ITrechtler

horak Rechtsanwälte · Fachanwälte

Muster: Cybersecurity-SLA

Start › Musterverträge › Cybersecurity-SLA

Ein Cybersecurity-SLA regelt, welche Sicherheitsleistungen ein Dienstleister für einen Kunden erbringt, in welcher Qualität und was bei einem Vorfall geschieht: Überwachung, Schwachstellenmanagement, Reaktions- und Behebungszeiten, Berichte und Eskalation. Seit der Umsetzung der NIS2-Richtlinie sind solche Verträge für viele Unternehmen Teil der gesetzlich geforderten Lieferkettensicherheit.

Wofür das Muster taugt

Das Muster beschreibt die Struktur eines SLA für Managed Security Services, etwa SOC-Leistungen, SIEM-Betrieb, Patch-Management und Incident Response. Es enthält Beispielkennzahlen und Platzhalter. Für einen belastbaren Vertrag muss es um eine detaillierte Leistungsbeschreibung, einen Auftragsverarbeitungsvertrag und die regulatorischen Anforderungen des Kunden ergänzt werden.

Was Sie anpassen müssen

  • NIS2: Ist der Kunde „wichtige“ oder „besonders wichtige Einrichtung“ nach dem BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes, muss er Risikomanagementmaßnahmen einschließlich der Sicherheit der Lieferkette umsetzen. Erhebliche Sicherheitsvorfälle sind dem BSI gestuft zu melden: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat danach. Der Dienstleister muss so schnell informieren und zuarbeiten, dass der Kunde diese Fristen einhalten kann. Mehr auf unserer Seite NIS2.
  • Finanzsektor: Für Unternehmen unter DORA gelten Mindestinhalte für Verträge mit IKT-Drittdienstleistern (Art. 30 DORA), unter anderem Prüfrechte, Ausstiegsstrategien und Unterstützung bei Vorfällen.
  • Produkte mit digitalen Elementen: Liefert der Dienstleister eigene Software oder Geräte, treffen ihn als Hersteller die Pflichten des Cyber Resilience Act. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten ab dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027.
  • Datenschutz: Ein SOC verarbeitet Logdaten mit IP-Adressen und Benutzerkennungen. Dafür ist ein Vertrag nach Art. 28 DSGVO erforderlich. Datenpannen muss der Kunde binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33 DSGVO); der Dienstleister muss ihn unverzüglich informieren.
  • Haftung: Pauschale Haftungsobergrenzen sind üblich, in AGB aber nur in den Grenzen der §§ 307, 309 Nr. 7 BGB wirksam. Regeln Sie, ob Cyber-Versicherung und Haftungsobergrenze aufeinander abgestimmt sind.
  • Forensik: Beweissicherung, Aufbewahrung von Logs und Zusammenarbeit mit Strafverfolgungsbehörden und Versicherern ausdrücklich vereinbaren.

Musterverträge ersetzen keine Prüfung im Einzelfall. Wir übernehmen keine Gewähr für Vollständigkeit, Richtigkeit und Aktualität. Ergänzungen aus der Überarbeitung 2026 sind als „Hinweis“ gekennzeichnet.

Das Muster

Cybersecurity-SLA (Service Level Agreement)

1. Präambel

  • Parteien: Vertrag zwischen [Name/Adresse des Dienstleisters] (nachfolgend „Dienstleister“) und [Name/Adresse des Kunden] (nachfolgend „Kunde“).
  • Zielsetzung: Sicherstellung eines hohen Schutzniveaus für die IT-Infrastruktur und Daten des Kunden durch spezialisierte Sicherheitsdienstleistungen.

2. Vertragsgegenstand

  • Beschreibung der Dienstleistungen: Der Dienstleister übernimmt die Implementierung, Überwachung und Wartung von IT-Sicherheitsmaßnahmen. Beispiele: Echtzeitüberwachung von Netzwerken und Systemen, Schutz vor Malware und Cyberangriffen, Incident Response und Forensik.
  • Zielsetzung: Minimierung von Sicherheitsvorfällen und deren Auswirkungen.

3. Leistungsbeschreibung und KPIs

3.1 Schutzmaßnahmen

  • Überwachung: 24/7-Monitoring der Systeme mittels SIEM-Systemen (Security Information and Event Management).
  • Schwachstellenmanagement: Monatliche Scans und Patches von identifizierten Schwachstellen. [Hinweis: Für kritische Schwachstellen mit bekannter Ausnutzung kürzere Fristen vereinbaren.]
  • Bedrohungserkennung: Proaktive Erkennung und Analyse von Bedrohungen.

3.2 Leistungskennzahlen (KPIs)

  • Reaktionszeit: Kritische Vorfälle: Antwortzeit innerhalb von 15 Minuten. Nicht-kritische Vorfälle: Antwortzeit innerhalb von 4 Stunden.
  • Fehlerbehebungszeit: Kritische Vorfälle: Behebung innerhalb von 4 Stunden. Nicht-kritische Vorfälle: Behebung innerhalb von 48 Stunden.
  • Verfügbarkeitsgarantie: 99,9 % Verfügbarkeit der Sicherheitsdienste (z. B. Firewalls, Monitoring-Systeme).
  • Berichterstattung: Quartalsberichte zu Sicherheitsvorfällen und Maßnahmen.

Hinweis: Ergänzen Sie eine Informationsfrist gegenüber dem Kunden für meldepflichtige Vorfälle, die deutlich unter 24 Stunden liegt (z. B. unverzüglich, spätestens binnen [X] Stunden nach Erkennung), sowie die Pflicht, die für Meldungen nach § 32 BSIG und Art. 33 DSGVO nötigen Informationen bereitzustellen.

4. Sicherheitsrichtlinien

  • Standards und Compliance: Der Dienstleister verpflichtet sich, anerkannte Standards wie ISO/IEC 27001, NIST oder CIS Benchmarks einzuhalten. [Hinweis: ggf. BSI IT-Grundschutz; Nachweis durch Zertifikat oder Testat vereinbaren.]
  • Zugriffsrechte: Nur autorisierte Personen dürfen auf Kundensysteme und -daten zugreifen.
  • Verschlüsselung: Daten werden gemäß den aktuellen Verschlüsselungsstandards geschützt.

5. Incident Response und Eskalation

  • Notfallmanagement: Der Dienstleister stellt einen Incident-Response-Plan bereit, der Schritte zur Identifikation, Eindämmung, Analyse und Wiederherstellung enthält.
  • Eskalationsmechanismen: Erste Ebene: Support-Team. Zweite Ebene: Sicherheitsbeauftragte. Dritte Ebene: Leitungsebene des Dienstleisters.
  • Forensische Analysen: Der Dienstleister führt nach einem Vorfall eine detaillierte Untersuchung durch und erstellt einen Abschlussbericht.

6. Berichterstattung und Audits

  • Regelmäßige Berichte: Monatliche Berichte zu Sicherheitsvorfällen, Schwachstellenanalysen und KPIs.
  • Kundenzugang: Der Kunde erhält Zugriff auf Dashboards, die Echtzeitdaten über Sicherheitsvorfälle und -maßnahmen bereitstellen.
  • Audits: Der Dienstleister führt jährliche Sicherheitsaudits durch und teilt die Ergebnisse mit dem Kunden. [Hinweis: Prüfrechte des Kunden und seiner Aufsichtsbehörden ergänzen, für DORA-Unternehmen zwingend.]

7. Haftung

  • Haftung des Dienstleisters: Der Dienstleister haftet für nachweisbare Schäden, die durch Fahrlässigkeit oder Verzug bei der Erbringung der vereinbarten Dienstleistungen entstehen.
  • Haftungsbeschränkung: Die Haftung ist auf [X Euro] pro Schadensfall und [Y Euro] pro Jahr begrenzt. [Hinweis: Ausnahmen für Vorsatz, grobe Fahrlässigkeit und Verletzung von Leben, Körper, Gesundheit aufnehmen.]
  • Haftung des Kunden: Der Kunde haftet für Schäden, die durch nicht autorisierte Änderungen oder Fahrlässigkeit im Umgang mit Sicherheitsmaßnahmen entstehen.

8. Vergütung

  • Kostenstruktur: Monatliche Grundgebühr für Sicherheitsdienste: [X Euro]. Zusatzkosten für Sonderleistungen, wie Incident Response bei schwerwiegenden Angriffen.
  • Zahlungsbedingungen: Rechnungen sind innerhalb von [X Tagen] nach Erhalt zu begleichen.

9. Laufzeit und Kündigung

  • Vertragslaufzeit: Der Vertrag gilt zunächst für [X Jahre] und verlängert sich automatisch um ein weiteres Jahr, sofern er nicht mit einer Frist von [X Monaten] gekündigt wird.
  • Außerordentliche Kündigung: Der Vertrag kann außerordentlich gekündigt werden, wenn der Dienstleister wiederholt SLA-Verstöße begeht oder der Kunde gegen Sicherheitsvorgaben verstößt.

Hinweis: Regeln Sie die Übergabe von Konfigurationen, Logs und Dokumentation bei Vertragsende, damit der Schutz beim Anbieterwechsel nicht unterbrochen wird.

10. Datenschutz und Vertraulichkeit

  • Einhaltung der DSGVO: Der Dienstleister verpflichtet sich, personenbezogene Daten gemäß der Datenschutz-Grundverordnung (DSGVO) zu verarbeiten. [Hinweis: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO als Anlage.]
  • Vertraulichkeit: Beide Parteien verpflichten sich, vertrauliche Informationen nicht an Dritte weiterzugeben oder anderweitig zu nutzen.

11. Sanktionen und Anreize

  • Sanktionen bei SLA-Verstößen: Vertragsstrafe: [X % der monatlichen Gebühr] bei Nichterfüllung vereinbarter KPIs. Service-Credits: Gutschriften für den Kunden bei Verstößen.
  • Anreize bei Übererfüllung: Bonuszahlungen oder Rabatte, wenn vereinbarte Sicherheitsziele übertroffen werden.

12. Optionale Klauseln

  • Notfallübungen: Regelmäßige Durchführung von Simulationen zur Vorbereitung auf Cyberangriffe.
  • Innovationsklausel: Verpflichtung des Dienstleisters, neue Sicherheitstechnologien oder Methoden einzuführen.
  • Force-Majeure-Klausel: Haftungsausschluss bei unvorhersehbaren Ereignissen wie Naturkatastrophen oder staatlichen Eingriffen. [Hinweis: Klarstellen, dass Cyberangriffe, gegen die der Dienstleister gerade schützen soll, keine höhere Gewalt sind.]

13. Streitbeilegung

  • Eskalationsverfahren: Streitigkeiten werden zunächst durch Verhandlungen beigelegt.
  • Schiedsverfahren: Falls keine Einigung erzielt wird, kann ein Mediator oder Schiedsgericht eingeschaltet werden.
  • Gerichtsstand und anwendbares Recht: Gerichtsstand ist [Ort], und es gilt das Recht der [Land].

14. Unterschriften

Dienstleister: [Name des Unternehmens] Unterschrift: ______________________ Datum: ______________________

Kunde: [Name des Unternehmens/der Person] Unterschrift: ______________________ Datum: ______________________

Häufige Fragen

Reicht ein Cybersecurity-SLA aus, um die NIS2-Pflichten zu erfüllen?

Nein. Die Verantwortung für Risikomanagement und Meldungen bleibt bei der Einrichtung, und die Geschäftsleitung muss die Maßnahmen billigen und überwachen. Ein SLA mit dem Dienstleister ist ein Baustein, ersetzt aber nicht das eigene Sicherheitskonzept.

Wer meldet einen Vorfall an das BSI?

Die meldepflichtige Einrichtung selbst. Der Dienstleister kann unterstützen, die Meldung vorbereiten oder technisch übermitteln, wenn das vereinbart ist.

Verwandte Themen

Ihr Ansprechpartner

Sie beauftragen einen Security-Dienstleister oder müssen Ihre Verträge an NIS2 anpassen? Rufen Sie uns an unter 0511 35 73 56-0 oder schreiben Sie an info@itrechtler.de.

Anfrage stellen