchen Schutzbedarf sie den dem Auftragnehmer im Rahmen der Leistungser- bringung überlassenen Informationen im Hinblick auf Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit einschließlich der Risikoeinschätzung zuordnet so- wie b. ob die Vertragsleistung im Sinne von DORA eine IKT-Dienstleistung darstellt oder kritische oder wichtige Funktionen der Unternehmen des KfW-Konzerns unter- stützt. 11.2 Eine Änderung der Einstufungen nach vorstehendem Absatz kann infolge veränder- ter tatsächlicher Gegebenheit, wie beispielsweise die Änderung der von dem Auf- tragnehmer erlangten Informationen, oder des Standes der Technik oder wegen ver- änderter rechtlicher Maßstäbe erfolgen. Bei einer veränderten Einstufung nach vor- stehendem Absatz steht der KfW während der gesamten Vertragslaufzeit das Recht zu, Änderungen dieses Dokuments und seiner Anlagen zu verlangen. Der Auftrag- nehmer hat solchen Verlangen unverzüglich in Textform (§126b BGB) zuzustimmen, es sei denn, die Änderung ist für den Auftragnehmer unzumutbar oder liegt nicht innerhalb seiner Leistungsfähigkeit. 11.3 Im Übrigen gelten, soweit vereinbart, die Regelungen zu Vertragsänderungen ge- mäß den Allgemeinen Vertragsbedingungen.

Seite 6

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein

Anlage: IKT-Vorfallsmeldung (1) Teil 1 – Inhalt der Erstmeldung

(2) Teil 2 – Inhalt der Zwischenmeldung

7

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein

8

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein

9

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein Gegebenenfalls Informationen im Zusammen- Die bereitgestellten Kompromittierungsindikatoren enthalten die folgenden Datenkategorien: hang mit dem IKT-bezogenen Vorfall, die dazu a) IP-Adressen; beitragen können, böswillige Aktivitäten inner- b) URL-Adressen; halb eines Netzwerks oder Informationssystems c) Domains; z u erkennen (Kompromittierungsindikatoren). d) Datei-Hashes; e) Daten zu Schadsoftware (Name der Schadsoftware, Dateinamen und ihre Speicherorte, spezifische Regist- rierungsschlüssel im Zusammenhang mit Schadsoftware-Aktivitäten); f) Daten zu Netzaktivitäten (Ports, Protokolle, Adressen, Referrer, User Agents, Header, spezifische Protokolle oder auffällige Muster im Netzwerkverkehr); g) Daten zu E-Mail-Nachrichten (Absender, Empfänger, Betreff, Header, Inhalt); h) DNS-Anfragen und Registrierungskonfigurationen; i) Nutzerkontoaktivitäten (Anmeldungen, Kontoaktivitäten privilegierter Nutzer, Rechteausweitung); j) Datenbankverkehr (Lesen/Schreiben), Anfragen für dieselbe Datei.

Diese Art von Informationen kann in der Praxis Daten umfassen, die sich unter anderem auf Indikatoren, die Muster im Netzwerkverkehr im Zusammenhang mit bekannten Angriffen/Botnetkommunikation beschreiben, IP-Adressen von mit Schadsoftware infizierten Rechnern (Bots), Daten über von Schadsoftware genutzte „Command and Control“-Server (in der Regel Domains oder IP-Adressen) und URLs in Bezug auf Phishing- Websites oder Websites, bei denen beobachtet wurde, dass sie für das Hosting von Schadsoftware oder Ex- ploit Kits genutzt werden, beziehen.

Dieses Feld ist verpflichtend für den Zwischenbericht und die Abschlussmeldung, wenn „Cybersicherheits-be- zogen“ in „Art des Vorfalls“ weiter oben angegeben wurde.

10

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein (3) Teil 3 – Inhalt der Abschlussmeldung

11

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein e) Softwareleistung: IKT-bezogene Vorfälle infolge von Softwarekomponenten, die aus anderen als den unter „Soft- warekompatibilität/-konfiguration“ genannten Gründen eine schlechte Leistung oder Ineffizienz aufweisen, einschließ- lich IKT-bezogener Vorfälle, die durch langsame Reaktionszeiten, übermäßigen Ressourcenverbrauch oder ineffiziente Abfragen, die sich auf die Leistung der Software oder des Systems auswirken, verursacht werden; f) Netzwerkkonfiguration: IKT-bezogene Vorfälle, die auf fehlerhafte oder falsch konfigurierte Netzwerkeinstellungen oder -infrastruktur zurückzuführen sind, einschließlich IKT-bezogener Vorfälle aufgrund von Netzwerkkonfigurations- fehlern, Routingproblemen, Fehlkonfigurationen der Firewall oder anderen netzwerkbezogenen Problemen, die die Konnektivität oder die Kommunikation beeinträchtigen; g) physische Schäden: IKT-bezogene Vorfälle, die durch physische Schäden an der IKT-Infrastruktur verursacht wer- den, die zu Systemversagen führen; h) Sonstiges (bitte angeben).

4. Menschliches Versagen (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Unterlassung (unbeabsichtigt); b) Irrtum; c) Fähigkeiten und Kenntnisse: IKT-bezogene Vorfälle, die durch mangelndes Fachwissen oder mangelnde Kompe- tenz im Umgang mit IKT-Systemen oder -Prozessen verursacht werden, was auf unzureichende Ausbildung, unzu- reichendes Wissen oder Qualifikationsdefizite im Hinblick auf die durchzuführenden Aufgaben oder die Bewältigung technischer Herausforderungen zurückzuführen sein kann; d) unzureichende personelle Ausstattung: IKT-bezogene Vorfälle, die durch einen Mangel an erforderlichen Ressour- cen, einschließlich Hardware, Software, Infrastruktur oder Personal, verursacht werden, einschließlich Situationen, in denen unzureichende Ressourcen zu operativen Ineffizienzen, Systemversagen oder der Unfähigkeit der Unterneh- men, die geschäftlichen Anforderungen zu erfüllen, führen; e) Fehlkommunikation; f) Sonstiges (bitte angeben).

5. Externes Ereignis (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Naturkatastrophen/höhere Gewalt; b) Ausfälle bei Dritten; c) Sonstiges (bitte angeben).

12

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein

13

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS mit VIV 3-3-3, kwF-nein

14