Ein IT-Dienstleister lässt sich nicht anhand seiner Imagebroschüre beurteilen. Am zuverlässigsten sind die technische Prüfung des Vertrags, die Überprüfung des tatsächlichen Geltungsbereichs der Zertifizierungen und die Fähigkeit des Anbieters, seine Sicherheitsverpflichtungen im Hinblick auf die regulatorischen Anforderungen des Kunden zu dokumentieren.
Geltungsbereich der Zertifizierungen: Was das Zertifikat eines IT-Dienstleisters tatsächlich abdeckt
Eine ISO-27001-Zertifizierung oder eine SecNumCloud-Qualifikation, mit der ein Hosting-Anbieter wirbt, sagt nichts über den IT-Betreuer aus, der das System täglich verwaltet. Jedes Zertifikat gilt für einen genau festgelegten Geltungsbereich: Unternehmen, Standorte und Dienstleistungen. Lagert der Dienstleister das Hosting an einen zertifizierten Drittanbieter aus, übernimmt aber selbst die Administration, erstreckt sich die Zertifizierung des Drittanbieters nicht auf die eigenen Praktiken des Dienstleisters.
Bitten Sie vor der Vertragsunterzeichnung um das Originalzertifikat und lesen Sie die Anlage zum Geltungsbereich. Prüfen Sie, ob die im Angebot aufgeführten Dienstleistungen mit den im Zertifikat genannten Leistungen übereinstimmen. Ein seriöser Dienstleister stellt diese Informationen ohne Zögern bereit.
Anbieter wie ProInfo Services bauen ihr Angebot auf dieser Transparenz auf und legen detailliert dar, welche technischen Komponenten durch ihre eigenen Qualifikationen und welche durch die ihrer Hosting-Partner abgedeckt sind.
Fragen zu den Zertifizierungen
- Welche Standorte und Dienstleistungen sind im geprüften Geltungsbereich Ihrer Zertifizierung aufgeführt?
- Wird das Hosting selbst betrieben oder ausgelagert? Falls es ausgelagert wird: Ist der Subunternehmer für denselben Geltungsbereich zertifiziert?
- Wie oft findet das Erneuerungsaudit statt, und kann der letzte Bericht eingesehen werden?
NIS2- und DSGVO-Pflichten: Verantwortlichkeiten, die durch Outsourcing nicht übertragen werden
Durch das Outsourcing der IT geht die rechtliche Verantwortung des Kunden nicht auf den Dienstleister über. Im Rahmen der DSGVO bleibt das Unternehmen für die Verarbeitung personenbezogener Daten verantwortlich, auch wenn der Dienstleister diese technisch verarbeitet. Im Falle einer Datenschutzverletzung muss der Kunde die CNIL innerhalb einer vorgegebenen Frist benachrichtigen.
Der Auftragsverarbeitungsvertrag muss daher den Meldeweg regeln. Der Dienstleister verpflichtet sich, den Kunden innerhalb einer festgelegten Frist über jede Datenschutzverletzung zu informieren und dabei genügend Details bereitzustellen, damit der Kunde seinen eigenen Meldepflichten nachkommen kann.
Auswirkungen der NIS2-Richtlinie auf die Wahl des Dienstleisters
Ein IT-Dienstleister kann indirekt von NIS2 betroffen sein. Unterliegt das Kundenunternehmen der Richtlinie, muss es von seinen Lieferanten Garantien für die Verwaltung administrativer Zugriffsrechte, die Protokollierung von Aktivitäten, den Umgang mit Schwachstellen und die Meldung von Sicherheitsvorfällen einholen.
Fragen Sie den Kandidaten konkret zu drei Punkten: seiner Richtlinie zur Protokollierung privilegierter Zugriffe, seinem Verfahren zum Umgang mit Schwachstellen (Häufigkeit der Scans, Behebungsfrist) und seinem Prozess zur Meldung von Sicherheitsvorfällen. Ein Dienstleister, der diese Fragen nicht beantworten kann, ist nicht darauf vorbereitet, ein Unternehmen mit branchenspezifischen Cybersicherheitsanforderungen zu unterstützen.
SLA und Serviceverpflichtungen: Den IT-Betreuungsvertrag über die Verfügbarkeitsquote hinaus prüfen
Die angegebene Verfügbarkeitsquote (oft als Prozentwert) sagt kaum etwas aus, wenn sie nicht durch drei Angaben ergänzt wird: die Berechnungsmethode, die Ausnahmen und die tatsächlichen Vertragsstrafen.
- Berechnungsmethode: Werden geplante Wartungszeiten bei der Berechnung ausgeschlossen? Falls ja, kann ein Dienstleister eine hohe Verfügbarkeitsquote ausweisen und gleichzeitig häufige Ausfallzeiten einplanen.
- Ausnahmen: Werden Störungen im Zusammenhang mit einem Drittanbieter (Telekommunikationsanbieter, Softwarehersteller) auf das SLA angerechnet oder davon ausgenommen?
- Vertragsstrafen: Eine Gutschrift von wenigen Prozent auf die Monatsrechnung gleicht keinen Betriebsausfall aus. Prüfen Sie, ob der Vertrag einen Ausgleich vorsieht, der dem tatsächlichen Ausmaß der Auswirkungen entspricht.
- GTI (garantierte Interventionszeit) und GTR (garantierte Wiederherstellungszeit): Diese beiden Kennzahlen sind voneinander zu unterscheiden. Die erste misst die Zeit bis zur Übernahme des Tickets durch einen Techniker, die zweite die Zeit bis zur tatsächlichen Behebung des Problems. Eine kurze GTI bei unklarer GTR hat keinen praktischen Nutzen.
Wir beobachten, dass die robustesten Verträge die Kritikalitätsstufen (P1 bis P4) klar unterscheiden und für jede Stufe eigene GTI- und GTR-Werte mit gestaffelten Vertragsstrafen festlegen.
Exit-Strategie und technische Abhängigkeit: Den Ausstieg bereits bei Vertragsunterzeichnung planen
Die Exit-Klausel entscheidet darüber, wie frei Sie den Dienstleister wechseln können. Ein IT-Betreuungsvertrag ohne detaillierten Exit-Plan schafft eine technische Abhängigkeit, die im Falle einer Vertragsauflösung teuer werden kann.
Die Exit-Strategie umfasst drei Bereiche. Erstens die Rückgabe der Daten in einem nutzbaren Format, nicht als proprietärer Export, den nur der bisherige Dienstleister lesen kann. Zweitens die technische Dokumentation: Netzwerkpläne, Konfigurationsverzeichnis und Betriebsverfahren. Drittens die Übergangsphase, in der der bisherige Dienstleister mit dem neuen zusammenarbeitet, um die Kontinuität des Betriebs sicherzustellen.
Worauf Sie bei der Exit-Klausel achten sollten
Prüfen Sie, ob der Vertrag das Format der Datenrückgabe, die maximale Übertragungsdauer und mögliche Kosten für die Exit-Leistung festlegt. Manche Dienstleister rechnen den Ausstieg ohne Kostenobergrenze nach Zeitaufwand ab. Bei Meinungsverschiedenheiten kann das als Druckmittel eingesetzt werden.
Ein zuverlässiger IT-Dienstleister nimmt die Exit-Strategie als standardmäßige vertragliche Verpflichtung auf und behandelt sie nicht als Option, die erst am Ende der Verhandlungen zur Debatte steht. Der Exit-Plan sollte vor der Vertragsunterzeichnung ausgehandelt werden, solange die Verhandlungspositionen noch ausgeglichen sind.
Bei der Wahl eines IT-Dienstleisters für die tägliche Unterstützung eines Unternehmens kommt es weniger auf vollmundige Versprechen als auf die sorgfältige Prüfung des Vertrags, die konkrete Überprüfung des Geltungsbereichs der Zertifizierungen und die Fähigkeit des Anbieters an, die regulatorischen Anforderungen des Kunden zu erfüllen. Ein guter Dienstleister dokumentiert seine Verpflichtungen, legt seine Grenzen transparent offen und plant den Ausstieg von Anfang an mit ein.
