Eine Sicherheitsanlage ist der Teil eines Lieferantenvertrags, der die Sicherheitsanforderungen Ihres Kunden in Pflichten verwandelt, jede mit einer Frist, einem Auditrecht und einer Konsequenz. Ihr Kern sind meist die acht Vertragspunkte für Lieferanten aus der Durchführungsverordnung (EU) 2024/2690, dazu kommen Datenstandort, Haftung und Kündigung. Der Fragebogen ist ein Filter. Die Anlage ist der Vertrag.
Dieser Leitfaden erklärt, was eine Sicherheitsanlage ist, woher ihre Klauseln stammen, die zehn Klauseln, welche davon verhandelbar sind, wie Sie antworten und was Sie einmal aufbauen sollten.
| Klausel | Was sie verlangt | Woher sie stammt |
|---|---|---|
| 1. Sicherheitsanforderungen | Eine benannte Norm „oder gleichwertig“ | VO 2024/2690, Nr. 5.1.4 Buchst. a |
| 2. Personal | Schulung, Hintergrundüberprüfung, namentliche Zugriffe | Nr. 5.1.4 Buchst. b, c |
| 3. Meldung von Sicherheitsvorfällen | Meldung innerhalb einer festen Frist | Nr. 5.1.4 Buchst. d; DSGVO Art. 33 Abs. 2 |
| 4. Auditrechte | Audit nach Ankündigung oder Auditberichte | Nr. 5.1.4 Buchst. e; DSGVO Art. 28 Abs. 3 Buchst. h |
| 5. Umgang mit Schwachstellen | Meldungen annehmen, nach Schweregrad beheben | Nr. 5.1.4 Buchst. f |
| 6. Unterauftragsvergabe | Offenlegen, Zustimmung einholen, Pflichten weitergeben | Nr. 5.1.4 Buchst. g; DSGVO Art. 28 Abs. 2 |
| 7. Rückgabe und Vernichtung | Daten zurückgeben oder vernichten und dies bescheinigen | Nr. 5.1.4 Buchst. h; DSGVO Art. 28 Abs. 3 Buchst. g |
| 8. Datenstandort | Wo Daten liegen und wer darauf zugreift | Bedingungen des Kunden |
| 9. Haftung und Versicherung | Gesonderte Haftungsobergrenze oder Freistellung bei Sicherheitsverletzungen | Bedingungen des Kunden |
| 10. Kündigung bei Sicherheitsvorfall | Ausstieg bei einem gravierenden Sicherheitsvorfall | Bedingungen des Kunden |
Was ist eine Sicherheitsanlage im Vertrag?
Eine Sicherheitsanlage, auch Security Schedule oder Anlage Informationssicherheit genannt, legt die Pflichten zur Informationssicherheit fest, die ein Lieferant mit seiner Unterschrift übernimmt. Werden personenbezogene Daten verarbeitet, steht sie neben einem Auftragsverarbeitungsvertrag (AVV).
Sie wird ständig mit dem Sicherheitsfragebogen verwechselt. Der Fragebogen fragt, ob Sie ein bestimmtes Control haben. Die Anlage legt fest, was passiert, wenn Sie es nicht haben, und verbindet jede Pflicht mit einer Frist, einem Auditrecht und einem Kündigungsgrund. Lieferanten verbringen Wochen mit dem Fragebogen und unterschreiben die Anlage in der Annahme, sie sage dasselbe. Das tut sie nicht. Das erste Dokument behandelt wie Sie einen Sicherheitsfragebogen beantworten.
Woher kommen Sicherheitsanforderungen in Lieferantenverträgen?
Ihr Kunde gibt seine eigenen Pflichten an Sie weiter.
NIS2. Artikel 21 Absatz 2 Buchstabe d macht die Sicherheit der Lieferkette zu einer Mindestmaßnahme, einschließlich „sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“. Artikel 21 Absatz 3 verpflichtet den Kunden, die spezifischen Schwachstellen jedes unmittelbaren Anbieters sowie die Qualität seiner Produkte und seiner Cybersicherheitspraktiken zu berücksichtigen, einschließlich der sicheren Entwicklung. Erwägungsgrund 85 ermutigt Einrichtungen, Cybersicherheitsmaßnahmen in die Verträge mit ihren unmittelbaren Anbietern aufzunehmen. Die Sicht des Kunden behandelt Sicherheit der Lieferkette unter NIS2.
Durchführungsverordnung (EU) 2024/2690. Sie gilt für DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Content-Delivery-Netzwerken, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. Nummer 5.1.4 ihres Anhangs verlangt, dass deren Verträge mit Lieferanten „gegebenenfalls“ die acht Punkte aus der Tabelle festlegen. Nummer 5.2 verlangt ein Verzeichnis der unmittelbaren Anbieter. Andere Einrichtungen sind an die Liste nicht gebunden. Sie ist dennoch eine konkrete amtliche Lesart von Artikel 21 Absatz 2 Buchstabe d. Rechnen Sie also damit, wer auch immer Ihr Kunde ist.
ISO/IEC 27001:2022. Anhang A enthält fünf Lieferanten-Controls: 5.19 Informationssicherheit in Lieferantenbeziehungen, 5.20 Behandlung von Informationssicherheit in Lieferantenvereinbarungen, 5.21 Umgang mit der Informationssicherheit in der IKT-Lieferkette (Informations- und Kommunikationstechnik), 5.22 Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen sowie 5.23 Informationssicherheit für die Nutzung von Cloud-Diensten. Für einen zertifizierten Kunden ist Ihre Anlage meist der Weg, seinem Auditor zu zeigen, dass 5.20 in der Praxis funktioniert.
In der Raumfahrt würde der im Juni 2025 von der Kommission vorgeschlagene EU Space Act (EU-Weltraumgesetz) Anforderungen an die Sicherheit der Lieferkette für Betreiber einführen. Es ist noch ein Vorschlag: Stand September 2026 haben weder das Parlament noch der Rat einen Standpunkt angenommen. Kunden formulieren oft schon für das Regelwerk, das sie erwarten: siehe Raumfahrtzulieferer und die vier Regelwerke.
Was verlangt jede Klausel einer Sicherheitsanlage?
Die ersten sieben Klauseln entsprechen Nummer 5.1.4. Die letzten drei sind kommerziell. Die folgenden Fristen geben wieder, was Sicherheitsanlagen in der Praxis üblicherweise enthalten, und sind keine gesetzlichen Vorgaben.
1. Sicherheitsanforderungen: eine benannte Norm, „oder gleichwertig“
Die Klausel nennt ISO 27001, eine Branchennorm oder NIST und ergänzt „oder gleichwertig“. Bei diesem Wort entspannen sich Lieferanten, und genau das sollten sie nicht. Gleichwertig heißt: Der Kunde entscheidet später, meist während eines Audits, ob das, was Sie haben, gleichwertig ist.
Was sie kostet: nichts bei der Unterschrift, viel bei der Erfüllung ohne Zertifikat. Ein Zertifikat beendet die Diskussion, wenn sein Anwendungsbereich die Leistung abdeckt, die Sie erbringen. Ohne Zertifikat wird daraus eine Beweisführung, jedes Mal. So oder so beantwortet es nicht die Klauseln zu Meldefristen, namentlichen Zugriffen, Unterauftragnehmern oder Datenrückgabe. Wie weit ein Zertifikat reicht, zeigt ISO 27001 und NIS2.
2. Personal: Schulung, Hintergrundüberprüfung und namentliche Zugriffe
Nummer 5.1.4 umfasst Sensibilisierung, Kompetenzen, Schulung und Hintergrundüberprüfung der Beschäftigten. Sicherheitsanlagen verlangen zusätzlich eine namentliche Liste der Personen mit Zugriff statt einer Kopfzahl, manchmal auch Bedingungen zur Staatsangehörigkeit.
Was sie kostet: eine Zugriffsliste, die stimmt. In der Praxis ist dies die Klausel, an der Lieferanten am häufigsten scheitern, und der Grund ist strukturell, nicht Nachlässigkeit: Zugriffe werden präzise vergeben und aus dem Gedächtnis entzogen. Wie Betreiber die Liste prüfen, steht in Zugriff auf das Bodensegment.
3. Meldung von Sicherheitsvorfällen innerhalb einer festen Frist
Die Verordnung sagt „unverzüglich“. Sicherheitsanlagen machen daraus Stunden: 24 ab Kenntnisnahme sind üblich, manchmal 12, gelegentlich 4. Der Kunde hat seine eigene Frist: Eine Einrichtung im Anwendungsbereich muss innerhalb von 24 Stunden, nachdem sie Kenntnis von einem erheblichen Sicherheitsvorfall erlangt hat, eine Frühwarnung übermitteln (Artikel 23 NIS2). Für personenbezogene Daten verpflichtet Artikel 33 Absatz 2 DSGVO den Auftragsverarbeiter, dem Verantwortlichen eine Verletzung unverzüglich zu melden.
Zwei Fallen. Die Frist beginnt mit der Kenntnisnahme, und die hängt von einer Erkennung ab, die Sie vielleicht nicht haben. Und viele Anlagen erfassen Vorfälle in Ihrer eigenen Umgebung, auch wenn die Systeme des Kunden unberührt bleiben.
Was sie kostet: eine erreichbare, namentlich benannte Kontaktperson, eine schriftliche Festlegung, was als Vorfall gilt, und Logs, die lange genug aufbewahrt werden, um die Folgefragen zu beantworten. Eine Zwölf-Stunden-Frist ist wertlos, wenn die Logs nach sieben Tagen überschrieben werden.
4. Audit- und Inspektionsrechte
Ein Audit nach Ankündigung, manchmal durch Dritte, vor Ort oder bei Ihren Unterauftragnehmern. Nummer 5.1.4 Buchstabe e lässt stattdessen Auditberichte zu. Artikel 28 Absatz 3 Buchstabe h DSGVO verpflichtet den Auftragsverarbeiter, Überprüfungen, einschließlich Inspektionen, zu ermöglichen und dazu beizutragen. In der Praxis nutzen Kunden dieses Recht eher nach einem Vorfall an anderer Stelle ihrer Lieferkette, mit kurzer Ankündigungsfrist.
Was sie kostet: Nachweise innerhalb der Ankündigungsfrist. Beträgt die Frist zehn Arbeitstage und brauchen Sie drei Wochen, um Ihre Nachweise zusammenzustellen, verstoßen Sie gegen eine Klausel, die Sie für erfüllt hielten.
5. Umgang mit Schwachstellen und Patches
Ein Meldeweg, über den man Ihnen Schwachstellen melden kann, eine Pflicht, sie zu bearbeiten, und oft Behebungsfristen nach Schweregrad: sieben Tage für kritische und dreißig für hohe sind üblich. Die Frist läuft ab der Offenlegung, nicht ab dem Zeitpunkt, an dem Sie es bemerkt haben. Wenn Sie nicht erfassen, was bei Ihnen läuft, können Sie nicht wissen, ob die Frist läuft.
Was sie kostet: eine veröffentlichte Kontaktadresse, eine zuständige Person für die Triage und ein Abhängigkeitsinventar für alles, was Sie ausliefern.
6. Unterauftragsvergabe und Weitergabe der Pflichten
Unterauftragnehmer vorab offenlegen, ihnen gleichwertige Bedingungen auferlegen und oft vor dem Hinzuziehen eines neuen die schriftliche Zustimmung einholen. Für personenbezogene Daten verbietet Artikel 28 Absatz 2 DSGVO dem Auftragsverarbeiter bereits, einen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch zu nehmen.
Lesen Sie die Definition. „Unterauftragnehmer“ ist oft so formuliert, dass Cloud- und SaaS-Anbieter darunter fallen. Ein Lieferant, der seinen Hosting-Anbieter, seinen CI-Dienst und sein Ticketsystem nicht aufgeführt hat, ist schon bei Unterzeichnung nicht konform.
Was sie kostet: ein gepflegtes Lieferantenverzeichnis mit Sicherheitsbedingungen und Überprüfungsterminen, das Sie ohnehin gebraucht hätten.
7. Rückgabe und Vernichtung bei Vertragsende
Kundendaten innerhalb einer festgelegten Frist zurückgeben oder vernichten und dies schriftlich bescheinigen. Nummer 5.1.4 Buchstabe h nennt die Rückholung und Entsorgung der Informationen, die der Lieferant erhalten hat. Artikel 28 Absatz 3 Buchstabe g DSGVO sieht für personenbezogene Daten eine ähnliche Pflicht vor, nach Wahl des Verantwortlichen.
Die Bescheinigung ist das Problem. Sie setzt voraus, dass Sie jede Kopie kennen: Produktion, Backups, das Analytics-Data-Warehouse, den Laptop des Entwicklers, das Support-Ticket mit Anhang. Die meisten Lieferanten unterschreiben diese Klausel und könnten sie heute nicht einhalten.
Was sie kostet: eine Datenlandkarte. Ein sinnvoller Punkt für die Formulierung: Backups laufen im normalen Rotationszyklus ab, mit genannter Dauer.
8. Datenstandort, Souveränität und Exportkontrolle
Wo Daten gespeichert werden dürfen, welche Rechtsordnungen ausgeschlossen sind, wer von wo darauf zugreifen darf. Was sie kostet: zu wissen, wo jedes Tool Daten speichert, einschließlich der Backup- und Log-Kopien, die man leicht vergisst.
9. Haftung, Freistellung und Versicherung
Eine Ausnahme von der Haftungsobergrenze für Sicherheitsverletzungen, eine Freistellung von behördlichen Bußgeldern und Ansprüchen Dritter und eine Cyberversicherung mit festgelegter Deckungssumme. Was sie kostet: echtes Geld. Ihr Anwalt und Ihr Versicherer sollten sie lesen, bevor Sie unterschreiben.
10. Kündigung bei einem gravierenden Sicherheitsvorfall
Das Recht zur Kündigung, manchmal fristlos, bei einem gravierenden Sicherheitsvorfall. Was sie kostet: nichts, bis es passiert, und alles, wenn es passiert. „Gravierend“ ist selten definiert, und eine Definition ist mehr wert als ein Tag weniger bei der Meldefrist.
Welche Klauseln einer Sicherheitsanlage können Sie verhandeln?
In der Praxis erwarten Kunden bei manchen Klauseln Widerstand, bei anderen nicht. Wer bei den falschen drängt, wirkt unvorbereitet.
- Haftung und Freistellung. Eine unbegrenzte Freistellung von behördlichen Bußgeldern ist in ersten Entwürfen üblich und wird oft auf eine Obergrenze heruntergehandelt, die an den Vertragswert gekoppelt ist.
- Definitionen. Eine Schwelle für „Sicherheitsvorfall“ und „gravierender Sicherheitsvorfall“ wird meist akzeptiert, und sie macht aus einer offenen eine begrenzte Pflicht.
- Audit-Modalitäten. Zehn Arbeitstage Ankündigung statt fünf, einmal jährlich statt auf Abruf, remote für Routineprüfungen. Auditberichte statt eines Audits, was Nummer 5.1.4 Buchstabe e selbst zulässt.
Schwerer zu bewegen: die Meldepflicht, die Weitergabe an Unterauftragnehmer und die Sicherheitsanforderungen, weil der Kunde sie seiner eigenen Behörde oder seinem Auditor vorweisen muss. Verhandeln Sie die Details (die Frist, die Definition, die Liste), nicht die Pflicht.
Wie antworten Sie auf eine Sicherheitsanlage?
- Lesen Sie zuerst die Definitionen: Sicherheitsvorfall, gravierender Sicherheitsvorfall, Unterauftragnehmer, Kundendaten.
- Kennzeichnen Sie jede Pflicht: heute mit Nachweis erfüllt, bis zu einem Datum erfüllt oder Änderungsvorschlag.
- Prüfen Sie jede Frist gegen Ihre tatsächliche Erkennungszeit und Ihre Log-Aufbewahrung.
- Schlagen Sie bei Änderungen eine Alternative vor, statt nur zu streichen.
- Geben Sie nach der Unterzeichnung jeder Pflicht eine zuständige Person, damit sie gelebt und nicht abgeheftet wird.
CHECKLISTE: ANTWORT AUF EINE SICHERHEITSANLAGE
Kunde: ____________ Version der Anlage: ______ Zuständig: ____________
Status je Zeile: ERFÜLLT / ERFÜLLT BIS (Datum) / ÄNDERUNG
DEFINITIONEN
[ ] „Sicherheitsvorfall“: vermutet oder bestätigt? Bei uns oder nur bei ihnen?
[ ] „Gravierender Sicherheitsvorfall“ definiert? Sonst Schwelle vorschlagen
[ ] „Unterauftragnehmer“ umfasst Cloud und SaaS? Liste beigefügt?
KLAUSELN
[ ] 1 Norm: ________ Deckt der Zertifikatsbereich diese Leistung ab?
[ ] 2 Überprüfungsstufe: ______ Zugriffsliste aus den Systemen erzeugt?
[ ] 3 Meldung binnen ___ Stunden. Log-Aufbewahrung ___ Tage. Kontakt benannt?
[ ] 4 Audit-Ankündigung ___ Tage. Nachweise rechtzeitig? Berichte akzeptiert?
[ ] 5 Behebung: kritisch ___ Tage, hoch ___ Tage. Inventar aktuell?
[ ] 6 Zustimmung für neue Unterauftragnehmer nötig? Weitergabe geregelt?
[ ] 7 Rückgabe oder Vernichtung binnen ___ Tagen. Backup-Rotation ___ Tage
[ ] 8 Zulässige Standorte: ________ Tools, Backups und Logs geprüft?
[ ] 9 Haftungsgrenze bei Verletzungen: ______ Versicherungssumme: ______
[ ] 10 Kündigungsgrund definiert? Aussetzungsrecht? Abhilfefrist?
[ ] Nach Unterzeichnung: jede Pflicht hat Zuständige und ÜberprüfungsterminDie technische Realität: Die Anlage fragt nach dem Zustand, Ihre Unterlagen beschreiben eine Absicht
Jede Klausel ist im Präsens geschrieben und betrifft einen aktuellen Zustand. Wer gerade Zugriff hat. Was gerade läuft. Welche Lieferanten gerade mit Kundendaten in Berührung kommen.
Was ein Lieferant vorlegt, sind Dokumente, die beschreiben, was entschieden wurde. Die Zugriffsliste stimmte, als sie geschrieben wurde. Das Lieferantenverzeichnis war bei der letzten Überprüfung korrekt. Jedes davon ist eine Momentaufnahme einer Absicht. Diese Lücke ist ein Grund, warum Lieferantenzugriffe immer wieder in Vorfallberichten auftauchen, während Fragebögen ohne Befund zurückkommen. Der Fragebogen fragt, ob Sie einen Offboarding-Prozess haben, und Sie antworten wahrheitsgemäß mit Ja. Niemand fragt, ob er im letzten Monat gelaufen ist.
Weder Nummer 5.1.4 noch Anhang A sagt, wie die Antworten zwischen zwei Überprüfungen richtig bleiben. In der Praxis heißt das: die Zugriffsliste aus den Identitätssystemen erzeugen, sie mit HR-Daten und Vertragsenddaten abgleichen, verwaiste Konten als Feststellungen erfassen und die Arbeit selbst die Nachweise erzeugen lassen. So arbeitet die CloudSoul-Plattform: automatisierte Erfassung aus Ihren Systemen, und ein Mensch prüft die Ausnahmen. Um die Lücke zu messen, bevor ein Kunde es tut, beginnen Sie mit einem Sicherheitsaudit. Das Gesamtprogramm finden Sie auf der NIS2-Seite, die Branchensicht auf der Raumfahrt-Seite.
Checkliste zur Sicherheitsanlage: was Sie einmal aufbauen sollten
Sicherheitsanlagen stellen sich überschneidende Fragen in unterschiedlichen Worten. Bauen Sie den Kern einmal auf, dann ist die nächste Anlage eine Zuordnungsübung und kein Projekt.
- Eine Zugriffsliste, erzeugt aus den Identitätssystemen und abgeglichen mit HR-Daten und Verträgen.
- Ein Lieferantenverzeichnis, einschließlich Cloud und SaaS, mit Sicherheitsbedingungen und Überprüfungsterminen.
- Eine Log-Aufbewahrung, die eine Untersuchung übersteht, nicht eine, die nur einer Standardeinstellung genügt.
- Ein Abhängigkeitsinventar für das, was Sie ausliefern, und ein Schwachstellenkontakt mit zuständiger Person.
- Eine Datenlandkarte für Produktion, Backups, Logs, Tickets und Laptops.
- Ein benannter Kontakt für Sicherheitsvorfälle und eine schriftliche Festlegung, was als Vorfall gilt.
- Eine Antwort auf „oder gleichwertig“: ein Zertifikat mit passendem Anwendungsbereich oder Controls mit Nachweisen.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 21 Absatz 2 Buchstabe d, Artikel 21 Absatz 3 und Artikel 23 sowie Erwägungsgrund 85, EUR-Lex.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Anhang, Nummern 5.1.4 und 5.2, EUR-Lex.
- Verordnung (EU) 2016/679 (DSGVO), Artikel 28 und 33, EUR-Lex.
- ISO/IEC 27001:2022, Controls 5.19 bis 5.23 aus Anhang A, ISO.
- Europäische Kommission, Vorschlag für eine Verordnung über die Sicherheit, Resilienz und Nachhaltigkeit von Weltraumtätigkeiten in der Union (EU Space Act), COM(2025) 335, EUR-Lex; Europäisches Parlament, Legislative Observatory, Verfahren 2025/0335(COD); Rat der EU, Sachstandsbericht 8861/26 vom 8. Mai 2026, Register des Rates.
Häufige Fragen
Was ist eine Sicherheitsanlage im Vertrag?
Eine Sicherheitsanlage, auch Security Schedule oder Anlage Informationssicherheit genannt, ist der Teil eines Lieferantenvertrags, der die Pflichten zur Informationssicherheit festlegt, die der Lieferant übernimmt. Anders als ein Sicherheitsfragebogen ist sie verbindlich, und jede Pflicht ist meist mit einer Frist, einem Auditrecht und einer Folge bei Verstoß verbunden.
Welche Anforderungen an die Informationssicherheit sollte ein Lieferantenvertrag enthalten?
Die Durchführungsverordnung (EU) 2024/2690 nennt acht Punkte, jeweils gegebenenfalls: Sicherheitsanforderungen; Sensibilisierung, Kompetenzen und Schulung der Beschäftigten; Hintergrundüberprüfung; unverzügliche Meldung von Sicherheitsvorfällen; Auditrechte oder Auditberichte; Umgang mit Schwachstellen; Regeln zur Unterauftragsvergabe; Pflichten bei Vertragsende, etwa Rückgabe und Entsorgung von Informationen.
Verlangt NIS2 Sicherheitsklauseln in Lieferantenverträgen?
Artikel 21 Absatz 2 Buchstabe d macht die Sicherheit der Lieferkette zu einer Mindestmaßnahme, und Erwägungsgrund 85 ermutigt Einrichtungen, Cybersicherheitsmaßnahmen in die Verträge mit ihren unmittelbaren Anbietern aufzunehmen. Die Liste der Vertragspunkte in der Durchführungsverordnung (EU) 2024/2690 bindet nur die digitalen Anbieter, die unter diese Verordnung fallen, und jeder Punkt gilt nur, soweit angemessen.
Welche Klauseln einer Sicherheitsanlage kann ein Lieferant verhandeln?
In der Praxis erwarten Kunden eine Diskussion über Haftung und Freistellung, über die Definitionen von Sicherheitsvorfall und gravierendem Sicherheitsvorfall sowie über Ankündigungsfristen und Häufigkeit von Audits. Meldepflicht, Weitergabe an Unterauftragnehmer und Sicherheitsanforderungen lassen sich schwerer bewegen: Verhandeln Sie dort die Details, nicht die Pflicht.
Erfüllt eine ISO-27001-Zertifizierung eine Sicherheitsanlage?
Sie erfüllt eine Klausel, die ISO 27001 nennt, sofern der Anwendungsbereich des Zertifikats die Leistung abdeckt, die Sie erbringen. Die Klauseln zu Meldefristen, namentlichen Zugriffen, Unterauftragnehmern und Datenrückgabe erfüllt sie nicht, denn diese betreffen den Vertrag, nicht das Managementsystem.
