Cybersicherheitsklauseln in Verträgen: ENS, NIS2 und DORA.

In einem Technologievertrag sollten Sie fünf Blöcke verlangen: eine gültige Konformitätsbescheinigung oder -erklärung mit einem Geltungsbereich, der die Dienstleistung abdeckt (ENS – spanisches nationales Sicherheitsschema – oder ISO 27001), die Meldung von Vorfällen mit konkreten Fristen, ein Auditrecht, überprüfbare Nachweise sowie eine kontrollierte Unterauftragsvergabe mit Ausstiegsstrategie. ENS, NIS2, DORA und der AI Act fügen jeweils eigene Nuancen hinzu, die ich Norm für Norm erläutere.

Ich prüfe Technologieverträge von beiden Seiten des Tisches: von der Seite dessen, der einkauft, und von der Seite des Lieferanten, der in eine Ausschreibung will. Das Muster wiederholt sich: Seiten über Preise und Service-Level, und ein allgemein gehaltener Absatz über Sicherheit, der zu nichts verpflichtet. Genau dieser Absatz entscheidet, wer die Zeche zahlt, wenn ein Vorfall eintritt. Hier erfahren Sie, welches Kriterium Sie verlangen sollten, welcher Nachweis es belegt und welche Klausel es festhält.

Welche Cybersicherheitsklauseln Sie in einem Vertrag verlangen sollten (Kurzantwort)

Wenn Sie nur fünf Dinge verhandeln können, verhandeln Sie diese:

• Nachweisbare Konformität. Eine gültige Konformitätsbescheinigung oder -erklärung (ENS, ISO 27001), deren Geltungsbereich die beauftragte Dienstleistung abdeckt und die während der gesamten Vertragslaufzeit aufrechterhalten wird.
• Vorfallmeldung mit Fristen in Stunden. Keine „unverzügliche Meldung“: Stunden ab Entdeckung, ein konkreter Kanal und ein Mindestinhalt der Meldung.
• Auditrecht. Den Lieferanten direkt oder über einen Dritten prüfen und Zugang zu bestehenden Berichten erhalten.
• Dokumentierte Nachweise. Sicherheitsrichtlinien, Vorfallmanagement, Kontinuitätstests und Auditergebnisse, regelmäßig aktualisiert.
• Kontrollierte Unterauftragsvergabe und geordneter Ausstieg. Vorherige Zustimmung zu relevanten Unterauftragnehmern, Rückgabe und zertifizierte Löschung der Daten sowie ein Ausstiegsplan, der eine Anbieterabhängigkeit vermeidet.

Der Rest sind Nuancen dieser fünf Blöcke, je nachdem, welche Norm für Sie gilt.

Warum Sie für das haften, was Ihr Lieferant unterschreibt

Eine Dienstleistung auszulagern lagert nicht das Risiko aus. Dieser Gedanke durchzieht das gesamte Cybersicherheitsrecht in Spanien, und jeder Rahmen formuliert ihn auf seine Weise:

• DSGVO. Artikel 28 verlangt Auftragsverarbeiter mit ausreichenden Garantien und einen Auftragsverarbeitungsvertrag mit Mindestinhalten; Artikel 32 verlangt dem Risiko angemessene Maßnahmen. Versagt Ihr Auftragsverarbeiter, bleibt gegenüber der spanischen Datenschutzbehörde (AEPD) weiterhin Ihr Unternehmen verantwortlich.
• NIS2. Die NIS2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen, die Sicherheit der Lieferkette zu steuern: Sie müssen das Risiko bewerten, das Ihre direkten Lieferanten mit sich bringen.
• DORA. Die DORA-Verordnung macht das Risiko von IKT-Drittdienstleistern zu einer zentralen Pflicht der Finanzunternehmen, die ihre Vereinbarungen mit Technologieanbietern registrieren und darin konkrete Inhalte festlegen müssen.
• ENS. Das Real Decreto 311/2022 erfasst auch private Unternehmen, die Dienstleistungen für den öffentlichen Sektor erbringen, mit spezifischen Maßnahmen zur Beauftragung externer Dienstleistungen und zum Schutz der Lieferkette.

Die Konsequenz ist immer dieselbe: „Das war die Schuld meines Lieferanten“ ist gegenüber der Aufsichtsbehörde keine Verteidigung. Der Vertrag verwandelt Ihre rechtliche Verantwortung in Pflichten, die gegenüber dem Lieferanten durchsetzbar sind.

Kriterien, Nachweise und Klauseln nach Norm: die Übersichtstabelle

Die Tabelle fasst zusammen, was ich bei der Prüfung eines Vertrags verlange: das Kriterium, den Nachweis, der es belegt, und die Klausel, die es festhält. Die vollständigen Formulierungen folgen im Anschluss.

ENS-Klauseln: Konformität, Kategorie und Geltungsbereich der Erklärung

Das ENS (spanisches nationales Sicherheitsschema) kommt ins Spiel, wenn der Vertrag Dienstleistungen für eine öffentliche Verwaltung unterstützt: Software, Hosting, elektronische Behördenportale, Systemwartung. Ausschreibungsunterlagen verlangen zunehmend die ENS-Konformität als Vertragsbedingung, und die Pflicht wird kaskadenartig an den Auftragnehmer und dessen Unterauftragnehmer weitergegeben. Wenn Sie auf der Lieferantenseite stehen, vertiefe ich das in meinem Leitfaden zum ENS für Lieferanten der Verwaltung.

Was die Klausel festhalten muss:

• Konformität in der richtigen Kategorie. Es genügt nicht, „ENS zu haben“: Die Zertifizierung oder Erklärung muss der Kategorie (BASIS, MITTEL oder HOCH) des Systems entsprechen, das die Dienstleistung unterstützt.
• Ein Geltungsbereich, der die Dienstleistung abdeckt. Der häufigste Fehler: echte Zertifikate, deren Geltungsbereich die Plattform oder das Rechenzentrum, von dem aus die Dienstleistung erbracht wird, nicht einschließt.
• Aufrechterhaltung während der Vertragslaufzeit. Die Konformität erneuern und deren Verlust, Aussetzung oder Änderung des Geltungsbereichs unverzüglich mitteilen.

Musterformulierung: „Der Lieferant weist seine Konformität mit dem Esquema Nacional de Seguridad (ENS, Real Decreto 311/2022) in der Kategorie [BASIS/MITTEL/HOCH] durch eine Zertifizierung nach, deren Geltungsbereich die vertragsgegenständlichen Dienstleistungen abdeckt, und verpflichtet sich, diese während der gesamten Vertragsdauer aufrechtzuerhalten sowie jeden Verlust, jede Aussetzung oder Änderung ihres Geltungsbereichs innerhalb von [X] Werktagen mitzuteilen.“

NIS2-Klauseln: Lieferkette und Vorfallmeldung

Ist Ihr Unternehmen eine wesentliche oder wichtige Einrichtung im Sinne von NIS2, gehören Ihre direkten Lieferanten zu Ihrer Risikoanalyse: Die Richtlinie zählt die Sicherheit der Lieferkette zu ihren verpflichtenden Maßnahmen. Zudem gelten strenge Fristen für die Meldung erheblicher Vorfälle – eine Frühwarnung innerhalb der ersten 24 Stunden und eine Meldung innerhalb von 72 Stunden –, sodass der Lieferant Sie deutlich früher informieren muss.

Was die Klausel festhalten muss:

• Dem Risiko angemessene Maßnahmen. Verpflichtung, Maßnahmen anzuwenden, die mit den Ihnen von der Norm auferlegten Pflichten übereinstimmen, statt einer unbestimmten „angemessenen Sicherheit“.
• Meldung in Stunden, nicht in Tagen. Eine Frist ab Entdeckung, die Ihnen Spielraum für Ihre Frühwarnung lässt, mit Mindestinhalt: was passiert ist, was betroffen ist und was unternommen wurde.
• Mitwirkung bei der Untersuchung. Bei der Analyse des Vorfalls mitwirken, Beweise aufbewahren und die von der zuständigen Behörde angeforderten Informationen bereitstellen.

Musterformulierung: „Der Lieferant meldet dem Kunden jeden Sicherheitsvorfall, der den Dienst beeinträchtigt oder beeinträchtigen könnte, innerhalb von höchstens [X] Stunden ab dessen Entdeckung über den festgelegten Kanal, einschließlich Beschreibung, betroffener Systeme und ergriffener Maßnahmen, und wirkt bei dessen Untersuchung sowie bei den verpflichtenden Meldungen an die Behörden mit.“

DORA-Klauseln: wesentliche IKT-Dienstleister und Ausstiegsstrategie

DORA ist von den vier Normen die vertragsbezogenste: Sie verpflichtet Finanzunternehmen, ein Informationsregister ihrer Vereinbarungen mit IKT-Dienstleistern zu führen, und legt Inhalte fest, die diese Verträge enthalten müssen. Wenn Sie Technologie an Banken, Versicherer oder Zahlungsinstitute verkaufen, tauchen diese Anforderungen in der Verhandlung auf; bei wesentlichen oder wichtigen Funktionen steigen die Anforderungen weiter.

Was die Klausel festhalten muss:

• Vollständige Leistungsbeschreibung. Abgedeckte Funktionen, Standorte, von denen aus die Leistung erbracht wird, und Standort der verarbeiteten Daten.
• Service-Level und Unterstützung bei Vorfällen. Messbare Kennzahlen und Unterstützungspflicht, wenn ein Vorfall den Dienst beeinträchtigt.
• Zugangs-, Inspektions- und Auditrechte. Für das Unternehmen und, soweit erforderlich, für seine Aufsichtsbehörden.
• Ausstiegsstrategie. Ankündigungsfristen, begleiteter Übergang und Reversibilität der Daten, ohne die Funktion zu unterbrechen, die der Dienst trägt.

Musterformulierung: „Bei Beendigung des Vertrags aus welchem Grund auch immer leistet der Lieferant während [X] Monaten die erforderliche Unterstützung für einen geordneten Übergang des Dienstes, einschließlich der Rückgabe der Daten in einem strukturierten und gängigen Format, der zertifizierten Löschung der Kopien und der Aufrechterhaltung der Service-Level während des Übergangs.“

AI-Act-Klauseln: technische Dokumentation und Einsatz von KI-Systemen

Die Verordnung (EU) 2024/1689, der AI Act, gilt stufenweise; der Großteil der Pflichten für Hochrisikosysteme greift im August 2026, wie ich in meinem Leitfaden zu den Pflichten des AI Act zusammenfasse. Für den Auftraggeber ist das Problem zweifach: Ihr Lieferant kann KI einsetzen, ohne dass Sie es wissen, und Sie selbst übernehmen als Betreiber des Systems eigene Pflichten zur Aufsicht und zum ordnungsgemäßen Einsatz.

• Erklärung zum KI-Einsatz. Der Lieferant erklärt, ob der Dienst Systeme künstlicher Intelligenz enthält, welche und zu welchem Zweck, und teilt relevante Änderungen mit.
• Dokumentation und Nutzungsanweisungen. Für Hochrisikosysteme die von der Norm geforderte technische Dokumentation und Gebrauchsanweisung, damit Sie beim Betrieb Ihre Pflichten erfüllen können.
• Unterstützung der menschlichen Aufsicht. Aktivitätsprotokolle, Eingriffsmöglichkeit und Nachvollziehbarkeit der Entscheidungen.

Musterformulierung: „Der Lieferant erklärt die im Dienst eingesetzten Systeme künstlicher Intelligenz in Anhang [X], verpflichtet sich, dieses Verzeichnis aktuell zu halten, und übergibt hinsichtlich der gemäß der Verordnung (EU) 2024/1689 als hochriskant eingestuften Systeme die technische Dokumentation und die Gebrauchsanweisungen, die der Kunde benötigt, um seinen eigenen Pflichten nachzukommen.“

Wie Sie die vom Lieferanten vorgelegten Nachweise prüfen

Eine gut formulierte Klausel nützt nichts, wenn Sie die Nachweise ungeprüft akzeptieren. Vier schnelle Prüfungen:

• ENS-Zertifikat: prüfen Sie es nach. Die ENS-Konformität ist öffentlich und überprüfbar; ich erkläre Schritt für Schritt, wie Sie das Register ENS-zertifizierter Unternehmen einsehen. Prüfen Sie Unternehmen, Kategorie, Geltungsbereich und Gültigkeit.
• Akkreditierte Zertifizierungsstelle. Prüfen Sie, ob die Stelle, die das Zertifikat ausgestellt hat, von ENAC für diese Tätigkeit akkreditiert ist. Ein „Zertifikat“ einer nicht akkreditierten Stelle ist wertlos.
• ISO 27001 mit Geltungsbereich und SoA. Fordern Sie das Zertifikat und seine Erklärung zur Anwendbarkeit (SoA) an: Daraus geht hervor, welche Kontrollen tatsächlich angewendet werden. Ein Zertifikat, das eine andere Geschäftseinheit oder ein anderes Rechenzentrum abdeckt, schützt Sie nicht.
• Aktuelle operative Nachweise. Bericht des letzten Audits, aktuelle Kontinuitätstests und ein Vorfallverfahren mit Überprüfungsdatum. Undatierte Dokumente verraten mehr, als sie verschweigen.

Checkliste der Klauseln nach Norm

Nutzen Sie sie als abschließende Prüfung vor der Unterschrift und haken Sie nur die für Sie relevanten Normen ab.

ENS (der Vertrag unterstützt Dienstleistungen des öffentlichen Sektors):

• ENS-Konformität in der von der Ausschreibung oder dem System geforderten Kategorie.
• Geltungsbereich der Zertifizierung, der die beauftragte Dienstleistung abdeckt.
• Aufrechterhaltung der Konformität und Meldung von Verlust oder Änderung.
• Weitergabe der ENS-Pflichten an die Unterauftragnehmer.

NIS2 (Sie sind eine wesentliche oder wichtige Einrichtung):

• Sicherheitsmaßnahmen, die mit Ihren eigenen Pflichten übereinstimmen.
• Vorfallmeldung in Stunden, mit vereinbartem Kanal und Inhalt.
• Mitwirkung bei der Untersuchung und Aufbewahrung von Nachweisen.
• Lieferant in Ihre Risikoanalyse der Lieferkette einbezogen.

DORA (Sie sind ein Finanzunternehmen oder verkaufen an eines):

• Leistungsbeschreibung, abgedeckte Funktionen und Datenstandort.
• Messbare Service-Level und Unterstützung bei Vorfällen.
• Zugangs-, Inspektions- und Auditrechte.
• Ausstiegsstrategie mit begleitetem Übergang und Reversibilität.
• Vertragsdaten bereit für Ihr Register der IKT-Drittdienstleister.

AI Act (der Dienst enthält oder kann KI enthalten):

• Erklärung der eingesetzten KI-Systeme und ihres Zwecks.
• Technische Dokumentation und Gebrauchsanweisung für Hochrisikosysteme.
• Fähigkeiten zur menschlichen Aufsicht, Protokollierung und Nachvollziehbarkeit.

Übergreifend (DSGVO und gesunder Menschenverstand):

• Auftragsverarbeitungsvertrag, falls personenbezogene Daten in Ihrem Auftrag verarbeitet werden.
• Unterauftragsvergabe vorbehaltlich Genehmigung und mit Weitergabe der Pflichten.
• Rückgabe und zertifizierte Löschung der Daten bei Vertragsende.
• Vereinbarte Konsequenzen: Vertragsstrafen, Kündigung und Regress bei Sanktionen.

Fehler beim Formulieren von Cybersicherheitsklauseln (und wie man sie vermeidet)

Verträge, die scheitern, scheitern meist aus denselben Gründen:

• Allgemeine Zusagen ohne Kennzahl. „Der Lieferant wendet angemessene Sicherheitsmaßnahmen an“ verpflichtet zu nichts Überprüfbarem. Ersetzen Sie das durch Fristen in Stunden, Wiederherstellungsziele und eine Auditperiodizität: Was sich nicht messen lässt, lässt sich nicht einfordern.
• Zertifikate akzeptieren, ohne den Geltungsbereich zu prüfen. Das Zertifikat existiert, ist gültig und deckt die von Ihnen beauftragte Dienstleistung nicht ab. Fordern Sie immer das Geltungsbereichsdokument an und bei ISO 27001 die Erklärung zur Anwendbarkeit.
• Klauseln aus einer anderen Branche unverändert übernehmen. Von einem Anbieter digitaler Beschilderung die DORA-Ausstiegsstrategie zu verlangen, verteuert das Angebot und belastet die Verhandlung unnötig. Jede Klausel muss einer echten eigenen Pflicht entsprechen.
• Die Konsequenzen nicht vereinbaren. Ohne Vertragsstrafe, Kündigungsrecht oder Regressmöglichkeit für vom Lieferanten verursachte Sanktionen ist die Klausel bloße Dekoration.
• Die kaskadierende Unterauftragsvergabe vergessen. Ihr Lieferant erfüllt seine Pflichten, sein Unterauftragnehmer aber nicht. Die Pflichten müssen schriftlich entlang der gesamten Kette weitergegeben werden.
• Mehr verlangen, als der Markt liefern kann. Die ENS-Kategorie HOCH zu verlangen, wo BASIS ausreicht, lässt die Ausschreibung leer ausgehen oder verteuert sie, ohne mehr Sicherheit zu gewinnen. Die Anforderung muss sich am tatsächlichen Risiko orientieren.

Fazit: Die Klausel ist nur so viel wert wie ihr Nachweis

Ein Technologievertrag ohne überprüfbare Cybersicherheitsklauseln verlagert das Risiko auf Sie: Sie haften gegenüber der Aufsichtsbehörde, und der Lieferant haftet gegenüber niemandem. Dabei muss nichts neu erfunden werden: Die fünf Blöcke dieses Artikels – Konformität mit Geltungsbereich, fristgebundene Meldung, Audit, Nachweise und geordneter Ausstieg – decken die überwiegende Mehrheit der Fälle ab.

Wenn Sie gerade eine Ausschreibung vorbereiten, mit einem Lieferanten verhandeln oder man Ihnen gerade diese Klauseln vorgelegt hat und Sie nicht wissen, wo Sie anfangen sollen, erzählen Sie mir von Ihrem Fall, und wir sehen es uns gemeinsam an – unverbindlich.

Muss sich Ihr Unternehmen zertifizieren lassen, um diese Vertragsanforderungen zu erfüllen? Lernen Sie meine ENS-Beratung für Unternehmen kennen, die an Ausschreibungen teilnehmen oder Lieferant der Verwaltung werden möchten.

Häufig gestellte Fragen zu Cybersicherheitsklauseln in Verträgen

Welche Kriterien sollte ich für die Einhaltung von NIS2, DORA, ENS und AI Act in Verträgen verlangen?

Vier Blöcke: eine gültige Konformitätsbescheinigung oder -erklärung (ENS, ISO 27001), Zusagen zur Vorfallmeldung mit konkreten Fristen, ein Auditrecht gegenüber dem Lieferanten und dokumentierte Nachweise (SoA, Auditberichte, Richtlinien). Jede Norm fügt eigene Nuancen hinzu: das ENS verlangt die richtige Kategorie, NIS2 die Steuerung der Lieferkette, DORA die Ausstiegsstrategie und der AI Act die technische Dokumentation der KI-Systeme.

Welche Konformitätsnachweise kann ich von einem Lieferanten verlangen?

Ein ENS-Konformitätszertifikat (überprüfbar im vom CCN veröffentlichten Register), ein ISO-27001-Zertifikat mit seiner Erklärung zur Anwendbarkeit, Auditberichte unabhängiger Dritter, Sicherheits- und Vorfallmanagementrichtlinien sowie Nachweise zur Geschäftskontinuität. Fordern Sie immer den Geltungsbereich an: Ein Zertifikat, das die beauftragte Dienstleistung nicht abdeckt, ist wertlos.

Kann ich das ENS von einem privaten Lieferanten verlangen?

Ja, wenn der Vertrag Dienstleistungen für eine öffentliche Verwaltung unterstützt: Das Real Decreto 311/2022 erstreckt seine Anforderungen auf private Lieferanten, die Informationen oder Systeme des öffentlichen Sektors verarbeiten, und die Ausschreibungsunterlagen halten dies zunehmend ausdrücklich fest.

Was passiert, wenn der Lieferant die Cybersicherheitsklauseln nicht einhält?

Das hängt von der Vereinbarung ab: Vertragsstrafen, Kündigung des Vertrags und Regress für Sanktionen, die aufgrund seines Verhaltens gegen Sie verhängt werden. Deshalb sollten überprüfbare Kennzahlen vereinbart werden (Meldefristen in Stunden, RTO/RPO, Auditperiodizität) und keine allgemeinen Zusagen zu „angemessener Sicherheit“, die zu nichts Einforderbarem verpflichten.

Kann ein ISO-27001-Zertifikat die ENS-Konformität ersetzen?

Nein. Es handelt sich um sich ergänzende, aber nicht gleichwertige Rahmenwerke: Verlangt die Ausschreibung das ENS, ist die ENS-Zertifizierung oder -Erklärung in der entsprechenden Kategorie erforderlich. ISO 27001 kann die Anpassung beschleunigen, da viele Kontrollen übereinstimmen, ersetzt sie aber nicht.

Welche Meldefrist für Vorfälle sollte ich mit einem Lieferanten vereinbaren?

Diejenige, die es Ihnen erlaubt, Ihre eigenen Pflichten zu erfüllen: Die DSGVO gibt 72 Stunden für die Meldung an die AEPD, und NIS2 verlangt eine Frühwarnung innerhalb der ersten 24 Stunden, sodass der Lieferant Sie deutlich früher informieren muss. Vereinbaren Sie eine Frist in Stunden ab Entdeckung, mit festgelegtem Kanal und Mindestinhalt der Meldung – keine „unverzügliche Meldung“ ohne Kennzahl.

Quellen