[Seite 1]
Anforderung an die
Informationssicherheit
Anlage 6 zum Rahmenvertrag 1607_Breitbanbindung_DMZ_Bördeland
Aktenzeichen: 1607-DE-Breitbandanbindung-DMZ-Bördeland
Der Auftragnehmer erkennt die hier festgelegten Anforderungen zur Informationssicherheit an:
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 1 / 15
[Seite 2]
1 Allgemeine Anforderungen an die Informationssicherheit
1.1 Anwendungsbereich
Diese Anforderungen sind anwendbar, wenn der Auftragnehmer zur Erbringung der vertrag- lich vereinbarten Leistungen auf Informationen der BWI zugreift, diese verarbeitet oder spei- chert. Ergänzend wird bei Nutzung eines von der BWI bereitgestellten Clients auf die Richtli- nie Informationssicherheit im Umgang mit Arbeitsmitteln verwiesen.
Dies bedarf Maßnahmen zum Schutz der IT-Systeme, -Applikationen, -Netze und firmenver- traulichen Informationen vor ungewollter Offenlegung, unberechtigtem Zugriff, Manipulation, Schadsoftware, Hacking, Cyberangriffen und anderer Bedrohungen. Dazu ist es erforderlich, dass Geschäftspartner von BWI die nachfolgenden Regeln und Grundsätze einhalten und Schutzmaßnahmen weder außer Betrieb nehmen, umgehen oder in sonstiger Weise verän- dern.
Der Auftragnehmer verpflichtet sich zusätzlich zu den sonstigen vertraglichen Vereinbarun- gen, die hierin definierten Regeln und Grundsätze zu beachten sowie diese Unterlage seinen Mitarbeitern, die Zugang oder Zugriff auf IT-Systeme, -Applikationen und -Netze der BWI oder firmenvertrauliche Informationen erhalten, zur Kenntnis zu bringen, sie auf die Einhal- tung zu verpflichten und die Einhaltung in geeigneter Weise zu überprüfen.
Der Auftragnehmer wird alle Mitarbeiter und Dritte (Unterauftragnehmer), die an der Erbrin- gung der Leistungen beteiligt sind, in angemessener Weise anweisen, die Sicherheits- und Compliance-Anforderungen dieser Anlage zu beachten.
1.2 Geheimhaltungsvereinbarung
Wenn der Auftragnehmer Informationen der BWI oder Zugang zu ihnen erhält, wird er alle Informationen vertraulich behandeln und nur zur Erfüllung der vertraglichen Verpflichtungen (die Leistungen) mit der gebotenen Sorgfalt verwenden. Jede weitere Nutzung bedarf der vorherigen schriftlichen Zustimmung der BWI. Dies gilt nicht für Informationen, an denen der Auftragnehmer nachweisen kann, dass er zum Zeitpunkt des Erhalts der Informationen be- reits einen Rechtsanspruch hatte oder die ihm bereits allgemein bekannt waren oder die ihm von einem Dritten rechtmäßig zugänglich gemacht werden würden, ohne dass eine Ver- pflichtung zur Geheimhaltung besteht.
1.3 Informationssicherheitsmanagementsystem
Zur Erbringung der Leistungen muss der Auftragnehmer ein angemessenes Informationssi- cherheitsmanagementsystem (ISMS) nach allgemein anerkannten Standards (z.B. ISO 27001) einführen und kontinuierlich verbessern. Dieses ISMS muss die Anforderungen (ab- hängig von den zu erbringenden Leistungen/zu liefernden Produkten) gemäß folgendem Ka- pitel 2 "Technische und organisatorische Maßnahmen (TOM)" erfüllen.
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 2 / 15
[Seite 3]
BWI und der Auftragnehmer benennen jeweils einen Ansprechpartner für das Thema Infor- mationssicherheit und informieren diese kontinuierlich.
Der Auftragnehmer ist verpflichtet, BWI unverzüglich über jeden Sicherheitsvorfall zu infor- mieren, der die Sicherheit der BWI-Informationen und/oder der Leistungserbringung beein- trächtigt.
1.4 Prüfungsrechte und unabhängiger Prüfungsbericht
Der Auftragnehmer räumt BWI das Recht zur Prüfung und Überwachung der Leistungser- bringung ein. Der Auftragnehmer wird BWI entsprechende Informations- und Zugriffsrechte (einschließlich Zugang zu Informationssystemen) einräumen.
Umfassen die Leistungen das Hosting der BWI-Informationen auf zentralen Systemen (z.B. Software-as-a-Service, Infrastructure-as-a-Service, IT-Hosting), so ist der Auftragnehmer verpflichtet, einen unabhängigen Auditbericht über die Wirksamkeit der Kontrollen für die Leistungserbringung vorzulegen.
1.5 Sub-Dienstleister (Unterauftragnehmer)
Der Auftragnehmer wird nur mit vorheriger schriftlicher Zustimmung der BWI Informationen an Dritte, wie z.B. Subdienstleister, auslagern oder an diese weitergeben. Der Auftragneh- mer garantiert, dass die Sub-Dienstleister vertraglich an Informationssicherheitsanforderun- gen gebunden sind, die mindestens den Anforderungen dieser Anlage entsprechen.
1.6 Datenschutz
Soweit die Erbringung von Leistungen den Zugriff auf Daten erfordert, die den Datenschutz- bestimmungen unterliegen, hält der Auftragnehmer die geltenden Datenschutzgesetze ein.
Dazu gehört auch die Einholung der schriftlichen Zustimmung der BWI, bevor BWI Daten ei- nem internationalen Datentransfer (d.h. der Zugänglichmachung in einem anderen Drittland als in den vertraglichen Verpflichtungen des Auftragnehmers vorgesehen) unterzogen wer- den, es sei denn, alle entsprechenden internationalen Transfers erfolgen innerhalb der Euro- päischen Union bzw. in Länder mit einem angemessenen Datenschutzniveau, wie es die Eu- ropäische Union als angemessen erachtet.
Der Auftragnehmer wird mit BWI zusätzliche Vereinbarungen (z.B. Auftragsverarbeitungsver- einbarung) abschließen und BWI ermöglichen, Vereinbarungen mit Dienstleistern des Auf- tragnehmers zu treffen, wenn dies nach für BWI anwendbarem Recht erforderlich ist.
1.7 Aufbewahrung von Aufzeichnungen
Der Auftragnehmer wird BWI-Informationen unwiederbringlich löschen, sobald diese nicht mehr zur Erbringung der Leistungen oder zur Erfüllung gesetzlicher oder behördlicher Aufla- gen benötigt werden.
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 3 / 15
[Seite 4]
2 Technische und organisatorische Maßnahmen (TOM)
Die folgenden Abschnitte beschreiben technische und organisatorische Maßnahmen, die der Auftragnehmer im Rahmen seines Informationssicherheitsmanagementsystems umsetzen muss.
Diese TOM basieren auf dem internationalen Standard ISO 27002:2013 "Code of practice for information security controls".
2.1 Informationssicherheitsrichtlinien
Der Auftragnehmer muss umfassende Richtlinien für die Informationssicherheit nach aner- kannten Industriestandards definieren, veröffentlichen und den Mitarbeitern des Auftragneh- mers und relevanten externen Parteien mitteilen und regelmäßig überprüfen.
Beispiele für Best Practise: • ISO 27001 • US NIST 800-53 • ISO 27001 auf der Basis von IT-Grundschutz (200-Standards)
2.2 2Organisation der Informationssicherheit
2.2.1 Interne Organisation
Der Auftragnehmer muss Rollen und Verantwortlichkeiten für die Informationssicherheit defi- nieren und fähiges Personal einsetzen.
Beispiele für Best Practise: • Informationsgüter im Eigentum des Auftragnehmers (z. B. IT-Anwendungen, Server, IT-Ausrüstung, IT-Leistungen), • Verantwortung für die Informationssicherheit in der Projektabwicklung, • umfassende Pflichten für die Informationssicherheit aller Mitarbeiter sowie der Vorge- setzten oder der Geschäftsleitung, • die Ernennung spezieller Mitarbeiter wie Informationssicherheitsbeauftragte oder Da- tenschutzbeauftragte.
2.2.2 Mobile Geräte und Telearbeit
Der Auftragnehmer muss eine Richtlinie und unterstützende Sicherheitsmaßnahmen zur Mi- nimierung von Risiken durch die Nutzung von mobilen Geräten und Telearbeitsplätzen ein- führen.
Beispiele für bewährte Verfahren:
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 4 / 15
[Seite 5]
• Registrierung von Mobilgeräten • Standardkonfigurationen • zentralisierte Verwaltung mit Lösungen für das Management mobiler Geräte (MDM) • Zugangskontrolle • Fernlöschung bei Verlust oder Diebstahl • Richtlinie für die geschäftliche Nutzung von Geräten in Privatbesitz, falls zutreffend
2.3 Sicherheit im Personalwesen
2.3.1 Vor der Beschäftigung
Der Auftragnehmer führt vor der Einstellung Hintergrundprüfungen in Übereinstimmung mit den einschlägigen Gesetzen, Vorschriften und ethischen Grundsätzen durch. Hintergrund- prüfungen müssen mindestens die Überprüfung der Vollständigkeit und Genauigkeit des Le- benslaufs des Kandidaten umfassen, einschließlich der behaupteten akademischen und be- ruflichen Qualifikationen, die für die Position relevant sind. • Beispiele für bewährte Verfahren:
o Anfragen zu Ausbildung und Referenzen bei Bewerbungsgesprächen,
o Identitätskontrollen,
o Polizeiliches Führungszeugnis.
Die Verantwortlichkeiten von Mitarbeitern und Auftragnehmern sind in schriftlichen Verträgen zu dokumentieren.
2.3.2 Während der Beschäftigung
Das Management des Auftragnehmers muss sicherstellen, dass Mitarbeiter und Auftragneh- mer ihre Verantwortung für die Informationssicherheit kennen und erfüllen.
Beispiele für Best Practise: • Verpflichtung der Unternehmensleitung für die Informationssicherheit, • Regelmäßige Sicherheitsschulungen, • Durchführung von Aufklärungsprogrammen für häufige Bedrohungen wie Phishing, Umgang mit vertraulichen oder persönlichen Informationen, • Disziplinarmaßnahmen im Falle von Sicherheitsverletzungen.
2.3.3 Beendigung und Wechsel des Arbeitsverhältnisses
Der Auftragnehmer muss sicherstellen, dass bei Vertragsbeendigung die Interessen des Un- ternehmens und der Kunden kontinuierlich geschützt werden.
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 5 / 15
[Seite 6]
Beispiele für Best Practise: • Rückgabe von Firmeneigentum (wie Laptops, Smartphones, Tablets, die sich im Besitz von Mitarbeitern, dem Auftragnehmern, Geschäftspartnern befinden) bei Beendigung des Vertrags, • Aufhebung der Zugangsrechte zu Software, Systemen und/oder Räumlichkeiten, • Kontrolle und Durchsetzung der Vertraulichkeitsvereinbarung für 10 Jahre nach Ver- tragsbeendigung.
2.4 Verwaltung von Vermögenswerten
2.4.1 Verantwortung für die Vermögenswerte
Der Auftragnehmer stellt sicher, dass alle mit Informationen und Einrichtungen und Syste- men zur Informationsverarbeitung verbundenen Vermögenswerte (Information Assets) inven- tarisiert werden und ein für die Informationssicherheit verantwortlicher Eigentümer zugewie- sen wird.
Beispiele für Best Practise: • Information Assets umfassen Geschäftsprozesse und Informationen, IT-Gegenstände wie Hardware, Software, Netzwerk sowie Standorte, Organisationsstruktur, Personal und Leistungen, • Zentrales Register für Anwendungen, Server, Infrastruktursysteme, Internetauftritte, Cloud Services, PCs, Laptops, Mobiltelefone und Tablets, • Zuweisung der Verantwortlichkeit pro Anlage (z.B. eine bestimmte Anwendung) oder pro Anlagenklasse (z.B. alle Linux-Server an einem Standort), • Siehe auch Abschnitt "Organisation der Informationssicherheit - Interne Organisation" oben.
2.4.2 Akzeptierte Nutzung von Informationsressourcen
Der Auftragnehmer muss die Mitarbeiter über geeignete, akzeptierte Nutzungsrichtlinien in- formieren. Wenn die Mitarbeiter des Auftragnehmers die Informationssysteme der BWI nut- zen, müssen diese die entsprechenden Richtlinien der BWI einhalten.
Beispiele für Best Practise: • Umgang mit Unternehmens- und Kundeninformationen • Handhabung von IT-Geräten • Handhabung von Passwörtern • Sichere gemeinsame Nutzung von Daten mit Geschäftspartnern • Erkennung und Behandlung von betrügerischen E-Mails (Phishing)
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 6 / 15
[Seite 7]
• Meldung von Informationssicherheitsvorfällen • Nutzung des Internets
2.4.3 Klassifizierung der Informationen
Der Auftragnehmer stellt sicher, dass die Informationen hinsichtlich der Vertraulichkeit, Integ- rität, Verfügbarkeit, Privatsphäre unter Berücksichtigung der potenziellen Geschäftsauswir- kungen wie finanzielle Verluste, Prozessverzögerungen, Reputationsprobleme, Sicherheits- /Gesundheits-/Umweltprobleme klassifiziert werden.
Beispiele für Best Practise: • Handhabung von Verfahren zum Schutz von Informationen während ihres gesamten Lebenszyklus (Erstellung, Verarbeitung, Übertragung, Vernichtung usw.) durch Maß- nahmen wie Verschlüsselung, • Die Kennzeichnung von Informationen ebenso wie die sichere Löschung ist zu entwi- ckeln und konsequent anzuwenden.
2.4.4 Handhabung von Speichermedien
Der Auftragnehmer muss Verfahren zur sicheren Handhabung von Speichermedien, ein- schließlich Wechselmedien, physischem Transport und Entsorgung unter Berücksichtigung der darauf gespeicherten Informationen, definieren und umsetzen.
Beispiele für Best Practise: • Speichermedien müssen sicher gelöscht oder physisch zerstört werden, wenn sie nicht mehr verwendet werden. • Laptop-Festplatten müssen verschlüsselt werden. • Die Mitarbeiter sind anzuweisen, USB-Flash-Laufwerke, externe Festplatten oder SD- Karten zu verschlüsseln, wenn darauf Kundendaten gespeichert sind, die zuvor nicht offiziell veröffentlicht wurden. • Bei der physischen Übergabe von Medien ist eine Produkthistorie zu führen und zu do- kumentieren. • Wenn Medien nicht verschlüsselt werden können, dürfen sie nicht unbeaufsichtigt ge- lassen werden und müssen physisch übergeben werden (d.h. kein Versand per Post).
2.5 Zugriffskontrolle
Der Auftragnehmer verpflichtet sich, auf der Grundlage der Geschäfts- und Sicherheits- anforderungen zur Verhinderung von unberechtigten Zugriffen, angemessene Zugangs- kontrollkonzepte zu definieren, zu dokumentieren und umzusetzen, für die Fälle in denen • BWI-Informationen, auf den Informationssystemen und/oder Speichermedien des Auf- tragnehmers gespeichert werden oder
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 7 / 15
[Seite 8]
• auf BWI-Informationssysteme durch das eigene Netzwerk des Auftragnehmers zuge- griffen wird.
Solche Zugangskontrollkonzepte sollen • die Zugangskontrollregeln und -rechte für jeden Benutzer oder jede Benutzergruppe eindeutig festlegen und • sowohl den logischen Zugriff (z.B. Zugriff auf Programme und Daten) als auch den physischen Zugang (z.B. Zugang zu Gebäuden oder Datenverarbeitungsräumen) be- rücksichtigen und • die Prozesse zur Verwaltung des Lebenszyklus des Benutzerzugriffs festzulegen.
Der Auftragnehmer muss über Technologie gemäß anerkannten Industriestandards verfü- gen, um die Zugangskontrollkonzepte angemessen umzusetzen.
Beispiele für Best Practise: • Registrierung der Benutzer und ihrer Konten mit zentralisierten Identitäts- und Zu- gangsmanagement-Prozessen / -Systemen • Workflows für Mitarbeiter, die in das Unternehmen eintreten oder es verlassen oder die Rolle im Rahmen ihres Arbeitsplatzes wechseln • Vergabe von Zugriffsrechten nur bei Bedarf zur Erfüllung einer bestimmten Rolle im Rahmen ihres Arbeitsplatzes (Need-to-know-Prinzip) • Workflows für die temporäre Vergabe von privilegierten (Administrator-) Zugriffsrech- ten, einschließlich der Überwachung der unter diesen Zugriffsrechten ausgeführten Ak- tivitäten • Workflows für die Zuweisung, Erneuerung / Rücksetzung, Widerruf von Passwörtern und anderen Berechtigungen • Workflows für die regelmäßige (mindestens jährliche) Überprüfung der Zugriffsrechte, die den IT-Benutzern zugewiesen wurden • der Zugang zu IT-Systemen ist eingeschränkt und erfordert z.B. Benutzername/Pass- wort, elektronisches Zertifikat oder marktübliche biometrische Maßnahmen.
2.6 Kryptographie
Der Auftragnehmer muss sicherstellen, dass die Kryptographie ordnungsgemäß und effektiv zum Schutz der Informationen eingesetzt wird.
Beispiele für bewährte Verfahren: • Verschlüsselung von Verschlusssachen während der Übertragung (z. B. E-Mail, Zu- gang zu Websites, Softwareschnittstellen), • Verschlüsselung im Ruhezustand in Datenbanken oder Dateispeichern • elektronische Signaturen wichtiger Dokumente
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 8 / 15
[Seite 9]
• Nutzung von gesicherten Web-Services für den Datenaustausch anstelle von unver- schlüsselten E-Mails • Nutzung und Schutz von kryptographischen Schlüsseln gemäß anerkannter Industrie- standards und allgemein anerkannter Praktiken (Schlüsselverteilung, Speicherung, Wiederherstellung usw.).
2.7 Physikalische und umweltbezogene Sicherheit
Dieser Abschnitt ist anwendbar, wenn der Auftragnehmer Standorte betreibt, an denen BWI Informationen verarbeitet werden.
Der Auftragnehmer muss Schäden, Störungen und Interferenzen an Einrichtungen und Ge- räten und von Informationen innerhalb seiner Organisation durch organisatorische Maßnah- men, die Beschränkung des physischen Zugangs zu den Einrichtungen und den Schutz vor Umweltbedrohungen verhindern.
Beispiele für Best Practise: • Einrichtungen zur Verarbeitung von Informationen sind durch eine physische Abgren- zung (wie Mauern und Zäune), Sicherheitswachen und Videoüberwachung an wichti- gen Ein-/Ausgangspunkten geschützt, um unbefugten Zugang zu verhindern • Wächter / Kartenleser / Smartcards zur Kontrolle und Aufzeichnung des Zugangs zu kritischen Bereichen wie Datenverarbeitungsanlagen • Angemessene Auswahl der Standorte unter Berücksichtigung von Risiken wie Feuer, Überschwemmung, Erdbeben, Unruhen etc. • Sicherheitsrichtlinien für Anlieferungs- und Verladebereiche • Schutz der Energie- und Telekommunikationsverkabelung vor Abhören und Störungen, redundante Verkabelung zur Vermeidung von Ausfällen im Schadensfall • Schutz der Ausrüstung in Ruhe und während des Transports, z.B. durch manuelle Zu- stellung statt Porto, unter Beachtung der Richtlinien für saubere Schreibtische
2.8 Betriebssicherheit
2.8.1 Betriebsprozesse und Verantwortlichkeiten, Backups, Installation von Soft-
ware auf Betriebssystemen, Inhalte der Prüfung von Informationssystemen
Der Auftragnehmer muss den korrekten und sicheren Betrieb der Einrichtungen zur Verarbei- tung von Informationen sicherstellen und gewährleisten, dass die Vorgänge innerhalb der be- trieblichen Prozesse dokumentiert werden, einschließlich Änderungskontrollen, Beschrän- kung des Zugriffs auf Betriebssoftware, Backups & Wiederherstellung, Kapazitätsmanage- ment und Trennung der betrieblichen von anderen IT-Umgebungen.
Beispiele für Best Practise der Inhalte von Betriebsverfahren:
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 9 / 15
[Seite 10]
• Installation und Konfiguration von Systemen, einschließlich der Überprüfung der techni- schen Konformität der Systemkonfiguration • Verarbeitung und Handhabung von Informationen, sowohl automatisiert als auch ma- nuell, wie z.B. Schutz und Aufbewahrung von Ein- und Ausgabedateien, sichere Ent- sorgung der Ausgabe von fehlgeschlagenen Jobs • Daten- und Infrastruktur-Backups • Anforderungen an die Terminierung, einschließlich der Abhängigkeiten zu anderen Systemen, frühester Auftragsstart und späteste Auftragsabschlusszeiten • Anweisungen für die Behandlung von Fehlern oder anderen unvorhergesehenen Situa- tionen, die während der Auftragsausführung auftreten können, einschließlich Ein- schränkungen bei der Verwendung von System-Einrichtungen • Support- und Eskalationskontakte einschließlich externer Supportkontakte im Falle un- erwarteter betrieblicher oder technischer Schwierigkeiten • systemspezifische Neustart- und Wiederherstellungsverfahren, die den allgemeinen Desaster-Recovery-Prozessen entsprechen • Verwaltung von Audit-Trail- und Systemprotokollinformationen • Kapazitätsmanagement • Benutzer- und Zugriffsverwaltung, einschließlich der Segregation-of-Duties eine Defini- tion der User-IDs des Systems • Handhabung von Änderungen der Software-Lizenzanforderungen, die sich aus Installa- tionen, De-Installationen, Konfigurationsänderungen oder Aktivitäten zur Benutzerver- waltung ergeben können • Umgang mit Änderungen der Software- oder Infrastrukturkonfigurationen, Einstellun- gen oder Funktionalitäten • technisches Schwachstellenmanagement
2.8.2 Schutz vor Schadsoftware
Der Auftragnehmer schützt Informationen und Einrichtungen zur Verarbeitung von Informati- onen mit branchenüblichen Maßnahmen vor Schadsoftware.
Beispiele für Best Practise: • Einsatz von Schadsofware-Scannern auf PCs, Servern, Netzwerk-Gateways und mobi- len Geräten • regelmäßige Aktualisierung von Schadsoftware-Definitionen und Scan-Engines • Sandbox-Technologie zur Erkennung noch unbekannter Schadsoftware
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 10 / 15
[Seite 11]
2.8.3 Protokollierung und Überwachung
Der Auftragnehmer protokolliert sicherheitsrelevante Ereignisse auf Informationssystemen wie Server, Netzwerk-Gateways, Mitarbeiterrechner, Schadsoftware-Scanner und anderer Sicherheitstechnik. Die Protokolle sind gegen Manipulationen zu schützen und zu analysie- ren, um Sicherheitsvorfälle rechtzeitig zu erkennen.
Beispiele für Best Practise: • Unbefugte Zugriffsversuche • Änderungen an Benutzern, Gruppen, Zugriffsrechten, Geräte-Besitz, Sicherheitsein- stellungen und Systemkonfiguration • Nutzung von Privilegien • Verwendung von System-Einrichtungen • Start, Herunterfahren, An- oder Abmeldung des Informationssystems • Zugriff (Versuche) auf Protokoll- und Programmdateien • Zuordnung von IP-Adressen und Hostnamen • Schreibzugriff auf Dateien und Objekte, wenn besondere Anforderungen an die Integri- tät bestehen • Aktivierung und Deaktivierung von Schutzsystemen, wie z.B. Antiviren- und Intrusion Detection Systeme • Warnungen von Sicherheitssystemen und Software • Schutz von Log-Dateien vor unberechtigtem Zugriff (weder lesend noch schreibend) • Es muss ausreichend Personal eingesetzt werden, um die Protokolle rechtzeitig zu überwachen und auf Sicherheitsvorfälle zu reagieren
2.8.4 Technisches Schwachstellenmanagement
Der Auftragnehmer muss technische Schwachstellen verwalten, einschließlich der Überwa- chung der Schwachstellen, der Risikobewertung, der Behebung (einschließlich Patches, Här- tung, Einschränkungen von Softwareinstallationen oder anderer Maßnahmen, wenn keine geeigneten Patches verfügbar sind).
Beispiele für Best Practise: • Einsatz von Schwachstellen-Scannern (z.B. Nessus) • zu entscheiden, wie die erkannten Schwachstellen z.B. durch Patches von Anbietern und des Auftragnehmers behoben werden können • Zeitpläne definieren, wann Schwachstellen auf der Grundlage der Kritikalität zu lösen sind • die Installation von Software auf Client-Rechnern einzuschränken
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 11 / 15
[Seite 12]
• deaktivieren Sie nicht mehr benötigte Systemdienste
2.9 Kommunikation und Netzwerksicherheit
Dieser Abschnitt ist anwendbar, wenn der Auftragnehmer IT-Netzwerke zur Erbringung der Leistungen betreibt.
Der Auftragnehmer betreibt IT-Netzwerke zum Schutz von Informationen in Systemen und Anwendungen.
Beispiele für Best Practise: • Segmentierung von Netzwerken, durch Firewalls getrennte Segmente • Firewall-Regel-Lebenszyklus-Management vorhanden • Intrusion Prevention System (IPS), im Falle des Outsourcings ist der Outsourcer ver- pflichtet, die anerkannte Sicherheitspraxis zu befolgen • Sicherheitsereignisse werden protokolliert und die Protokolle werden zentral von einem SIEM-System analysiert
2.10 Systembeschaffung, -entwicklung und -wartung
Dieser Abschnitt ist anwendbar, wenn der Auftragnehmer IT-Systeme (Informationssysteme) zur Erbringung der Leistungen nutzt.
2.10.1 Sicherheitsanforderungen an Informationssysteme
Der Auftragnehmer stellt sicher, dass die Anforderungen an die Informationssicherheit bei der Beschaffung, Entwicklung und Wartung von Informationssystemen systematisch ermittelt und in den Entwicklungs- und Unterstützungsprozessen berücksichtigt werden.
Beispiele für Best Practise: • Anforderungen an die Zugangskontrolle • Einsatz von statischen Code-Analyse-Tools für selbstentwickelte Software • Sicherheitspenetrationstests für Webanwendungen nach OWASP-Prinzipien • Verschlüsselung von Informationen während der Übertragung und/oder bei der Spei- cherung (in Ruhe) • digitale Signaturen • spezifische Geschäftsprozessanforderungen wie z.B. Genehmigungen oder bestimmte Dokumentationen • Vollständigkeitskontrollen
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 12 / 15
[Seite 13]
2.10.2 Sicherheit in Entwicklungs- und Unterstützungsprozessen
Wenn der Auftragnehmer Informationssysteme entwickelt, muss er die Informationssicherheit innerhalb des Entwicklungslebenszyklus von Informationssystemen konzipieren und umset- zen. Dies umfasst Sicherheitsbewertungen, sichere Systementwicklungsverfahren, Ände- rungskontrollverfahren, angemessene Test- und Genehmigungsverfahren.
Beispiele für Best Practise: • Regeln für die Entwicklung von Software und Systemen • formale Änderungskontrollverfahren • Überprüfung und Prüfung von Änderungen • Grundsätze der sicheren Systemtechnik • Umgebungen für Entwicklung / Test / Produktion • Überwachung der ausgelagerten Systementwicklung • Prüfung der Sicherheitsfunktionalität • Abnahmetestprogramme, Schutz der Testdaten.
2.11 Einsatz von Unterauftragnehmern
Dieser Abschnitt ist anwendbar, wenn der Auftragnehmer zur Leistungserbringung Unterauf- tragnehmer einsetzt, die auf BWI-Informationen zugreifen, diese verarbeiten oder speichern können.
Der Auftragnehmer wird die schriftliche Zustimmung der BWI einholen, bevor ein Sub-Dienst- leister erstmals Zugang zu BWI-Informationen erhält. Der Auftragnehmer stellt sicher, dass Regelungen in die Verträge mit Unterauftragnehmern aufgenommen werden, die Anforde- rungen dieser Anlage erfüllen. Der Auftragnehmer wird die Leistungserbringung seiner Sub- dienstleister regelmäßig überwachen, überprüfen und auditieren.
Beispiele für Best Practise: • Zertifizierung für das Informationssicherheitsmanagement (z.B. ISO 27001) • Anforderung von SOC2- oder ISAE 3000-Outsourcing-Berichten für Unterauftragneh- mer (z.B. Cloud-Hosting-Anbieter) • BWI erhält eine Kopie jedes für die Leistungen relevanten Unterauftrags für Auditzwe- cke (ohne Preisinformationen) • Vereinbarung von Audit-Rechten mit Subunternehmern (z.B. ausgelagerter Rechen- zentrumsbetrieb, ausgelagerte Softwareentwicklung)
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 13 / 15
[Seite 14]
2.12 Management von Informationssicherheitsvorfällen
Der Auftragnehmer muss Managementverantwortlichkeiten und -verfahren festlegen, um eine schnelle, effektive und ordnungsgemäße Reaktion auf Informationssicherheitsvorfälle zu gewährleisten. Dies beinhaltet die Implementierung von Meldewegen und deren Nutzung durch Mitarbeiter und Dritte, die rechtzeitige Bewertung gemeldeter Ereignisse, die ange- messene Reaktion auf Ereignisse, die als Sicherheitsvorfall gelten, angemessene Eskalati- ons- und Kommunikationsverfahren, die Behebung von Problemen sowie Verfahren für fo- rensische Beweise, die für disziplinarische oder rechtliche Maßnahmen erforderlich sind.
Beispiele für bewährte Verfahren: • Sammlung von Informationssicherheitsereignissen von Servern, Netzwerk-Gateways, Endpunktgeräten und Sicherheitssystemen und deren Korrelation in einem SIEM-Sys- tem; • Sammeln von Sicherheitsereignissen vom IT-Servicedesk und von IT-Dienstleistern; Klassifizierungsskalen zur "Triage" und Bewertung von Informationssicherheitsereignis- sen hinsichtlich ihrer Kritikalität • zentrale Teams zur Überwachung, Erkennung, Analyse und Berichterstattung von In- formationssicherheitsereignissen und -vorfällen • Integration von externen Quellen über Indikatoren für die Gefährdung (IOCs) • Erstellung von Aufzeichnungen über Sicherheitsvorfälle sowohl auf technischer als auch auf Managementebene (z.B. in MISP- und Wiki-Systemen) • Eskalation und Kommunikation an interne und externe Stakeholder oder Organisatio- nen, einschließlich BWI
2.13 Aspekte der Informationssicherheit im Business Continuity Management
Der Auftragnehmer muss Prozesse, Verfahren und Kontrollen einführen, dokumentieren, im- plementieren und aufrechterhalten, um die Kontinuität der vertraglich vereinbarten Leistung zu gewährleisten.
Beispiele für Best Practise: • Einrichtungen zur Verarbeitung von Informationen müssen mit einer ausreichenden Redundanz implementiert werden, um die Anforderungen an die Verfügbarkeit zu erfül- len • Die Anforderungen an die Informationssicherheit müssen auch in Not-, Katastrophen- und Krisensituationen angemessen berücksichtigt werden
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 14 / 15
[Seite 15]
2.14 Compliance
2.14.1 Einhaltung der gesetzlichen und vertraglichen Anforderungen
Der Auftragnehmer stellt sicher, dass Verstöße gegen gesetzliche, behördliche, regulatori- sche oder vertragliche Verpflichtungen im Zusammenhang mit der Informationssicherheit und gegen jegliche Sicherheitsanforderungen vermieden werden.
Beispiele für Best Practise: • Alle relevanten Anforderungen und die Vorgehensweise des Auftragnehmers zur Erfül- lung dieser Anforderungen müssen für jedes Informationssystem und den Auftragneh- mer explizit identifiziert, dokumentiert und auf dem neuesten Stand gehalten werden. • Es sind geeignete Verfahren zu implementieren, um die Einhaltung der gesetzlichen, behördlichen und vertraglichen Anforderungen in Bezug auf die Rechte an geistigem Eigentum und die Nutzung proprietärer Softwareprodukte zu gewährleisten. • Die Aufzeichnungen müssen vor Verlust, Zerstörung, Verfälschung, unbefugtem Zugriff und unbefugter Freigabe geschützt werden, in Übereinstimmung mit den gesetzlichen, behördlichen, vertraglichen und geschäftlichen Anforderungen. • Die Privatsphäre und der Schutz personenbezogener Daten werden gemäß den ein- schlägigen Gesetzen und Vorschriften, soweit anwendbar, gewährleistet. • Kryptographische Kontrollen werden in Übereinstimmung mit allen relevanten Verein- barungen, Gesetzen und Vorschriften verwendet.
2.14.2 Überprüfung der Informationssicherheit
Der Auftragnehmer stellt sicher, dass die Informationssicherheit in Übereinstimmung mit den Richtlinien und Verfahren des Auftragnehmers implementiert und betrieben wird.
Beispiele für Best Practise: • Der Ansatz des Auftragnehmers für das Management der Informationssicherheit und seine Umsetzung (d. h. Kontrollziele, Kontrollen, Richtlinien, Prozesse und Verfahren für die Informationssicherheit) sind in geplanten Abständen oder bei wesentlichen Än- derungen unabhängig zu überprüfen. • Die Manager müssen regelmäßig die Übereinstimmung der Informationsverarbeitung und der Verfahren in ihrem Verantwortungsbereich mit den entsprechenden Sicher- heitsrichtlinien, -standards und sonstigen Sicherheitsanforderungen überprüfen. • Die Informationssysteme sind regelmäßig auf die Einhaltung der Informationssicher- heitsrichtlinien und -standards des Auftragnehmers zu überprüfen.
Titel: 1607_RV_Anl. 6_Anforderungen an die Informationssicherheit_V1.0.docx Vertraulich / Stand 13.11.2023
Herausgeber: CRO Procurement Contract Law Seite 15 / 15