Cybersecurity- und IT-Sicherheitsvertrag im Facility Management
Digitale Facility-Management-Systeme sind zunehmend betriebsrelevant. CAFM, Gebäudeautomation, IoT-Sensorik, Service Desk, Zutrittskontrolle, Video, Cloud-Dienste und mobile Instandhaltung verbinden klassische Gebäudetechnik mit IT- und teilweise OT-Infrastrukturen. Ein Cybersecurity- und IT-Sicherheitsvertrag muss deshalb eindeutig regeln, welches Sicherheitsniveau der Dienstleister herstellen und während der gesamten Vertragslaufzeit nachweisen muss.
Für besonders wichtige und wichtige Einrichtungen verlangt § 30 BSIG geeignete, verhältnismäßige und wirksame technische und organisatorische Risikomanagementmaßnahmen. Dazu gehören ausdrücklich unter anderem Incident Handling, Business Continuity, Lieferkettensicherheit, Schwachstellenmanagement, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
Meldung, Analyse, Eindämmung und Wiederherstellung
Business Continuity
Backup, Restore, Notbetrieb, Disaster Recovery
Lieferkette
Sicherheitsanforderungen an Subprovider
Audit
Nachweise, Prüfberichte und Kontrollrechte
Exit
Zugriffsende, Datenübergabe und Löschung
Sicherheitsvorfälle besonders schnell melden
Für NIS2-regulierte Einrichtungen sieht § 32 BSIG bei erheblichen Sicherheitsvorfällen eine frühe Meldung innerhalb von höchstens 24 Stunden und eine weitergehende Meldung innerhalb von höchstens 72 Stunden vor.
Der Vertrag mit einem IT- oder FM-Dienstleister sollte deshalb kürzere interne Meldefristen vorsehen. Nur so bleibt dem Auftraggeber ausreichend Zeit für Bewertung und gegebenenfalls eigene gesetzliche Meldungen.
Festgelegt werden sollten insbesondere:
Definition eines meldepflichtigen Sicherheitsereignisses,
24/7-Meldekanal,
erste Mindestinformationen,
laufende Statusupdates,
Forensik und Beweissicherung,
Mitwirkung bei Behördenmeldungen,
Abschluss- und Ursachenbericht.
Lieferkette ausdrücklich einbeziehen
Cybersecurity endet nicht beim Hauptauftragnehmer. § 30 BSIG nennt die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern ausdrücklich als Bestandteil des Risikomanagements.
Der Vertrag sollte daher verlangen, dass kritische Subunternehmer und Cloud-, Hosting-, Fernwartungs- oder Softwareprovider vergleichbare Sicherheitsanforderungen erfüllen. Besonders wichtig sind Transparenz über eingesetzte Subprovider und die vorherige Bewertung wesentlicher Änderungen.
OT und Gebäudetechnik mitbetrachten
Im Facility Management entstehen besondere Risiken durch die Verbindung von IT und Betriebstechnik. Gebäudeautomation, Energieversorgung, Zutrittssysteme oder technische Leitstände können physische Auswirkungen erzeugen, wenn sie manipuliert oder nicht verfügbar sind.
Deshalb sollten insbesondere geregelt werden:
Segmentierung von IT- und OT-Netzen,
sichere Fernwartung,
Freigabe administrativer Zugriffe,
zeitlich begrenzte Herstellerzugänge,
Protokollierung von Änderungen,
Notbetrieb bei IT-Ausfall,
geregelte Wiederinbetriebnahme.
Sicherheitsleistung nachweisbar machen
Der Dienstleister sollte seine Sicherheitsmaßnahmen nicht lediglich zusichern, sondern nachvollziehbar belegen. Geeignete Nachweise können Audits, Zertifizierungen, Penetrationstests, Schwachstellenberichte oder standardisierte Sicherheitsnachweise sein. Für Cloud-Dienste stellt das BSI mit C5:2026 inzwischen die aktuelle Fassung seines Kriterienkatalogs für Cloud-Sicherheit bereit.
Ein guter Cybersecurity- und IT-Sicherheitsvertrag macht Informationssicherheit damit zu einer messbaren und überprüfbaren Vertragsleistung. Er schützt nicht nur Daten, sondern insbesondere die Verfügbarkeit und Integrität der digitalen Systeme, auf denen ein moderner Facility-Management-Betrieb zunehmend beruht.
