Mustervertrag Nr. Muster Musterkunde. SRC Security Research & Consulting GmbH Graurheindorfer Str. 149 A Bonn

Transkript

1 zwischen Musterkunde und SRC Security Research & Consulting GmbH Graurheindorfer Str. 149 A Bonn über die Durchführung eines einmaligen Security Scans im Rahmen der Allianz für Cyber-Sicherheit Bonn, tt mm jjjj

2 Inhaltsverzeichnis 1 Vorbemerkung Gegenstand des Vertrags... 1 Über SRC Leistungsbeschreibung Termine Projektabwicklung und Arbeitsort Beschwerdemanagement Mitwirkungspflichten Vergütung Haftung und Schadenersatz Nutzungsrecht Treuepflicht Sonstiges Vertragsdauer... 8 tt mm jjjj SRC Security Research & Consulting GmbH Seite i

3 1 Vorbemerkung Aufgrund des Angebotes von SRC als Partnerunternehmen der Allianz für Cybersicherheit zur Durchführung von kostenfreien Security Scans von bis zu 5 IP-Adressen pro Scan für bis zu 10 Teilnehmer der Allianz für Cybersicherheit schließen die Parteien den folgenden Vertrag. 2 Gegenstand des Vertrags Die SRC Security Research & Consulting GmbH Graurheindorfer Str. 149a Bonn - im Folgenden auch SRC oder Auftragnehmer genannt - und Musterkunde - im Folgenden auch KUNDE, Kunde oder Auftraggeber genannt - vereinbaren die Durchführung eines einmaligen Security Scans im Rahmen der Allianz für Cyber-Sicherheit. Eine detaillierte Leistungsbeschreibung ist in Kapitel 3 des Vertrags enthalten. tt mm jjjj SRC Security Research & Consulting GmbH Seite 1

4 Über SRC SRC wurde im Jahr 2000 als unabhängiges Beratungsunternehmen und das gemeinsame Kompetenzzentrum für den bargeldlosen Zahlungsverkehr und IT Sicherheit der deutschen Kreditwirtschaft gegründet. SRC ist ein anerkanntes und hoch angesehenes Unternehmen, das über erfahrene und hochqualifizierte Mitarbeiter verfügt, die zum Teil seit über 25 Jahren in der Branche tätig sind. SRC ist das führende Beratungsunternehmen, wenn es um die Erstellung, Implementierung und Prüfung von sicheren Systemen geht in der Kreditwirtschaft, dem Handel, dem öffentlichen Sektor, der Versicherungswirtschaft oder der Industrie. Als unabhängiges Beratungsunternehmen unterstützt SRC seine Kunden in allen Fragen der IT Sicherheit und in allen Projektphasen: beim Entwurf, der Spezifikation, der Entwicklung, Prüfung und Zertifizierung von Anwendungen und Systemen, insbesondere auch in den Bereichen elektronische Transaktions- und Bezahlsysteme, Chipkarten, e- und m-commerce, elektronische Signaturen und Sicherheit in Netzwerkwerken. SRC betreibt eine vom Bundesamt für die Sicherheit in der Informationstechnik (BSI) akkreditierte Prüfstelle für Common Criteria. Mitarbeiter von SRC sind als Auditoren gemäß ISO für Informationssicherheitsmanagement akkreditiert. SRC ist von der Deutschen Kreditwirtschaft (DK) als Gutachter für die Prüfung der Sicherheit von Zahlungsverkehrskomponenten (Chipkarten, PIN-Pads und Geldautomateneingabemodule) akkreditiert. SRC ist als Auditor für die Bewertung der Logical Security und Physical Security bei Kartenpersonalisierungsanbietern im Rahmen der MasterCard Global Vendor Compliance Programms akkreditiert. In 2003 hat SRC den Akkreditierungsprozess zur Prüfung und Auditierung von Händlern sowohl bei MasterCard wie auch bei Visa als weltweit erstes Unternehmen erfolgreich abgeschlossen, und ist seitdem autorisiert, Sicherheitsprüfungen im Auftrag der Zahlungssysteme durchzuführen. SRC ist durch das PCI SSC als weltweit erstes und einziges Unternehmen als PCI Qualified Security Assessor (PCI QSA), PCI Approved Scanning Vendor (PCI ASV), PCI Payment Application Qualified Security Assessor (PA-QSA), PCI PIN Transaction Security testing lab (PCI PTS) und PCI QSA (P2PE) und PA-QSA (P2PE) zur Bewertung von Point-to-Point-Encryption-Lösungen (P2PE) akkreditiert. Mitarbeiter von SRC sind u.a. lizenziert als Certified Ethical Hacker (CEH) bei International Council of E-Commerce Consultants (EC- Council) tt mm jjjj SRC Security Research & Consulting GmbH Seite 2

5 Computer Hacking Forensic Investigator (CHFI) bei International Council of E-Commerce Consultants (EC-Council) Certified Information Systems Auditor (CISA) bei ISACA (ehem. Information Systems Audit and Control Association) GIAC Web Application Penetration Tester (GWAPT) bei Global Information Assurance Certification (GIAC) und GIAC Exploit Researcher and Advanced Penetration Tester (GXPN) bei GIAC/SANS. 3 Leistungsbeschreibung SRC bietet die Durchführung von bis zu 10 kostenlosen Security Scans von jeweils maximal 5 IP- Adressen an. KUNDE ist einer derjenigen Teilnehmer der Allianz für Cybersicherheit, die von dieser Möglichkeit Gebrauch machen möchte und auf Basis der zeitlichen Reihenfolge der bei SRC eingegangenen Anfragen. KUNDE kann die Durchführung des kostenlosen Security Scans nur einmal in Anspruch nehmen. Security Scans haben das Ziel, Fehler in der Architektur und der Konfiguration der untersuchten Systeme aufzudecken, die ausgenutzt werden können, um Zugang zu Komponenten des Firewall- Systems, den Serversystemen oder zum internen Netzwerk zu erlangen. Die Systeme werden dabei aus dem Internet netzseitig mit Hilfe von Security Scannern und manueller Analysen untersucht, um Informationen oder Hinweise zu erhalten, die ein Angreifer für die Vorbereitung von Einbrüchen nutzen kann. Die eingesetzten Werkzeuge überprüfen aktuell bekannte Schwächen von Netzwerkkomponenten, Betriebssystemen, Applikationen und Protokollen. SRC führt die Security Scans non destructive und non intrusive durch. Die Vorgehensweise bei der Durchführung der Security Scans, insbesondere der Zeitplan, wird mit dem Auftraggeber abgestimmten. Sind aufgrund aufgedeckter Schwachstellen die Ergebnisse des Security Scans nicht zufriedenstellend, werden entsprechende Nachbesserungen durch den Betreiber dringend empfohlen; deren Wirksamkeit kann durch eine Wiederholung des Security Scans geprüft werden. Eine solche Wiederholung ist nicht von diesem Angebot abgedeckt. SRC weist daraufhin, dass die Durchführung von Security Scans und Penetrationstests die Verfügbarkeit und Integrität der Zielsysteme beeinträchtigen kann. Es ist möglich, dass der ordnungsgemäße Betrieb nur durch manuellen Zugriff auf das Zielsystem wiederhergestellt werden kann. Für Schäden, die bei der Durchführung von Angriffen im Rahmen von Security Scans und Penetrationstests entstehen, die zuvor von dem Aufraggeber genehmigt wurden, übernimmt SRC keinerlei Haftung. Davon ausgenommen sind Vorsatz oder grobe Fahrlässigkeit. tt mm jjjj SRC Security Research & Consulting GmbH Seite 3

6 Die Ergebnisse des Security Scans werden in Form eines schriftlichen Berichts übergeben. Es wird eine Kategorisierung der ggf. gefundenen Schwachstellen vorgenommen, die Schwachstelle wird detailliert beschrieben und weiterführende Informationen und Hinweise zur Behebung der Schwachstelle werden dargelegt. Der Bericht wird in englischer Sprache verfasst. Arbeitsort sind die Räumlichkeiten von SRC in Bonn und Wiesbaden 4 Termine SRC erbringt die Leistungen gemäß Kapitel 3 in Absprache mit dem Kunden. 5 Projektabwicklung und Arbeitsort SRC wird zur Erbringung der im Kapitel 3 beschriebenen Leistungen qualifizierte Mitarbeiter einsetzen, von denen einer als Projektleiter und verantwortlicher Gesprächspartner für den Kunden benannt werden wird. Arbeitsort sind die Räumlichkeiten des Auftraggebers an einem Standort sowie die Räumlichkeiten von SRC in Bonn und Wiesbaden. 6 Beschwerdemanagement SRC ist stets bemüht, die angebotene Dienstleistung zu Ihrer vollsten Zufriedenheit zu erbringen. Die Dienstleistungen sind und bleiben jedoch die Arbeit von Menschen. Unabhängig davon, wie sorgfältig wir die Arbeit erledigen, ist nicht auszuschließen, dass Sie als Kunde mit den Dienstleitungen der SRC unzufrieden sind oder versehentlich ein Fehler durch einen unserer Mitarbeiter gemacht wird. Sollte trotz unserer internen Maßnahmen zur Qualitätssicherung ein solches Ereignis stattfinden, möchten wir Ihnen die Möglichkeit geben, Ihre Beschwerde bei uns einzureichen. Hierfür stehen Ihnen folgende Wege zur Verfügung: Per Post: SRC Security Research & Consulting GmbH, Qualitätsmanagementbeauftragte, Graurheindorfer Str. 149a, Bonn oder Per an: beschwerde@src-gmbh.de Wir werden innerhalb von einem Arbeitstag auf Ihre Beschwerde reagieren und Sie über den weiteren Verlauf der Bearbeitung schriftlich informieren. SRC wird versuchen, eine zufriedenstellende Lösung zu entwickeln und mit Ihnen abzustimmen. tt mm jjjj SRC Security Research & Consulting GmbH Seite 4

7 7 Mitwirkungspflichten Der Auftraggeber verpflichtet sich, die Tätigkeiten von SRC zu unterstützen. Insbesondere schafft der Auftraggeber unentgeltlich alle Voraussetzungen im Bereich seiner Betriebssphäre, die zur ordnungsgemäßen Durchführung des Auftrags erforderlich sind. Zu diesen Voraussetzungen zählen u. A., dass der Auftraggeber eine Kontaktperson benennt, die den Mitarbeitern von SRC während der vereinbarten Arbeitszeit zur Verfügung steht; die Kontaktperson ist ermächtigt, Erklärungen abzugeben, die im Rahmen der Fortführung des Auftrags als Zwischenentscheidung notwendig sind; den Mitarbeitern von SRC jederzeit Zugang zu den für ihre Tätigkeit notwendigen Informationen verschafft und sie rechtzeitig mit allen erforderlichen Informationen versorgt. Der Auftraggeber trägt dafür Sorge, dass die ihm oder seinen Erfüllungsgehilfen obliegenden Mitwirkungen rechtzeitig, vollständig und für den Auftragnehmer kostenlos erbracht werden. Die Mitwirkungspflichten des Auftraggebers und seine Pflichten zur Beistellung sind wesentliche Pflichten des Auftraggebers. Der Auftraggeber sorgt im Interesse der mit den Beistellungen arbeitenden Mitarbeiter des Auftragnehmers dafür, dass seine Beistellungen den geltenden Arbeitsschutzvorschriften entsprechen. Soweit für Arbeiten im Betrieb des Auftraggeber besondere gesetzliche oder betriebliche Sicherheitsbestimmungen zu befolgen sind, wird der Auftraggeber diese Bestimmungen der SRC rechtzeitig vor Aufnahme der Arbeit zur Verfügung stellen. Der Kunde wird die Mitarbeiter des Auftragnehmers bei deren Arbeiten im Betrieb des Kunden im erforderlichen Umfang unterstützen. Datenträger, die der Auftraggeber zur Verfügung stellt, müssen inhaltlich und technisch einwandfrei sein. Andernfalls ist der Auftraggeber zum Ersatz aller aus der Benutzung dieser Datenträger entstehenden Schäden verpflichtet und stellt den Auftragnehmer von allen Ansprüchen Dritter frei. Von allen SRC übergebenen Unterlagen und Datenträgern behält der Auftraggeber Kopien, auf die SRC jederzeit kostenlos zurückgreifen kann. SRC ist berechtigt, die vom Auftraggeber erhaltenen Unterlagen nach Erbringung der Leistungen zu vernichten bzw. auf Wunsch des Auftraggebers an diesen zurückzugeben. Erfüllt der Kunde die ihm obliegenden Mitwirkungsleistungen nicht, nicht rechtzeitig oder nicht in der vereinbarten Art und Weise, so gehen die hieraus entstehenden Folgen zu seinen Lasten, insbesondere hat er den hieraus entstehenden Schaden zu ersetzen und kann für Verzögerungen keinen Rückgriff nehmen. 8 Vergütung Der mit diesem Vertag vereinbarte Security Scan von bis zu 5 IP Adressen im Zuständigkeitsbereich des KUNDEN ist für KUNDE als Mitglied der Allianz für Cybersicherheit kostenfrei. KUNDE kann die Durchführung des kostenlosen Security Scans nur einmal in Anspruch nehmen. tt mm jjjj SRC Security Research & Consulting GmbH Seite 5

8 9 Haftung und Schadenersatz 9.1 Die Erbringung der nach diesem Vertrag geschuldeten Leistungen erfolgt durch den Auftragnehmer nach den Grundsätzen ordnungsgemäßer Berufsausübung sowie in dem mit dem Kunden vereinbarten Umfang und Zeitraum. 9.2 Bei Sachmängeln kann SRC zunächst nacherfüllen. Wegen eines Mangels sind seitens des Auftraggebers zwei Nachbesserungsversuche hinzunehmen. 9.3 Bei vorsätzlich und grob fahrlässig verursachten Pflichtverletzungen der SRC, bei Verletzung von Leben, Körper und Gesundheit und bei Ansprüchen aus dem Produkthaftungsgesetz haftet SRC auf Schadensersatz nach den gesetzlichen Bestimmungen. Ziffer 9.6 gilt insoweit nicht. 9.4 Für sonstige Schäden haftet SRC ausschließlich nach Maßgabe der folgenden Bestimmungen: a) Bei grober und einfacher Fahrlässigkeit von Erfüllungsgehilfen der SRC haftet SRC in den Grenzen der Ziffer 9.6 auf Schadensersatz begrenzt auf die Höhe des vertragstypischen und bei Vertragsschluss vorhersehbaren Schadens. b) Bei leicht fahrlässiger Verletzung von Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglichen und auf deren Einhaltung der Auftraggeber regelmäßig vertrauen darf (sogenannte Kardinalpflichten), durch SRC oder ihre Erfüllungsgehilfen, haftet SRC in den Grenzen der Ziffer 9.6 auf Schadensersatz begrenzt auf die Höhe des vertragstypischen und bei Vertragsschluss vorhersehbaren Schadens. c) Im Übrigen ist jegliche Haftung ausgeschlossen. Insbesondere eine Garantiehaftung wird nicht übernommen, es sei denn, die SRC hat sich durch schriftliche Erklärung gegenüber dem Auftraggeber zur Übernahme einer selbständigen oder unselbstständigen Garantie im Einzelfall ausdrücklich verpflichtet. 9.5 SRC bleibt der Einwand des Mitverschuldens offen. Der Auftraggeber hat insbesondere die Pflicht zur Datensicherung und zur Virenabwehr nach dem aktuellen Stand der Technik. 9.6 Die Haftungshöhe für Sachschäden ist pauschal begrenzt bis zu einem Betrag von EUR ,00 (in Worten: Euro drei Millionen) pro Schadensfall, pro Jahr das Doppelte. Die Haftungshöhe für Vermögensschäden ist pauschal begrenzt bis zu einem Betrag von EUR ,00 (in Worten: Euro fünf Millionen) pro Schadensfall, pro Jahr das Doppelte. Über diese vorgenannten Beträge unterhält SRC eine Betriebshaftpflichtversicherung, die Schäden im Sinne von diesem Kapitel abdeckt. Der einzelne Schadensfall umfasst sämtliche Folgen einer Pflichtverletzung. Dabei gilt mehrfaches auf gleicher oder gleichartiger Fehlerquelle beruhendes Tun oder Unterlassen als einheitliche Pflichtverletzung, wenn die betreffenden Angelegenheiten miteinander in rechtlichem oder wirtschaftlichem Zusammenhang stehen. 9.7 Ein Schadensersatzanspruch kann nur innerhalb einer Ausschlussfrist von einem Jahr geltend gemacht werden, nachdem der Anspruchsberechtigte von dem Schaden und on dem anspruchsbegründenden Ereignis Kenntnis erlangt hat, spätestens aber innerhalb von fünf Jahren nach dem anspruchsbegründenden Ereignis. tt mm jjjj SRC Security Research & Consulting GmbH Seite 6

9 10 Nutzungsrecht Nach Erbringung der im Dienstleistungsvertrag geregelten Leistung durch den Auftragnehmer hat der Kunde ein nicht ausschließliches und nicht übertragbares Nutzungsrecht an diesen Leistungen. Der Kunde ist nicht berechtigt, die Ergebnisse dieser Leistungen für andere als eigene interne betriebliche Zwecke zu verwenden bzw. sie ohne vorherige schriftliche Zustimmung des Auftragnehmers an Dritte weiterzugeben oder zu veröffentlichen. Die erbrachte Leistung ist rechtlich geschützt. Das Urheberrecht, Patentrechte, Markenrechte und alle sonstigen Leistungsschutzrechte sowie sonstige Gegenstände, die SRC dem Auftraggeber im Rahmen der Vertragsdurchführung überlässt und zugänglich macht, stehen im Verhältnis der Vertragspartner ausschließlich SRC zu. 11 Treuepflicht Die Vertragsparteien sind zur gegenseitigen Loyalität verpflichtet. Für den Zeitraum der Vertragsdurchführung sowie für weitere 12 Monate nach Vertragsbeendigung verpflichtet sich der Auftraggeber, keine Mitarbeiter des Auftragnehmers bei sich oder einem abhängigen Unternehmen zu beschäftigen. Die Vertragsparteien werden alle Informationen, die sie im Rahmen des Dienstleistungsvertrages über die jeweils andere Partei erhalten, vertraulich behandeln. Diese Informationen können sowohl während der Vertragsdauer als auch nach Beendigung des Vertrags nur dann verwertet, genutzt oder Dritten zugänglich gemacht werden, wenn die betroffene Partei ihre vorherige schriftliche Zustimmung erteilt hat. Ausgenommen hiervon sind ebenso die durch SRC während des Projekts erstellten Aufzeichnungen und (Teil-) Arbeitsergebnisse (z.b. Report on Compliance), die ohne vorangehende Zustimmung durch den Auftraggeber von SRC an das Payment Card Industry Security Standards Council oder die Bezahlsysteme auf deren Anfrage übergeben werden. Ungeachtet dessen schließt die Vertraulichkeitsvereinbarung solche Dokumente ein, die der Auftraggeber an SRC übergeben hat (wie z.b. Zeichnungen, Konzepte und Entwürfe). Die vorstehende Vertraulichkeitsverpflichtung findet keine Anwendung, falls die jeweils andere Partei die Informationen nachweislich von Dritten rechtmäßig erhalten hat oder die Informationen bei Vertragsabschluss bereits allgemein bekannt waren bzw. nachträglich ohne Verstoß gegen die vorstehenden Verpflichtungen allgemein bekannt wurden. Die vorgenannten Vertraulichkeitsverpflichtungen enden mit Ablauf von fünf Jahren nach Beendigung des Dienstleistungsvertrags. Die Vertragsparteien gewährleisten, ihre Mitarbeiter, Erfüllungsund Verrichtungsgehilfen entsprechend zu verpflichten. Der Auftragnehmer darf den Kunden nach erfolgreichem Abschluss der Leistungen als Referenzkunden benennen. tt mm jjjj SRC Security Research & Consulting GmbH Seite 7

10 12 Sonstiges Änderungen und Ergänzungen dieser Bedingungen bzw. der Leistungsbeschreibung sind nur wirksam, wenn sie schriftlich vereinbart sind. Das Schriftformerfordernis kann nur schriftlich aufgehoben werden. Sollten einzelne Bestimmungen des nach diesen Bedingungen geschlossen Dienstleistungsvertrages unwirksam sein, so wird die Wirksamkeit der übrigen Bestimmungen hiervon nicht berührt. Die Parteien sind verpflichtet, die unwirksame Bestimmung durch eine wirksame Bestimmung zu ersetzen, die den mit der unwirksamen Bestimmung angestrebten wirtschaftlichen Erfolg so weit wie möglich erreicht. Entsprechendes gilt im Fall einer Vertragslücke. Die in diesem Dienstleistungsvertrag getroffenen Regelungen ersetzen alle vorhergehenden Abstimmungen zwischen den Parteien. Im Falle abweichender oder ergänzender Vereinbarungen bedarf es für deren Geltung der ausdrücklichen Zustimmung beider Vertragsparteien. Für die Wirksamkeit von Bestellungen und Aufträgen sowie etwaigen besonderen Zusicherungen ist eine schriftliche Bestätigung durch den Auftragnehmer erforderlich. Der Kunde ist nicht berechtigt, die Rechte und Pflichten aus dem Dienstleistungsvertrag zu übertragen, es sei denn, SRC hat der Übertragung vorher schriftlich zugestimmt. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechtes. Soweit der Kunde Kaufmann ist, ist der Sitz des Auftragnehmers Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dem Dienstleistungsvertrag. 13 Vertragsdauer Dieser Vertrag endet nach Durchführung es hierin vereinbarten Scans und Auslieferung des hier beschriebenen Abschlussberichtes. Ein Anspruch auf die Durchführung weiterer kostenfreier Security Scans besteht nicht. Bonn, den tt mm jjjj SRC Security Research & Consulting GmbH Musterfirma Gerd Cimiotti tt mm jjjj SRC Security Research & Consulting GmbH Seite 8