NACHTRAG: Verpflichtende DORA-Bestimmungen

Dieser Nachtrag zu den verpflichtenden DORA-Bestimmungen („Nachtrag“) ist Bestandteil des zwischen dem Lizenznehmer und FireMon (gemeinsam die „Parteien“) geschlossenen Softwarelizenz- und Dienstleistungsvertrags (nachfolgend der „Vertrag“) und wird hiermit in diesen einbezogen.

1. Einleitung

1.1. Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) („DORA“) ist eine EU-Rechtsvorschrift, die am 16. Januar 2023 in Kraft getreten ist und ab dem 17. Januar 2025 gilt. Die Rechtsvorschrift wirkt sich auf den zwischen den Parteien geschlossenen Vertrag aus.

1.2. Dieses Addendum ist eine Branchenvorlage, die von Marktteilnehmern des Eigenhandels erstellt wurde, um die nach DORA sowie den zugehörigen technischen Regulierungsstandards („RTS“) vorgeschriebenen Vertragsbestimmungen (zusammen die „Pflichtbestimmungen“) in die Verträge aufzunehmen.

1.3 Dieses Addendum dient ausschließlich dazu, die Pflichtbestimmungen in den Vertrag aufzunehmen. Alle übrigen Vertragsbestimmungen zwischen den Parteien bleiben unberührt. Im Falle eines Widerspruchs zwischen den Bestimmungen des Vertrags und den Bestimmungen dieses Addendums haben die Bestimmungen dieses Addendums Vorrang.

1.4. Groß geschriebene Begriffe, die in diesem Addendum verwendet, aber nicht definiert werden, haben die ihnen in DORA oder im Vertrag zugewiesene Bedeutung.

1.5. Ausgehend von Art und Nutzung der Software und der zugehörigen Supportleistungen zum Stichtag dieses Addendums haben die Parteien einvernehmlich festgestellt, dass die von FireMon im Rahmen des Vertrags bereitgestellte Software und die zugehörigen Supportleistungen keine kritischen oder wichtigen Funktionen im Sinne von Art. 3 Abs. 22 DORA umfassen. Der Lizenznehmer informiert FireMon, falls sich diese Einstufung ändert.

1.6. Diese Pflichtbestimmungen stellen eine rechtsverbindliche Änderung des Vertrags dar, die erforderlich ist, damit der Lizenznehmer seine eigenen gesetzlichen Pflichten oder die seiner verbundenen Unternehmen erfüllen kann. Dieses Addendum tritt am Datum der letzten nachstehenden Unterschrift oder, sofern es nicht unterzeichnet wird, zum Stichtag des Vertrags in Kraft und ist für beide Parteien verbindlich.

2. Softwarebeschreibungen und Leistungsüberwachung

2.1. Die Parteien vereinbaren Folgendes:

2.1.1. Der Vertrag legt die Funktionalität, die Funktionen und die zugehörigen Leistungen (die „Software“) fest, die FireMon dem Lizenznehmer bereitstellt.
2.1.2. Die Software wird in den Räumlichkeiten des Lizenznehmers installiert. FireMon ist im Zusammenhang mit der Software oder den zugehörigen Supportleistungen weder dafür vorgesehen noch verpflichtet, personenbezogene oder anderweitig sensible Daten oder nicht personenbezogene Daten des Lizenznehmers im Sinne von DORA („Lizenznehmerdaten“) zu erhalten, zu speichern oder zu verarbeiten. Der Lizenznehmer übermittelt FireMon keine Lizenznehmerdaten und stellt diese nicht bereit, sofern dies nicht erforderlich und zwischen den Parteien vereinbart ist.

2.2. FireMon stimmt den folgenden Anforderungen im Zusammenhang mit der Software und den zugehörigen Supportleistungen zu:

2.2.1. Soweit FireMon im Zusammenhang mit der Software oder den zugehörigen Supportleistungen Lizenznehmerdaten erhält, darauf zugreift, diese speichert oder anderweitig verarbeitet, hält FireMon geeignete Maßnahmen vor, die die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit dieser Lizenznehmerdaten im Einklang mit den geltenden Gesetzen und Vorschriften schützen.
2.2.2. Soweit FireMon Lizenznehmerdaten aufbewahrt oder verarbeitet, ermöglicht FireMon bei Insolvenz, Abwicklung oder Einstellung des Geschäftsbetriebs von FireMon oder bei Beendigung des Vertrags den Zugriff auf diese in Besitz oder unter Kontrolle von FireMon befindlichen Lizenznehmerdaten sowie deren Wiederherstellung und Rückgabe in einem leicht zugänglichen Format.
2.2.3. Kommt es zu einem IKT-bezogenen Vorfall im Zusammenhang mit der Software oder den zugehörigen Supportleistungen, leistet FireMon dem Lizenznehmer angemessene Unterstützung bei diesem Vorfall, und zwar ohne zusätzliche Kosten oder zu vorab festgelegten Kosten, unter Berücksichtigung von Art und Umfang des Vorfalls sowie der von FireMon erbrachten Leistungen.
2.2.4. FireMon arbeitet im Zusammenhang mit der Software und den zugehörigen Supportleistungen in angemessenem Umfang mit den zuständigen Behörden und Abwicklungsbehörden des Lizenznehmers sowie mit den von diesen Behörden benannten Personen zusammen, vorbehaltlich des geltenden Rechts und angemessener Anforderungen an Vertraulichkeit, Sicherheit und Zugriffskontrolle.
2.2.5. Soweit dies angesichts der von FireMon bereitgestellten Software und der zugehörigen Supportleistungen angemessen ist, nimmt FireMon an den einschlägigen Programmen des Lizenznehmers zur Sensibilisierung für IKT-Sicherheit und an Schulungen zur digitalen operationalen Resilienz teil, vorbehaltlich einer angemessenen Vorankündigung sowie einvernehmlich abgestimmter Termine und Inhalte.

3. Kündigung

3.1. Ungeachtet der im Vertrag enthaltenen Kündigungsbestimmungen kann der Lizenznehmer den betreffenden Vertrag in den folgenden Fällen mit sofortiger Wirkung kündigen:

wenn FireMon in erheblichem Maße gegen geltende Gesetze und/oder Vorschriften verstößt oder wenn ein wesentlicher Verstoß gegen die Bestimmungen dieses Addendums vorliegt;
wenn im Rahmen der Überwachung des IKT-Drittparteienrisikos Umstände festgestellt wurden, die geeignet erscheinen, die Erbringung der von FireMon gemäß diesem Addendum bereitgestellten Funktionen zu verändern, einschließlich wesentlicher Änderungen, die sich auf die Vereinbarung mit FireMon oder auf die Situation von FireMon auswirken können;
bei nachgewiesenen Schwächen von FireMon im Hinblick auf das gesamte IKT-Risikomanagement oder die Sicherheit der Software oder der zugehörigen Supportleistungen, gegebenenfalls einschließlich der Art und Weise, wie FireMon die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Lizenznehmerdaten sicherstellt, unabhängig davon, ob es sich um personenbezogene oder anderweitig sensible Daten oder um nicht personenbezogene Daten im Sinne von DORA handelt; oder
wenn die zuständige Behörde den Lizenznehmer aufgrund der Bedingungen oder Umstände der jeweiligen vertraglichen Vereinbarung und/oder des Vertrags nicht mehr wirksam beaufsichtigen kann.

3.2. Wird der Lizenznehmer von einer zuständigen Behörde oder Abwicklungsbehörde zur Kündigung eines Vertrags verpflichtet, kann der Lizenznehmer diesen Vertrag mit einer Frist von 90 Tagen schriftlich kündigen, sofern nicht eine kürzere Frist gilt und/oder von einer zuständigen Behörde oder Abwicklungsbehörde verlangt wird.

4. Sonstiges

4.1. Der Vertrag, seine Änderungen und dieses Addendum bilden die gesamte Vereinbarung zwischen den Parteien.

4.2. Wird eine Bestimmung von DORA ersetzt oder unwirksam oder erfordert DORA (einschließlich etwaiger Aktualisierungen der Contracting RTS und Subcontracting RTS) Änderungen an den Bestimmungen dieses Addendums, verhandeln die Parteien, soweit rechtlich erforderlich, nach Treu und Glauben und dokumentieren notwendige Änderungen durch eine schriftliche Änderung dieses Addendums im Einklang mit den geltenden Gesetzen und Vorschriften.

4.3. Das für den Vertrag geltende Recht gilt auch für die durch dieses Addendum ergänzten Bestimmungen, und die im Vertrag genannten Gerichte sind auch für die durch dieses Addendum ergänzten Bestimmungen zuständig.

4.4. Jede Partei trägt ihre eigenen Kosten, Verantwortlichkeiten und Haftungen in Bezug auf dieses Addendum und dessen Umsetzung.