Hardware-Service und IT-Betreuung: was Verträge regeln sollten

Kümmert sich ein IT-Dienstleister automatisch um die Sicherheit?

Nein, IT-Betreuung schließt IT-Sicherheit nicht automatisch ein. Darauf weist das NRW-Kompetenzzentrum DIGITAL.SICHER.NRW hin. Was vor der Unterschrift geklärt sein soll, gehört deshalb ausdrücklich in den Vertrag. Stand: Oktober 2026. (Quelle: digital-sicher.nrw/news/news-zum-thema-digitale-selbstverteidigung/woran-erkennen-sie-gute-it-dienstleistende)

Der Vertragstyp entscheidet, ob Tätigkeit oder Erfolg geschuldet ist. Beim Dienstvertrag nach § 611 BGB werden Dienste geschuldet, etwa Support-Stunden. Beim Werkvertrag nach § 631 BGB ist es ein Erfolg, etwa ein fertig eingerichteter Server. Stand: Oktober 2026. (Quellen: gesetze-im-internet.de/bgb/__611.html und gesetze-im-internet.de/bgb/__631.html)

Welche Sicherheitsregeln gehören in den Betreuungsvertrag?

Ein Outsourcing-Vertrag braucht Sicherheitsklauseln, einen Zustimmungsvorbehalt und ein Prüfrecht. So verlangt es der IT-Grundschutz-Baustein OPS.2.3 des Bundesamts für Sicherheit in der Informationstechnik (BSI). Gemeint sind Aspekte der Informationssicherheit, Zustimmung bei Weiterverlagerung an Dritte und ein Recht auf Prüfung, Revision und Audit. Eine Verschwiegenheitserklärung soll vereinbart werden. Stand: Oktober 2026. (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/04_OPS_Betrieb/OPS_2_3_Nutzung_von_Outsourcing_Edition_2023.pdf)

Das Vertragsende muss laut BSI-Baustein OPS.2.3 vorab geregelt sein. Das gilt für geplante wie ungeplante Beendigung. Festzulegen ist, wie Informationen, Daten und Hardware zurückgegeben werden. Gesetzliche Aufbewahrungsfristen sind zu beachten. Danach sollen die Zugriffsrechte des Dienstleisters nachweislich aufgehoben sein. Stand: Oktober 2026. (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/04_OPS_Betrieb/OPS_2_3_Nutzung_von_Outsourcing_Edition_2023.pdf)

Ist die Datensicherung Teil des Auftrags?

Die Datensicherung sollte ausdrücklich im Auftrag stehen. Der BSI-Baustein CON.3 verlangt, Sicherungen räumlich getrennt von den gesicherten Systemen aufzubewahren. Sie müssen gegen unbefugten Zugriff und gegen Überschreiben geschützt sein. Regelmäßig ist zu testen, ob sich die Daten einwandfrei und in angemessener Zeit zurückspielen lassen. Stand: Oktober 2026. (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/03_CON_Konzepte_und_Vorgehensweisen/CON_3_Datensicherungskonzept_Edition_2023.pdf)

Wann brauchen Sie einen Vertrag zur Auftragsverarbeitung?

Fernwartung und Support brauchen einen AV-Vertrag, sobald ein Datenzugriff möglich ist. So sieht es das DSK-Kurzpapier Nr. 13. Eine rein technische Wartung von Stromzufuhr, Kühlung oder Heizung fällt nicht darunter. Als typische Fälle nennt die DSK auch ausgelagerte Backups und die Datenträgerentsorgung. Stand: Oktober 2026. (Quelle: datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf)

Ein Auftragsverarbeiter darf Subunternehmer nur mit Ihrer Genehmigung einsetzen. Die vorherige schriftliche oder elektronische Genehmigung verlangt Art. 28 Abs. 2 DSGVO, wie das DSK-Kurzpapier Nr. 13 erläutert. Datenschutzverletzungen muss er Ihnen nach Art. 33 Abs. 2 DSGVO unverzüglich melden. Stand: Oktober 2026. (Quelle: datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf)

Was bedeutet NIS-2 für die IT-Betreuung?

NIS-2-pflichtige Kunden müssen ihre IT-Dienstleister in die Sicherheit einbeziehen. Wichtige und besonders wichtige Einrichtungen müssen nach § 30 Abs. 2 Nr. 4 BSI-Gesetz die Sicherheit der Lieferkette regeln. Das schließt die Beziehungen zu unmittelbaren Diensteanbietern ein. Weiter verlangt § 30 Abs. 2 Backup-Management, Notfallwiederherstellung und Multi-Faktor-Authentifizierung. Ein Dienstleister solcher Kunden muss daher mit entsprechenden Vertragspflichten rechnen. Stand: Oktober 2026. (Quelle: gesetze-im-internet.de/bsig_2025/__30.html)

Wie lässt sich der Sicherheitsstand vorab prüfen?

Ein standardisierter Einstieg ist der CyberRisikoCheck nach DIN SPEC 27076. Ein geschulter IT-Dienstleister prüft darin in ein bis zwei Stunden 27 Anforderungen aus sechs Themenbereichen. Das Unternehmen erhält laut BSI einen Bericht mit Punktzahl und Handlungsempfehlungen nach Dringlichkeit. Die Webanwendung dafür stellt das BSI den Dienstleistern kostenfrei bereit. Stand: Oktober 2026. (Quelle: bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/KMU/CyberRisikoCheck/CyberRisikoCheck_node.html)

Sicherheitsanalysen fördert das NRW-Programm MID-Digitale Sicherheit. Erstattet werden 50 Prozent, höchstens 15.000 Euro. Förderfähig sind etwa Analysen der Infrastruktur, Penetrationstests, das Beheben von Schwachstellen und ein Notfallplan. Beauftragte Dienstleister müssen nicht speziell zertifiziert sein. Stand: Oktober 2026. (Quelle: mittelstand-innovativ-digital.nrw/mid-digitale-sicherheit)

Worauf sollten Sie im Angebot oder Vertrag achten?

• Leistungsumfang klar: Support-Stunden (Dienstvertrag) oder ein bestimmtes Ergebnis (Werkvertrag).
• IT-Sicherheit ausdrücklich als Leistung genannt, nicht stillschweigend vorausgesetzt.
• Vertrag zur Auftragsverarbeitung, wenn Fernwartung Zugriff auf personenbezogene Daten erlaubt.
• Zustimmungsvorbehalt für Subunternehmer, Prüf- und Auditrecht, Verschwiegenheitserklärung.
• Datensicherung: getrennter Aufbewahrungsort, Schutz vor Überschreiben, regelmäßiger Rücksicherungstest.
• Regeln für das Vertragsende: Rückgabe von Daten und Hardware, Entzug aller Zugänge.

Wer hilft in Ostwestfalen-Lippe neutral weiter?

DIGITAL.SICHER.NRW berät Betriebe in Nordrhein-Westfalen kostenfrei und individuell zur digitalen Sicherheit. Themen sind etwa Backups, Updates und sichere Passwörter. Dazu kommen Webinare und Sprechstunden. Stand: Oktober 2026. (Quelle: digital-sicher.nrw/sprechstunde/erstberatung)

Bei einem konkreten Angriff hilft die Zentral- und Ansprechstelle Cybercrime (ZAC NRW). Auf sie verweist die IHK Ostwestfalen zu Bielefeld auf ihrer Seite zur Cybersicherheit. Die IHK nennt dort außerdem das BSI, den Verein Deutschland sicher im Netz und DIGITAL.SICHER.NRW. Stand: Oktober 2026. (Quelle: ihk.de/ostwestfalen/beratung-und-service/digitalisierung/cybersecurity-6667238)

Was beim Kauf der Geräte gilt, steht unter Hardware einkaufen als Unternehmen, die Rechtsgrundlagen unter IT-Recht für kleine Unternehmen.