Leistungsrahmen

Am Anfang steht der Leistungsrahmen: gewünschter Leistungsbeginn, ein Stundenkontingent, das ab Start bereitsteht, und die abgedeckten Standorte. Als Leistungsoption nehmen wir auf, dass ungenutzte Stunden für Notfallübungen, Penetrationstests oder Härtungsberatung eingesetzt werden können, damit ein vorfallfreies Jahr nicht zum reinen Kostenposten wird. Laufzeit, Verlängerung und die übrigen Vertragsbedingungen legt Ihre Vergabestelle fest.

Reaktion, SLA & Verfügbarkeit

Der Kern eines Retainers ist die garantierte Reaktion. Das Leistungsverzeichnis fordert eine durchgängige 24/7-Erreichbarkeit über eine dedizierte Notfall-Hotline, eine verbindliche Reaktionszeit bis zur qualifizierten Erstanalyse und, falls eine Remote-Analyse nicht ausreicht, eine garantierte Vor-Ort-Zeit im relevanten Raum. Servicesprachen Deutsch und Englisch sowie ein klar benannter Single Point of Contact sind verbindlich, nicht optional.

Das Preisblatt bildet sowohl eine Bereitstellungspauschale als auch eine reine Abrechnung nach Aufwand ab. Welche BSI-qualifizierten Anbieter es gibt und was die Qualifizierung technisch aussagt, erläutern wir im Leitfaden Incident-Response-Dienstleister auswählen.

Forensik- & Analyse-Services

Die forensische Tiefe entscheidet über die Qualität der Aufklärung. Das Leistungsverzeichnis listet Host-Forensik, Netzwerk-Forensik, Malware-Analyse und Cloud-Forensik, etwa für Microsoft 365, als geforderte Leistungsbereiche, optional erweitert um Mobile- und OT-Forensik. Für jede Disziplin lässt sich die Zahl der zertifizierten Expertinnen und Experten abfragen. Besonders wichtig ist die gerichtsverwertbare Beweissicherung unter dokumentierter Chain of Custody.

Ebenso verankern wir die gesamte Spanne von Detection und Analyse über Eindämmung und Bereinigung bis zur Wiederherstellung sowie ein abschließendes Post-Incident-Review. Damit ist der Leistungsumfang technisch klar beschrieben: Der Dienstleister analysiert nicht nur, sondern unterstützt bis zum Wiederanlauf des Normalbetriebs.

Krisenmanagement & Spezialleistungen

Ein schwerer Vorfall ist immer auch eine Krise der Organisation. Wir nehmen daher Krisenkommunikation nach innen und außen, die Übernahme des Projektmanagements im Ernstfall sowie, bei Ransomware, die Begleitung von Verhandlung und gegebenenfalls Zahlungsabwicklung als gesonderte Leistungen auf. Optional lässt sich eine Krisenreaktionsübung ausschreiben, in der typische Szenarien wie Ransomware, Datenabfluss oder ein Produktionsstillstand nach einem Angriff auf die OT durchgespielt werden. Diese Trennung macht transparent, welche Fähigkeiten der Anbieter über die reine Forensik hinaus mitbringt.

Technische Anbieterangaben

Das Leistungsverzeichnis fragt technische Angaben zum Anbieter ab, etwa Größe und Zertifizierungen des Incident-Response-Teams, eine vorhandene BSI-Qualifizierung als APT-Response-Dienstleister und eine ISO/IEC-27001-Zertifizierung. Ob und wie diese Angaben als Eignungskriterium dienen, legt Ihre Vergabestelle fest. Im deutschen Markt sind etwa secunet und die DCSO als BSI-qualifizierte Anbieter aktiv. Eine vollständige, fortlaufend gepflegte Marktübersicht aller Anbieter stellen wir als PDF zum Download bereit.

Preisblatt: gestaffelte Stundensätze

Das Preisblatt bildet die Realität eines Incident-Response-Einsatzes ab. Statt eines pauschalen Tagessatzes trennen wir die Bereitstellungspauschale für die 24/7-Bereitschaft, das vorab vereinbarte Stundenguthaben und die Stundensätze im aktiven Vorfall, die sich nach Einsatzdauer staffeln lassen. Hinzu kommen Positionen für planbare Beratung außerhalb eines Vorfalls, für ein optionales Onboarding sowie für Reise- und Übernachtungskosten. Marktüblich liegen die Stundensätze qualifizierter Anbieter aktuell etwa zwischen 250 und 350 Euro. So werden Angebote über die reine Stundensatz-Zahl hinaus vergleichbar. Reale Vergabeunterlagen zu IT-Sicherheitsbeschaffungen finden Sie im Vergabe-Archiv.