Bei Nooco haben der Schutz unserer Daten und Systeme, die Vertraulichkeit unserer Informationen sowie der Schutz der Daten unserer Kunden oberste Priorität. Wir sind überzeugt, dass eine belastbare und vertrauensvolle Beziehung zu unseren Partnern für diese Sicherheit unerlässlich ist. Deshalb verlangen wir von allen Lieferanten, die unsere Daten verarbeiten, speichern oder auf sie zugreifen, sowie von allen, die Leistungen mit möglichen Auswirkungen auf unsere Sicherheit erbringen, die Einhaltung strenger Sicherheitsstandards.

Diese Anforderungen sind eine zwingende Voraussetzung für jede Geschäftsbeziehung mit Nooco und müssen während unserer gesamten Zusammenarbeit strikt eingehalten werden. 

Der Umfang und die Relevanz dieser  Anforderungen richten sich nach Art und Umfang der erbrachten Leistungen, nach dem Grad des Zugriffs auf Daten oder Systeme von Nooco und nach den damit verbundenen Risiken. 

Mit der Zusammenarbeit mit Nooco erklären sich unsere Lieferanten bereit, diese Standards einzuhalten, und erkennen an, dass sie fester Bestandteil des zwischen uns geschlossenen Vertrags sind. Die Nichteinhaltung dieser Anforderungen stellt eine wesentliche Vertragsverletzung dar und kann zur Kündigung unserer Vereinbarungen führen.

1. Governance und Sicherheitsmanagement

  • Sicherheitsrichtlinien und -verfahren: Der Lieferant muss über dokumentierte und aktuelle Richtlinien und Verfahren zur Informationssicherheit verfügen, die alle relevanten Bereiche seiner Tätigkeit abdecken.
  • Personal und Sensibilisierung: Mitarbeitende des Lieferanten mit Zugriff auf Daten oder Systeme von Nooco müssen regelmäßig geschult und für bewährte Sicherheitspraktiken sensibilisiert werden. Der Lieferant verpflichtet sich außerdem sicherzustellen, dass sein eigenes Personal sämtliche in diesem Dokument festgelegten Sicherheitspflichten einhält.
  • Compliance und Zertifizierung: Der Lieferant muss alle geltenden Gesetze und Vorschriften zum Datenschutz einhalten, insbesondere die Datenschutz-Grundverordnung (DSGVO). Nooco empfiehlt seinen Lieferanten nachdrücklich, die Zertifizierung ISO 27001 oder eine gleichwertige Zertifizierung zu erwerben und aufrechtzuerhalten.

2. Datenzugriff und Datenschutz

  • Datenzugriff: Der Zugriff auf die Daten und Umgebungen von Nooco ist strikt auf die für den Auftrag erforderlichen Daten beschränkt und muss dem Prinzip der geringsten Rechte folgen.
  • Starke Authentifizierung: Die Multi-Faktor-Authentifizierung (MFA) ist für jeden Zugriff auf unsere Umgebungen oder Daten verpflichtend. Der Lieferant verpflichtet sich, die Zwei-Faktor-Authentifizierung (2FA) für alle privilegierten Konten zu aktivieren, die im Rahmen der für Nooco erbrachten Leistungen genutzt werden.
  • Single Sign-On (SSO): Der Lieferant muss eine mit Okta kompatible SSO-Lösung für die von Nooco genutzten Dienste bereitstellen. 
  • Nachvollziehbarkeit von Handlungen: Der Lieferant muss jederzeit die Nachvollziehbarkeit der von seinem Personal und seinen Systemen durchgeführten Handlungen sicherstellen, sodass erkennbar ist, wer was wann und wo getan hat.
  • Datenverschlüsselung: Alle mit dem Lieferanten ausgetauschten Daten (die „Nooco-Daten“) müssen bei der Übertragung (TLS 1.2 oder höher) in allen Fällen und im Ruhezustand (AES 256 oder gleichwertig) verschlüsselt werden, sofern dies technisch möglich ist.
  • Datenhosting: Alle Nooco-Daten müssen ausschließlich innerhalb der Europäischen Union (EU) gehostet werden, sofern Nooco dem nicht vorab ausdrücklich schriftlich zugestimmt hat.
  • Verbot der Datennutzung (KI): Die Nooco-Daten dürfen in keinem Fall direkt oder indirekt für das Training, die Entwicklung oder die Verbesserung von Modellen künstlicher Intelligenz, von Machine-Learning-Algorithmen oder von vergleichbaren Technologien verwendet werden.
  • Weiterverwendung und Übermittlung von Daten: Die Nooco-Daten dürfen ohne vorherige schriftliche Genehmigung von Nooco weder weiterverwendet noch übermittelt werden.
  • Asset-Management: Der Lieferant muss über eine Richtlinie zum Asset-Management nach bewährten Praktiken verfügen und die Nooco-Daten als vertrauliche oder gleichwertig eingestufte Daten behandeln.
  • Rückführbarkeit der Daten: Die von Nooco an den Lieferanten übergebenen Daten müssen jederzeit in einem Standardformat und innerhalb von höchstens einem Monat wiederherstellbar bleiben.
  • Löschung der Daten: Nach Abschluss der Leistungen müssen die Nooco-Daten sicher und unwiderruflich innerhalb von zwei (2) Monaten nach Ende der Vertragsbeziehung zwischen den Parteien gelöscht werden.
  • Unterauftragsvergabe: Der Lieferant verpflichtet sich sicherzustellen, dass alle seine Unterauftragnehmer und Vertragspartner diese Sicherheitsanforderungen einhalten. Jede Einschaltung eines Unterauftragnehmers, die Nooco-Daten oder die Leistungen betrifft, bedarf der vorherigen schriftlichen Zustimmung von Nooco. Der Lieferant muss uns über jede Änderung oder Ergänzung von Unterauftragnehmern informieren. Nooco behält sich das Recht vor, einer Unterauftragsvergabe zu widersprechen, wenn diese ein Risiko für die Sicherheit oder die Vertraulichkeit darstellt. Besteht der Lieferant dennoch auf der Beauftragung eines beanstandeten Unterauftragnehmers, ist Nooco berechtigt, den Vertrag mit dem Lieferanten zu kündigen, ohne dass dieser Ansprüche gegen Nooco geltend machen kann. Der Lieferant bleibt vollumfänglich verantwortlich für die Einhaltung seiner Pflichten und der Pflichten seiner Unterauftragnehmer.

3. Management von Sicherheitsvorfällen

  • Meldung von Vorfällen: Der Lieferant ist verpflichtet, jeden tatsächlichen oder vermuteten Sicherheitsvorfall, der Daten oder Systeme von Nooco betrifft, innerhalb von 48 Stunden nach dessen erster Feststellung zu melden.
  • Einzelheiten zum Vorfall: Die Meldung muss die bekannten Einzelheiten zu den Auswirkungen, die unmittelbar ergriffenen Maßnahmen und einen Plan zur Behebung enthalten.
  • Zusammenarbeit: Der Lieferant verpflichtet sich, während der Untersuchung und der Behebung eines Vorfalls uneingeschränkt mit Nooco zusammenzuarbeiten.
  • Kontakt im Fall eines Vorfalls: Alle Meldungen von Vorfällen sind zu senden an soc@deepki.com.

4. Systemsicherheit und regelmäßige Überprüfung

  • Maßnahmen zur Systemsicherheit: Der Lieferant verpflichtet sich, ausreichende Sicherheitsmaßnahmen zum Schutz seiner Informationssysteme und der für Nooco erbrachten Leistungen umzusetzen. Dazu gehören die Installation und Wartung aller erforderlichen Hard- und Softwareressourcen (Antivirenlösungen, Anti-Malware-Systeme, EPP, EDR usw.) in den von ihren Anbietern oder Herstellern unterstützten Versionen sowie die Einspielung der aktuellen Sicherheitsupdates.
  • Schwachstellen- und Patch-Management: Der Lieferant muss über einen stringenten Prozess zur Erkennung und Behebung von Schwachstellen verfügen. Kritische Sicherheitspatches müssen innerhalb von 14 Tagen nach ihrer Veröffentlichung eingespielt werden. Bei Schwachstellen mit „hohem“ oder „kritischem“ Risiko (gemäß CVSS v3.1) verkürzt sich diese Frist auf 7 Tage. Ist die Einhaltung dieser Fristen nicht möglich, ist Nooco unverzüglich zu informieren und es sind vertretbare vorübergehende Gegenmaßnahmen vorzuschlagen.
  • Konfiguration der Kundengeräte: Werden IT-Geräte von Nooco dem Lieferanten im Rahmen der Leistungen überlassen, ist es dem Lieferanten untersagt, die Hard- und Softwarekonfigurationen sowie die auf dem Arbeitsplatzrechner oder anderen Geräten eingerichteten Sicherheitselemente zu verändern.
  • Penetrationstests: Für kritische Leistungen werden regelmäßige Penetrationstests durch unabhängige Dritte dringend empfohlen.
  • Geschäftskontinuität und Backups: Der Lieferant muss über getestete Pläne zur Geschäftskontinuität (BCP) und zur Wiederherstellung nach Katastrophen (DRP) verfügen. Der Lieferant verpflichtet sich, geeignete Backups umzusetzen, um die Kontinuität des Dienstes sicherzustellen, mit einem RPO (Recovery Point Objective) von mindestens 24 Stunden und einem RTO (Recovery Time Objective) von mindestens 48 Stunden, sofern im Vertrag nichts anderes festgelegt ist. Diese Backups müssen für die Daten von Nooco regelmäßig erfolgen, verschlüsselt und getestet werden.
  • Sichere Entwicklung: Der Lieferant muss über eine Richtlinie zur sicheren Entwicklung nach dem Stand der Technik verfügen und diese bereits ab der Konzeptionsphase und über den gesamten Lebenszyklus des Dienstes anwenden. Testdaten müssen sorgfältig ausgewählt, geschützt und kontrolliert werden, wobei die Verwendung echter und sensibler Daten zu vermeiden ist, sofern sie nicht zwingend erforderlich ist.
  • Überprüfung der Praktiken: Nooco behält sich das Recht vor, eine jährliche Überprüfung der Sicherheitspraktiken des Lieferanten zu verlangen sowie Audits durchzuführen oder Kontrollfragebögen zu versenden, um die Einhaltung dieser Anforderungen zu prüfen.

Referenz: Dieses Dokument gilt standardmäßig für jede Vertragsbeziehung mit Nooco, sofern im Vertrag nicht ausdrücklich etwas anderes vereinbart ist.

Version: v1.0 – Veröffentlicht am 3. November 2025 – https://www.nooco.com/vendors-security-requirements/