HR-06 Vertraulichkeitsvereinbarungen

Die mit internem Personal und Service-Organisationen des Cloud-Anbieters zu vereinbarenden Geheimhaltungs- oder Vertraulichkeitsvereinbarungen basieren auf den vom Cloud-Anbieter identifizierten Anforderungen zum Schutz vertraulicher Informationen und betrieblicher Details.

Ergänzende Informationen

Eine Vertraulichkeitsvereinbarung (engl. Non-Disclosure Agreement, NDA) ist ein rechtliches Dokument und enthält Informationen, die von beiden Parteien zum Schutz vertraulicher Informationen benötigt werden. Prozesse und Verfahren im Zusammenhang mit dem Umgang mit Medien können separat außerhalb des NDA verwaltet werden. Ein NDA sollte Folgendes abdecken:

1. Welche Informationen oder Datentypen vertraulich behandelt werden müssen;

2. Für welchen Zeitraum diese Vertraulichkeitsvereinbarung gilt;

3. Welche Aktionen bei Beendigung dieser Vereinbarung vorgenommen werden müssen, z. B. Vernichtung oder Rückgabe von Datenträgern;

4. Wie die Eigentumsrechte an Informationen geregelt sind;

5. Welche Regelungen für den Gebrauch und die Weitergabe von vertraulichen Informationen an weitere Partner gelten, falls dies notwendig ist;

6. Welche Konsequenzen bei Verletzung der Vereinbarung eintreten..

Diese Vereinbarungen werden allgemein in HR-02 beschrieben.

Die Vereinbarungen sind mit Service-Organisationen bei Vertragsabschluss zu schließen.

Ergänzende Informationen

Geheimhaltungs- oder Vertraulichkeitsvereinbarungen sollten, soweit dies rechtsverbindlich ist, mittels einer elektronischen Signatur unterschrieben werden.

Die Vereinbarungen sind mit internem Personal des Cloud-Anbieters zu schließen, bevor die Berechtigung zum Zugriff auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten erteilt wird.

Ergänzende Informationen

Geheimhaltungs- oder Vertraulichkeitsvereinbarungen sollten, soweit dies rechtsverbindlich ist, mittels einer elektronischen Signatur unterschrieben werden.

Die Anforderungen sind zu dokumentieren sowie in regelmäßigen Abständen (mindestens jährlich) und bei wesentlichen Änderungen des Cloud-Dienstes zu überprüfen. Soweit sich aus der Überprüfung ergibt, dass die Anforderungen anzupassen sind, werden die Geheimhaltungs- oder Vertraulichkeitsvereinbarungen aktualisiert.

Der Cloud-Anbieter informiert das interne Personal und die Service-Organisationen hierüber und schließt mit diesen die aktualisierten Geheimhaltungs- oder Vertraulichkeitsvereinbarungen.

Ergänzende Informationen

Geheimhaltungs- oder Vertraulichkeitsvereinbarungen sollten, soweit dies rechtsverbindlich ist, mittels einer elektronischen Signatur unterschrieben werden.

In Fällen, in denen eine Einigung über die Aktualisierungen nicht erzielt werden kann, beurteilt der Cloud-Anbieter die daraus resultierenden Risiken für die Informationssicherheit gemäß OIS-07.