Die Auswahl eines IT-Dienstleisters entscheidet sich an zwölf überprüfbaren Kriterien: offizielle Labels und Qualifikationen, namentlich benannte Kompetenzen, schriftliches SLA, Einsatzfähigkeit vor Ort, Sicherheitsplan, Auftragsverarbeitungsvertrag nach DSGVO, Datenstandort, getestete Backups, NIS2-Anforderungen, Ausstiegsbedingungen, Notfallprozess und Substanz des Unternehmens. Alles andere ist Vertrieb.
Welche 12 Kriterien sind zu prüfen?
- Überprüfbare Substanz: Bestehensdauer, Handelsregistereintrag, Größe des betreuten Bestands.
- Labels und Qualifikationen durch Dritte: ExpertCyber, Sicherheitsvisum und Qualifikationen der ANSSI.
- Benannte Kompetenzen: wer tatsächlich arbeitet und mit welchen Zertifizierungen.
- Schriftliches SLA: Reaktionszeit, Wiederherstellungszeit, Servicezeiten, Kritikalitätsstufen.
- Einsatzfähigkeit vor Ort und vertraglich festgelegte Anfahrtszeit.
- Sicherheitsplan: Fernzugriffe, Administratorkonten, Austritt von Mitarbeitern.
- Auftragsverarbeitungsvertrag gemäß Artikel 28 DSGVO.
- Standort der Daten und Backups sowie geltende Rechtsordnung.
- Backups getrennt vom Netz, mehrfach auf verschiedenen Medien und im Rückspiel getestet.
- Berücksichtigung von NIS2 in der Lieferkette.
- Ausstieg: Eigentum an Lizenzen, Dokumentation, Rückgabe der Zugänge.
- Notfallprozess: Meldekette, Beweissicherung, Benachrichtigung, Eskalation.
Ist der Dienstleister belastbar und überprüfbar?
Prüfen Sie zuerst drei Punkte: Bestehensdauer, Handelsregistereintrag und Größe des betreuten Bestands. Eine abrufbare Unternehmensnummer, hinterlegte Jahresabschlüsse und ein Gründungsdatum sagen mehr aus als jede Broschüre. Fragen Sie nach der Zahl der betreuten Geschäftskunden und der Zahl der Geräte unter Vertrag: solche Größenordnungen nennt ein seriöser Dienstleister ohne Zögern. BISPRO ist beispielsweise seit 2012 eingetragen und betreut 215 Geschäftskunden und 5 000 Geräte bei rund 5 000 Einsätzen pro Jahr.
Welche Labels und Qualifikationen sollten Sie verlangen?
Verlangen Sie mindestens ein von Dritten geprüftes Label. Das französische Label ExpertCyber wird nach einer Prüfung der Bewerbungsunterlagen durch AFNOR Certification vergeben, auf Grundlage eines Kriterienkatalogs von Cybermalveillance.gouv.fr und den Branchenverbänden. Es umfasst die Absicherung, die Aufrechterhaltung des Betriebs und der Sicherheit sowie die technische Unterstützung im Schadensfall und gilt zwei Jahre. Sie können einen Dienstleister selbst im Verzeichnis von Cybermalveillance.gouv.fr nachschlagen, ohne ihn zu fragen. Für stärker regulierte Anforderungen erteilt die ANSSI zusätzlich ein Sicherheitsvisum und qualifiziert spezialisierte Anbieter: Sicherheitsaudit (PASSI), Reaktion auf Sicherheitsvorfälle (PRIS), Angriffserkennung (PDIS) und Cloud-Dienste (SecNumCloud). BISPRO trägt das Label ExpertCyber und ist auf Cybermalveillance.gouv.fr geführt.
Wer arbeitet tatsächlich an meinem System?
Fragen Sie nach Namen und Zertifizierungen, nicht nach einem anonymen Expertenteam. Herstellerzertifizierungen sind personenbezogen und überprüfbar: sie belegen, dass eine bestimmte Person das Gerät konfigurieren kann, das Sie ihr übergeben. Drei Fragen genügen: Wer administriert meine Firewall, welche Zertifizierung besitzt diese Person, und wer übernimmt während des Urlaubs. Bei BISPRO ist der Gründer und Geschäftsführer Nicolas Bourcier für Stormshield CSNA und CSNE zertifiziert.
Muss ein SLA vertraglich festgeschrieben sein?
Ja, im Vertrag und nicht in einer Vertriebsmail. Ein brauchbares SLA unterscheidet die Reaktionszeit von der Wiederherstellungszeit, nennt die abgedeckten Servicezeiten, definiert Kritikalitätsstufen und regelt, was gilt, wenn die Zusage nicht eingehalten wird. Ohne diese vier Elemente verpflichtet die Formel schneller Support zu nichts. Fragen Sie auch nach der Berichtsform: ein monatlicher Einsatzbericht lässt sich prüfen, eine mündliche Zusage nicht.
Kann der Dienstleister vor Ort kommen, und wie schnell?
Viele Störungen lassen sich nicht aus der Ferne beheben: ein defekter Switch, ein Ausfall des Netzbetreibers, ein Server, der nicht mehr startet, eine Kamera ohne Verbindung. Fragen Sie nach der tatsächlichen Entfernung zwischen Ihrem Standort und dem nächsten Techniker und lassen Sie eine Anfahrtszeit im SLA festschreiben. Für einen Mittelständler in der Moselle oder eine Kommune im ehemaligen Kohlerevier kann ein in der Region Grand Est ansässiger Dienstleister am selben Tag kommen, ein Supportzentrum 600 Kilometer entfernt nicht.
Sieht der Vertrag einen Sicherheitsplan vor?
Das ist das Dokument, das beschreibt, wie der Dienstleister seinen eigenen Zugang zu Ihrem System absichert. Der ANSSI-Leitfaden zur Auslagerung nennt drei zentrale Risiken: den Verlust der Kontrolle über das Informationssystem, Fernzugriffe und geteilte Hosting-Umgebungen. Er empfiehlt, darauf mit einem Sicherheitsplan und mit Musterklauseln im Lastenheft zu antworten. Prüfen Sie mindestens, wie Fernzugriffe authentifiziert werden, wer die Administratorkonten hält und wie Zugänge entzogen werden, wenn ein Mitarbeiter den Dienstleister verlässt.
Ist der Auftragsverarbeitungsvertrag unterschrieben?
Er ist verpflichtend, sobald der Dienstleister personenbezogene Daten berührt, und das gilt für jede Form von Managed Services. Artikel 28 DSGVO verlangt einen schriftlichen Vertrag, der unter anderem regelt: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeitsverpflichtung des Personals, Sicherheitsmaßnahmen, vorherige schriftliche Genehmigung weiterer Unterauftragsverarbeiter, Unterstützung bei Betroffenenanfragen, Löschung oder Rückgabe der Daten am Vertragsende sowie Bereitstellung aller Nachweise für Ihre Audits und Überprüfungen. Die CNIL veröffentlicht dazu verwendbare Musterklauseln. Wenn man Ihnen antwortet, das stehe in den AGB, bitten Sie um die Textstelle.
Wo werden meine Daten gehostet?
Fragen Sie nach dem Land, dem Namen des Rechenzentrums und der Identität des tatsächlichen Betreibers, auch für die Unterauftragsverarbeiter Ihres Dienstleisters. Kapitel V der DSGVO regelt jede Übermittlung außerhalb der Europäischen Union: ohne Angemessenheitsbeschluss der Kommission sind geeignete Garantien erforderlich, etwa Standardvertragsklauseln. Ein Dienstleister, der Ihnen nicht sagen kann, wo Ihre Backups liegen, wird diesen Punkt bei einer Kontrolle ebenfalls nicht belegen können. Stellen Sie die gleiche Frage für Telefonie, Videoüberwachung und E-Mail, nicht nur für Bürodateien.
Sind die Backups vom Netz getrennt und im Rückspiel getestet?
Dieses Kriterium entscheidet über Ihr Überleben nach einem Ransomware-Angriff. Cybermalveillance.gouv.fr empfiehlt, das Backup-Medium nach Gebrauch zu trennen, denn ein am Netz verbundenes Backup kann mit allem anderen zerstört werden; mehrere Kopien auf unterschiedlichen Medien anzulegen; eine Kopie an einem anderen Ort als die Originaldaten aufzubewahren; und die Wiederherstellung regelmäßig zu testen. Zwei Fragen klären die Lage: Wann fand der letzte erfolgreiche Rückspieltest statt, und wie lange dauerte er. Ein Backup, das nie zurückgespielt wurde, ist kein Backup.
Berücksichtigt der Dienstleister NIS2?
Fällt Ihre Organisation in den Anwendungsbereich von NIS2, wird Ihr Dienstleister Teil Ihrer Konformität. Die Richtlinie (EU) 2022/2555 verlangt in Artikel 21 Absatz 2 einen Mindestkatalog an Maßnahmen, der die Sicherheit der Lieferkette umfasst, insbesondere die sicherheitsbezogenen Aspekte der Beziehungen zwischen der Einrichtung und ihren unmittelbaren Anbietern oder Dienstleistern (Buchstabe d), sowie die Aufrechterhaltung des Betriebs einschließlich Backup-Management (Buchstabe c). In Frankreich war das Umsetzungsgesetz zum Zeitpunkt der Erstellung dieses Artikels noch nicht verkündet; die ANSSI veröffentlicht den Stand auf ihrer Plattform MonEspaceNIS2. Ein Dienstleister, der das Thema erst im Gespräch mit Ihnen entdeckt, wird Ihnen bei diesem Nachweis nicht helfen.
Kann ich den Dienstleister wechseln, ohne alles zu verlieren?
Regeln Sie den Ausstieg vor dem Einstieg. Lassen Sie im Vertrag festhalten: Eigentum an Lizenzen und Domainnamen, Übergabe der technischen Dokumentation und des Bestandsverzeichnisses, Rückgabe der Administratorkonten und Kennwörter sowie Dauer und Kosten der Übergangsphase. Ein Dienstleister, der Ihnen die Administratorzugänge zu Ihren eigenen Geräten verweigert, schafft eine Abhängigkeit und keine Dienstleistungsbeziehung. Die DSGVO verlangt unabhängig davon die Löschung oder Rückgabe personenbezogener Daten am Ende der Leistung.
Was passiert während eines Cyberangriffs?
Fragen Sie nach dem schriftlichen Ablauf, nicht nach einer Absicht. Wen rufen Sie um drei Uhr nachts an, unter welcher Nummer, und wer entscheidet, das Netz zu isolieren? Weiß der Dienstleister, technische Spuren zu sichern, bevor alles neu installiert wird, was Ihre Strafanzeige erst möglich macht? Unterstützt er Sie bei der Meldung an die CNIL, wenn personenbezogene Daten betroffen sind? Kann er an einen PRIS-qualifizierten Anbieter eskalieren, wenn der Vorfall seinen Rahmen übersteigt? Testen Sie die Meldekette einmal jährlich außerhalb eines echten Vorfalls.
Ein Dienstleister oder mehrere?
Ein einziger Ansprechpartner beseitigt Graubereiche, sofern der Leistungsumfang wirklich abgedeckt ist. Das klassische Szenario mit mehreren Anbietern: die IP-Telefonie fällt aus, der Netzbetreiber verweist auf das lokale Netz, der Integrator auf den Netzbetreiber, und niemand kommt. Listen Sie auf, was abgedeckt sein muss — Arbeitsplätze, Server, Netzwerk, IP-Telefonie, Betreiberanschluss, Hosting, Videoüberwachung, Alarmanlage, Sensibilisierung der Teams — und prüfen Sie Zeile für Zeile, wer dafür einsteht. BISPRO deckt diese Bereiche ab und ist zugleich Telekommunikationsbetreiber, was eine der häufigsten Schuldzuweisungen entfallen lässt.
Wie lange dauert diese Prüfung?
Eine Stunde, wenn Sie die Unterlagen vorab anfordern. Verlangen Sie schriftlich, noch vor jedem Angebot: den Rahmenvertrag mit den SLA-Anlagen, den Sicherheitsplan, den Auftragsverarbeitungsvertrag, den Nachweis der Betriebshaftpflichtversicherung sowie die Liste der Labels und Qualifikationen mit Gültigkeitsdaten. Anbieter, die diese fünf Dokumente innerhalb von 48 Stunden senden, bilden bereits eine brauchbare Vorauswahl.
Wo können Sie diese Angaben selbst überprüfen?
- Label ExpertCyber und Anbieterverzeichnis: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/label-expertcyber/decouvrir-le-label-expertcyber
- Einen qualifizierten Fachbetrieb finden (Cybermalveillance.gouv.fr): https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie
- Gute Praxis bei Backups (Cybermalveillance.gouv.fr): https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/sauvegardes
- ANSSI-Leitfaden zu Auslagerung und Sicherheit von Informationssystemen: https://messervices.cyber.gouv.fr/guides/externalisation-et-securite-des-systemes-dinformation-un-guide-pour-maitriser-les
- Sicherheitsvisum und Qualifikationen der ANSSI: https://cyber.gouv.fr/le-visa-de-securite
- Artikel 28 DSGVO, Pflichten des Auftragsverarbeiters (CNIL): https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- Musterklauseln zur Auftragsverarbeitung (CNIL): https://www.cnil.fr/fr/sous-traitance-exemple-de-clauses
- Übermittlungen außerhalb der Europäischen Union, Kapitel V DSGVO (CNIL): https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5
- Richtlinie NIS2 (EU) 2022/2555, Artikel 21: https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32022L2555
- Stand der NIS2-Umsetzung in Frankreich (ANSSI): https://aide.monespacenis2.cyber.gouv.fr/fr/article/avancement-de-la-transposition-de-la-directive-nis-2-1b3j1da/