[Seite 1]
Ergänzende Vertragsbedingung
Meldung von Cyberangriffen beziehungsweise Sicherheitsvorfällen
Der Auftragnehmer wird im Rahmen der vertraglichen Nebenpflichten den Auftraggeber unverzüglich informieren, wenn er auf Basis konkreter Anhaltspunkte erkennt, dass eine in feindseliger Willensrichtung begangene Handlung betreffend die IT-Infrastruktur des Auftragnehmers oder des Auftraggebers, zum Beispiel ein Cyberangriff, zu einem Schaden oder einer schwerwiegenden Beeinträchtigung der schutzwürdigen Interessen des Auftraggebers, seiner Kunden oder seiner Beschäftigten führt. Dies gilt entsprechend, wenn aufgrund einer derartigen Handlung ein Schaden oder eine schwerwiegende Beeinträchtigung bereits eingetreten ist. Unter den gleichen Voraussetzungen wird der Auftragnehmer den Auftraggeber über anderweitige den Auftraggeber betreffende Sicherheitsvorfälle in Kenntnis setzen.
Die Meldung ist an Informationssicherheit@med.uni-heidelberg.de und an ZDI.Security@med.uni-heidelberg.de zu richten.
Soweit berechtigte Interessen nicht entgegenstehen, hat die Meldung insbesondere folgende Angaben zu umfassen:
• konkrete Beschreibung des Vorfalls;
• Zeitpunkt des Bekanntwerdens;
• den erkannten oder vermuteten Angriffsvektor;
• Erkenntnisse zu einer möglichen Kompromittierung von Daten der Landesverwaltung Baden-Württemberg oder der DV-Infrastruktur der Landesverwaltung Baden- Württemberg;
• ob es sich um einen meldepflichtigen Vorgang nach Artikel 33 der Datenschutz- Grundverordnung handelt und ob eine Meldung an die/den zuständige/n Landesbeauftragte/n für Datenschutz und Informationsfreiheit erfolgt ist;
• ob das Landeskriminalamt oder sonstige (Strafverfolgungs-)Behörden informiert worden sind;
• die Benennung einer Ansprechperson des Auftragnehmers bezüglich des Vorfalls für den Auftraggeber;
• die Art der Zugriffe der Mitarbeiterinnen beziehungsweise der Mitarbeiter des Auftragnehmers auf die DV-Infrastruktur der Landesverwaltung Baden-Württemberg.
Der Aufragnehmer wird den Auftraggeber erforderlichenfalls bei der Bearbeitung der Vor- gänge und der Aufklärung des Sachverhalts zu unterstützen. Diese Benachrichtigung lässt anderweitige Meldepflichten insbesondere auch Melde- und Benachrichtigungspflichten nach Artikel 33 und Artikel 34 DSGVO unberührt. Der Auftraggeber wird auf die berechtigten Interessen des Auftragnehmers bei der Bearbeitung des Vorgangs Rücksicht nehmen. Er erkennt insbesondere an, dass die Eindämmung des Vorfalls durch den Auftragnehmer Vorrang vor einer Meldung an den Auftraggeber haben kann.