| Anlage 4 EVB Informationssicherheit - Ausgabe 01.05.2025 | |
| EU Vergabe AiM Verhandlungsverfahren | |
| Erste Vertragspartei: | DB Systel GmbH / Auftraggeber |
| Zweite Vertragspartei: | Bieter/Auftragnehmer |
| Datum: | 01.05.2025 |
| Version: | 1.0 |
| Autor: | Deutsche Bahn AG |
| Status: | Veröffentlicht |
Inhalt
2 Anforderungen an die Informationssicherheit 6
2.1 Management der Informationssicherheit 6
2.2 Rollen und Ansprechpartner 7
2.6 Verpflichtung Nachunternehmer 9
2.9 Rechtsräume Hosting / Speicherung 10
2.12 Meldung Informationssicherheitsvorfälle 12
2.13 Wiederherstellung sicherer Zustand 13
3 Bewertung des Reifegrads der Informationssicherheit beim Auftragnehmer 14
3.1 Bewertung der Sicherheitsorganisation 14
4 Leistungen im Kontext wichtiger und besonders wichtiger Einrichtungen / kritischer Anlagen 18
4.1 Systeme zur Angriffserkennung 18
4.3 Meldung und Bearbeitung von Sicherheitsvorfällen 19
4.4 Unterstützung Risikomanagement 19
4.5 Datensicherung / Wiederherstellung 21
Instruktionen an die Bieter
Das vorliegende Dokument dient als Antwortvorlage für die Anlage „EVB Informationssicherheit“ im Rahmen des Angebots.
Es ist mit dem Angebot einzureichen und muss ausschließlich unter Anwendung einer der folgenden Vorgehensweisen bearbeitet werden:
Sofern eine Zeile „grau hinterlegt“ ist, ist diese nicht verhandelbar und somit ist in diesen Zeilen auch keine Bearbeitung durch den Bieter erforderlich. Eine Änderung von grau hinterlegten Anforderungen durch den Bieter führt im Rahmen der verbindlichen Angebote zum Ausschluss– siehe hierzu insb. Ziffern 11.4 der Bewerbungsbedingungen und Anhang C2 (Gesamtbewertungsmatrix_AiM) Tabellenblatt Informationen Kriterienkatalog.
Die Zeilen, welche in kursiver blauer Schriftbefüllt sind, enthalten Erläuterungen, Hinweise oder Beschreibungen von Prozessschritten, die keine Anforderungen an den Auftragnehmer sind. In diesen Zeilen ist keine Bearbeitung durch den Bieter erforderlich.
Die nicht grau hinterlegten Bedingungen der Vertragsunterlagen sind verhandelbar in dem Sinne, dass für den Bieter die Möglichkeit besteht, ein vom „Auftraggeberentwurf abweichendes Angebot“ abzugeben.
Zustimmung zu den Vorgaben des Auftraggebers
Die mittleren Spalten dienen dazu, die Zustimmung der Bieter dazu einzuholen, dass sie die Vertragspassage bzw. Anforderung anerkennen. Hat ein Bieter eine Anforderung gelesen, verstanden und stimmt er zu, sie genau wie beschrieben zu erfüllen, so geht er wie folgt vor:
In der mittleren Spalte „(J/N)“ trägt er ein „J“ ein. „J“ steht für „Ja“ und zeigt an, dass der jeweilige Bieter die Anforderung, wie von dem Auftraggeber beschrieben und ausformuliert, vollständig erfüllen wird. In diesem Fall darf er keine weiteren Informationen oder eine Abweichung vom Auftraggeberentwurf in der entsprechenden Zelle der rechten Spalte „Auftragnehmer“ eintragen.
Abweichungen vom Auftraggeberentwurf
Zur Bewertung von durch den Bieter vorgeschlagenen Abweichungen vom Auftraggeberentwurf wird insb. auf Ziffern 11.4 der Bewerbungsbedingungen und Anhang C2 (Gesamtbewertungsmatrix_AiM) Tabellenblatt Informationen Kriterienkatalog. verwiesen.
Möchte der Bieter zu einer (nicht grau hinterlegten) Vertragspassage oder Anforderung ein vom Auftraggeberentwurf abweichendes Angebot abgeben, weil er Änderungswünsche beim Wortlaut hat und/oder einen alternativen Ansatz vorschlägt, hat er wie folgt vorzugehen:
In der mittleren Spalte „(J/N)?“ trägt er den Buchstaben „N“ ein. „N“ steht für „Nein“ und zeigt an, dass der jeweilige Bieter der entsprechenden Anforderung nicht vollumfänglich, wie von dem Auftraggeber beschrieben, zustimmt. Die Anforderung aus der linken Spalte „Auftraggeber“ ist vom Bieter zu kopieren und in die entsprechende Zelle in der rechten Spalte „Auftragnehmer“ einzufügen. Der Bieter muss dann den Wortlaut der Passage entsprechend seines Vorschlags mit angeschaltetem Änderungsmodus ändern. Der Bieter muss sicherstellen, dass die Spalte „Aufragnehmer“ den gesamten Text der ursprünglichen Passage enthält und nimmt dann sichtbar Streichungen oder Änderungen am ursprünglichen Text vor, sodass neben den vorgenommenen Streichungen/Änderungen auch der ursprüngliche Text sichtbar bleibt. Dazu kann er in der Spalte „Auftragnehmer“ ein oder mehrere Worte streichen (im Änderungsmodus) und/oder den gewünschten Wortlaut hinzufügen (im Änderungsmodus).
Den jeweiligen Änderungsvorschlägen optisch nachgeordnet kann der Bieter in der entsprechenden Zelle in der rechten Spalte „Auftragnehmer“ eine kurze Erklärung als Grund für diese Änderungen hinzufügen. Die Erklärung sollte getrennt aufgeführt sein und sich vom korrigierten Text abheben und sollte der vorgeschlagenen Änderungen folgen. Alle Erklärungen der Bieter müssen klar, kurz und angemessen sein. Es dürfen keine Angaben aufgeschoben werden (z.B.: „Der Bieter ABC wird dies gern zu einem späteren Zeitpunkt besprechen“ stellt eine unzulässige Aufschiebung einer Erklärung dar.).
Der Bieter darf die Möglichkeit, Änderungswünsche zu platzieren, nicht dazu nutzen, das gesamte Vergabeverfahren umzuschreiben. Die Identität des Gegenstandes des Vergabeverfahrens muss auch in einem Verhandlungsverfahren gewahrt bleiben. Die von dem Bieter vorgeschlagenen Änderungen werden durch den Auftraggeber gesichtet und bewertet. Hierzu wird nochmal auf die Möglichkeit eines Angebotsausschlusses bei Erreichen der Bewertungsstufe 5 für eine Passage im Rahmen der verbindlichen Angebote hingewiesen – siehe insb. Anhang C2 (Gesamtbewertungsmatrix_AiM) Tabellenblatt Informationen Kriterienkatalog.
Im Falle eines Vertragsschlusses gelten die Formulierungen, auf welche sich Auftraggeber und Bieter im Zuge der Verhandlungen geeinigt haben, in die Vertragsunterlagen aufgenommen und sind vom Bieter im Zuge der Leistungserbringung entsprechend zwingend einzuhalten.
| Ref # | Auftraggeber | J/N | Auftragnehmer |
|---|---|---|---|
| 1 | Ergänzende Vertragsbedingungen der Deutschen Bahn AG (DB AG) und der mit ihr verbundenen Unternehmen zu Anforderungen an die Informationssicherheit (EVB Informationssicherheit) | ||
| 2 | – Ausgabe 01.05.2025 – | ||
| 3 | Präambel | ||
| 4 | Der Auftragnehmer liefert dem Auftraggeber durch Informationstechnologie unterstützte Dienstleistungen bzw. IT (Information Technology)- oder OT (Operational Technology)-Produkte, die im Vertrag näher spezifiziert werden. | ||
| 5 | Diese EVB regeln ergänzend Anforderungen an die Informationssicherheit, die vom Auftragnehmer zu erfüllen sind. | ||
| 6 | Die vom Vertrag abgedeckten Informationen und Anwendungen unterliegen einem definierten Schutzbedarf (normal, hoch, sehr hoch) und gegebenenfalls speziellen gesetzlichen Anforderungen (z.B. der Gesetzgebung zu Kritischen Infrastrukturen), aus denen sich die konkrete Ausgestaltung der Maßnahmen zur Informationssicherheit ableitet. Der Schutzbedarf selbst, sowie Details zu Maßnahmen, sind in der Leistungsbeschreibung beschrieben. | ||
| 7 | Soweit ein Audit (gemäß Ziffer 3.2 Audit) nachweislich aus berufsrechtlichen Gründen nicht wie vom Auftraggeber geplant durchgeführt werden kann, informiert der Auftragnehmer den Auftraggeber zeitnah über diese Gründe. Die Parteien stimmen dann einen modifizierten Auditplan ab. Dabei werden sowohl das für den Auftragnehmer geltende Berufsrecht als auch die Interessen des Auftraggebers berücksichtigt. | ||
| 8 | Soweit nicht ausdrücklich etwas anderes vereinbart wird, sind etwaige dem Auftragnehmer durch die Umsetzung der nachfolgenden Anforderungen entstehenden Aufwände mit der vereinbarten Vergütung abgegolten. | ||
| 9 | Verstößt der Auftragnehmer gegen die Verpflichtungen aus den Ziffern 2.2.a), 2.5, 2.9 und 3.1 dieser ergänzenden Vertragsbedingung, hat er an den Auftraggeber je Verstoß eine Vertragsstrafe in Höhe von 2 % der geschuldeten Vergütung aus dem jeweils betroffenen (Einzel-)Vertrag zu zahlen, es sei denn, der Verstoß ist nicht vom Auftragnehmer zu vertreten. Die Geltendmachung eines Schadenersatzes durch den Auftraggeber infolge derselben Pflichtverletzung bleibt von der Vertragsstrafe unberührt, wobei in diesem Fall eine verwirkte Vertragsstrafe auf diesen Schadenersatz angerechnet wird. | ||
| 10 | Die auf Grundlage dieser EVB Informationssicherheit geltend gemachten Vertragsstrafen belaufen sich auf maximal 5 % der geschuldeten Vergütung aus dem jeweils betroffenen (Einzel-)Vertrag. | ||
| 11 | Anforderungen an die Informationssicherheit | ||
| 12 | Management der Informationssicherheit | ||
| 13 | Der Auftragnehmer hat in seinem Unternehmen geeignete Prozesse zur Gewährleistung der Informationssicherheit im Rahmen der Leistungserbringung etabliert und hält dieses während der gesamten Vertragslaufzeit aufrecht. Beispielsweise geschieht dies in Form eines angemessenen Informationssicherheitsmanagementsystems (ISMS) oder durch gleichwertige, geeignete Prozesse zur Gewährleistung der Informationssicherheit im Rahmen der Leistungserbringung. Die Informationssicherheitsprozesse des Auftragnehmers entsprechen mindestens den nachfolgend beschriebenen Informationssicherheitsanforderungen und orientieren sich an der DIN EN ISO/IEC 27001/27002 oder einem gleichwertigen Rahmenwerk in der jeweils aktuellen Fassung. | ||
| 14 | Rollen und Ansprechpartner | ||
| 15 | Koordinator Informationssicherheit | ||
| 16 | Der Auftragnehmer muss dem Auftraggeber mit Vertragsunterzeichnung für alle Aspekte rund um Informationssicherheit einen sachkundigen Ansprechpartner (z.B. Informationssicherheitsbeauftragten, IT-Sicherheitsmanager bzw. Chief Information Security Officer (CISO)) benennen, der gegenüber dem Auftraggeber in allen Fragen des Managements der Informationssicherheit auskunftsfähig und auskunftsberechtigt ist. | ||
| 17 | Ansprechpartner Regelkommunikation | ||
| 18 | Der Auftraggeber kann vom Auftragnehmer verlangen, weitere Ansprechpartner / Rollenverantwortliche in allen informationssicherheitsrelevanten Angelegenheiten im Kontext der beauftragten Leistung zu benennen (z.B. fachlich, technisch oder betrieblich Verantwortliche) und die Aufgabenverteilung und den Verantwortungsübergang zweifelsfrei zu klären. Änderungen teilt der Auftragnehmer dem Auftraggeber unverzüglich mit. | ||
| 19 | Ansprechpartner Notfallkoordination | ||
| 20 | Der Auftragnehmer benennt einen zentralen Ansprechpartner (SPOC / Single Point of Contact) zur Notfallkommunikation, der dem Auftraggeber zu den im Vertrag geregelten Fristen zur Verfügung steht. Der SPOC hat im Notfall Zugriff auf alle notwendigen Daten des Auftragnehmers (z.B. Produkt Monitoring, Identity Access Management (IAM) und Konfigurationsdaten) und stellt diese dem Auftraggeber und dessen Notfallteam auf Anforderung und in geeignetem Format (les- und verarbeitbar) zur Verfügung. | ||
| 21 | Sicherheitsüberprüfung | ||
| 22 | Der Auftraggeber behält sich vor, vom Auftragnehmer für Mitarbeiter oder sonstige von ihm im Rahmen der Leistungserbringung eingesetzten Personen (auch von Nachunternehmern), die im Bereich kritischer Infrastrukturen mit besonders schützenswert kategorisierten Informationen und Anlagen im Sinne der Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz (BSI-Kritis-Verordnung) in Kontakt kommen, die Durchführung einer Sicherheitsüberprüfung gemäß Vorgaben des BSI in „Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen“ zu verlangen. Der Auftragnehmer bestätigt dem Auftraggeber die erfolgreiche Durchführung der Sicherheitsüberprüfung in Textform. | ||
| 23 | Statusbericht | ||
| 24 | Der Auftragnehmer liefert dem Auftraggeber auf Anforderung einen Statusbericht zur Informationssicherheit der bezogenen Leistung. Dieser enthält z.B. Informationen zu Abweichungen von vereinbarten Informationssicherheitsanforderungen und korrelierten Maßnahmen zur Behebung, Verlaufsstatistiken zu Informationssicherheitsvorfällen und Sicherheitspatches, Status Schwachstellenmanagement und Auditergebnisse, Verfügbarkeit von Security Controls, Aufwände zur Behebung von Incidents und Fakturierung bei gesonderter Vereinbarung von Sicherheitsmaßnahmen. Form, Inhalt und Frequenz werden innerhalb von acht Wochen nach Vertragsabschluss und in jedem Fall vor Betriebsbeginn bzw. der Lieferung des Produktes verpflichtend und einvernehmlich und in Textform zwischen Auftraggeber und Auftragnehmer vereinbart und orientieren sich hierbei an den Regelungsinhalten der DIN EN ISO/IEC 27001. Ein Berichtsmuster kann auf Anfrage zur Verfügung gestellt werden. | ||
| 25 | Qualifiziertes Personal | ||
| 26 | Der Auftragnehmer stellt sicher, dass das von ihm eingesetzte Personal die zur Auftragserbringung notwendige Qualifikation und Awareness hinsichtlich der Anforderungen zur Informationssicherheit besitzt und weist dies dem Auftraggeber auf Anfrage nach. | ||
| 27 | Verpflichtung Nachunternehmer | ||
| 28 | Der Auftragnehmer gewährleistet, dass seine in Bezug auf dieses Vertragsverhältnis eingesetzte Nachunternehmer und deren Nachunternehmer die Anforderungen aus diesem Vertrag, die der ISO27001 oder solche einer vergleichbaren Norm erfüllen. Er stellt entsprechende Nachweise auf Anforderung des Auftraggebers zur Verfügung. | ||
| 29 | Datenverarbeitung | ||
| 30 | Verarbeitet oder speichert der Auftragnehmer Daten des Auftraggebers und der mit diesem gemäß §§ 15 ff. AktG verbundenen Unternehmen („verbundene Unternehmen“), so verpflichtet sich der Auftragnehmer sowohl regulatorische und gesetzliche Anforderungen (bezogen auf den Rechtsraum des Auftraggebers) als auch Anforderungen der Leistungsbeschreibung zu beachten und einzuhalten, insbesondere die Regelungen zur Datensicherung. | ||
| 31 | Verschlüsselung | ||
| 32 | Der Auftragnehmer gewährleistet eine verschlüsselte Übertragung und Speicherung von Daten der Klassifizierungen "DB Vertraulich" und "DB Streng Vertraulich", gemäß dem Stand der Technik. Werden kryptographische Maßnahmen während der Vertragslaufzeit unsicher, sind diese nach Absprache zu ersetzen. Die Kostenübernahme hierzu wird einvernehmlich zwischen Auftraggeber und Auftragnehmer geregelt. | ||
| 33 | Rechtsräume Hosting / Speicherung | ||
| 34 | Der Auftragnehmer verpflichtet sich, alle Länder, in denen Daten des Auftraggebers gehostet, gespeichert bzw. Anwendungen betrieben werden, zu benennen sowie bestehende Anforderungen aus der Leistungsbeschreibung zu bestätigen (z.B. im Rahmen des Angebots). Erfolgt die Speicherung nicht in den Systemen des Auftragnehmers, ist dies dem Auftraggeber separat anzuzeigen. Der Auftragnehmer sichert zu, dass die Daten die benannten Speicherorte nicht verlassen. Umzüge innerhalb der EU sind hiervon ausgenommen, müssen dem Auftraggeber aber unverzüglich in Textform mitgeteilt werden. | ||
| 35 | Löschung von Daten | ||
| 36 | Der Auftragnehmer gewährleistet, sämtliche im Zusammenhang mit dem Auftragsverhältnis stehenden Daten an allen Standorten des Auftragnehmers und seiner Nachunternehmer bei Beendigung des Vertrags unverzüglich und derart zu löschen und zu vernichten, so dass sie nicht wiederhergestellt werden können. Ausnahmen bestehen nur bei Daten, soweit und solange (a) der Auftragnehmer zu deren Aufbewahrung gesetzlich verpflichtet ist, (b) diese der administrativen Abwicklung des Vertrags dienen oder (c) dies vertraglich geregelt wurde. Der Auftragnehmer weist dies auf Verlangen des Auftraggebers nach. Dem Auftragnehmer steht kein Zurückbehaltungsrecht an den Daten zu. | ||
| 37 | Endgeräte | ||
| 38 | Sofern der Auftragnehmer eigene Endgeräte zur Erbringung der vereinbarten Dienstleistung einsetzt, verpflichtet er sich zur Einhaltung der nachstehend genannten Vorgaben des Auftraggebers. Als Endgerät im Sinne dieser Regelung wird jedes Asset des Auftragnehmers verstanden, dass an IT-/OT-Applikationen sowie IT-/OT-Infrastruktur des Auftraggebers (kabelgebunden oder kabellos) angeschlossen oder zur Verarbeitung von Daten des Auftraggebers eingesetzt wird. | ||
| 39 | * Nur vom Auftragnehmer aktiv verwaltete Endgeräte dürfen verwendet werden. | ||
| 40 | * Der Einsatz von Multi-Faktor-Authentifizierung ist anzustreben, solange nicht verbindlich in der Leistungsbeschreibung gefordert. | ||
| 41 | * Die Endgeräte müssen nach dem Stand der Technik abgesichert sein. Auf Anfrage weist der Auftragnehmer die Sicherheitsmaßnahmen nach und aktualisiert diese bei Bedarf. | ||
| 42 | * Der Auftragnehmer verpflichtet sich, den Verlust eines Endgerätes unverzüglich an die Verantwortlichen des Auftraggebers zu melden und dieses umgehend zu deaktivieren und zu sperren. | ||
| 43 | * Der Einsatz von Hacking-Tools, Sniffern, etc. ist untersagt, sofern dies nicht ausdrücklich zugelassen ist. | ||
| 44 | * Der Auftragnehmer ist dafür verantwortlich, dass keine Netzkopplung der Datennetze des Auftraggebers und den mit diesem verbundenen Unternehmen mit anderen Datennetzen stattfindet. | ||
| 45 | Fachlich bedingte Abweichungen sind in Textform mit dem Auftraggeber abzustimmen. | ||
| 46 | Meldung Informationssicherheitsvorfälle | ||
| 47 | Der Auftragnehmer verpflichtet sich, den Auftraggeber über alle Informationssicherheitsvorfälle sowie Datenschutzverletzungen gemäß Art. 33 DSGVO zu informieren, die im Umfeld des Auftragnehmers oder eines seiner Nachunternehmer auftreten und Auswirkungen auf seine unmittelbare oder mittelbare Leistungserbringung haben. Die Meldung hat, sofern der Informationssicherheitsvorfall relevant für die Daten und Systeme des Auftraggebers und der mit diesem verbundenen Unternehmen ist, unverzüglich zu erfolgen. | ||
| 48 | Die Meldung muss mindestens folgende Inhalte haben: | ||
| 49 | * Zeitpunkte des Vorfalls und der Vorfallserkennung, | ||
| 50 | * Betroffene Komponenten, | ||
| 51 | * Ergriffene Maßnahmen, | ||
| 52 | * Ersteinschätzung der Schwere / Kritikalität / rechtlicher Relevanz. | ||
| 53 | Vertragsspezifische Inhalte der Meldung werden innerhalb von acht Wochen nach Vertragsabschluss einvernehmlich in Textform vereinbart. | ||
| 54 | Die Meldungen erfolgen an die im Vertrag vereinbarten Kontakte. | ||
| 55 | Informationssicherheitsvorfälle, die nicht die Daten und Systeme des Auftraggebers und seiner verbundenen Unternehmen berühren, können dem Auftraggeber im Rahmen des regelmäßigen Statusberichts freiwillig offengelegt werden. | ||
| 56 | Wiederherstellung sicherer Zustand | ||
| 57 | Im Falle eines für den Auftraggeber und der mit diesem verbundenen Unternehmen relevanten Informationssicherheitsvorfalls hat der Auftragnehmer neben der Information des Auftraggebers auch unverzüglich alle notwendigen Maßnahmen zu ergreifen, um die gebotene Sicherheit wiederherzustellen. Sofern hierfür ein konzertiertes Vorgehen mit dem Auftraggeber erforderlich ist, wird der Auftragnehmer sich mit detailliertem Maßnahmenkatalog an den Auftraggeber wenden und sich mit diesem abstimmen. Ist zur Bearbeitung der Maßnahmen die Unterstützung mit dem Auftraggeber verbundener unternehmen und / oder Dritter notwendig, gewährt der Auftragnehmer diesen Zugang zu allen notwendigen Informationen, Systemen und Betriebsstätten. | ||
| 58 | Zugriffe | ||
| 59 | Ein direkter oder verdeckter Zugang zu den Informationssystemen (operative Systeme, Netze, Programme, Datenbestände) des Auftraggebers und der mit diesem verbundenen Unternehmen ist dem Auftragnehmer nur dann gestattet, wenn er vom Auftraggeber eine ausdrückliche, dokumentierte Zugriffsberechtigung erhalten hat; die Zugriffsberechtigung ist auf die eingesetzten und ausdrücklich zugelassenen Mitarbeiter des Auftragnehmers bzw. seiner Nachunternehmer beschränkt. Die Weitergabe der Zugriffsberechtigung an Dritte ist untersagt. Eine erteilte Zugriffsberechtigung darf ausschließlich im Rahmen der vertraglich übernommenen Leistungen genutzt werden. | ||
| 60 | Betriebssicherheit | ||
| 61 | Der Auftraggeber behält sich das Recht vor, Netzzugänge des Auftragnehmers zur Infrastruktur des Auftraggebers und seiner verbundenen Unternehmen auf Grund behördlicher Anordnungen oder mit dem Auftraggeber vereinbarter Nutzungsbestimmungen zu überwachen oder zu sperren. Ebenfalls ist eine Unterbrechung dieser Zugänge jederzeit möglich, wenn durch die an das Netz angeschlossenen Geräte des Auftragnehmers in irgendeiner Weise die Betriebssicherheit bzw. das Betriebsverhalten des Netzes oder daran angeschlossener anderer Geräte oder Software beeinträchtigt werden. Vorgenanntes gilt vorbehaltlich abweichender Regelungen zum Umgang mit personenbezogenen Daten im Auftragsverhältnis. | ||
| 62 | Bewertung des Reifegrads der Informationssicherheit beim Auftragnehmer | ||
| 63 | Bewertung der Sicherheitsorganisation | ||
| 64 | Der Auftragnehmer hat dem Auftraggeber auf Anforderung Informationen seiner Sicherheitsorganisation offenzulegen und auf Nachfrage geeignete Evidenzen auszuhändigen, auf deren Basis der Auftraggeber eine Bewertung des Reifegrads der Informationssicherheit durchführen kann. Dies können z.B. eine Management Summary zur Sicherheitsorganisation im Anwendungsbereich der Leistung, Berichte aus einem bestehenden Informationssicherheitsmanagementsystem, ein DIN EN ISO/IEC 27001-Zertifikat, einschließlich detaillierter Beschreibung des Geltungsbereichs und der Erklärung der Anwendbarkeit (Statement of Applicability (SoA)) und des ISO/IEC 27001–Prüfberichts bzw. äquivalente Nachweise oder aktuelle Auditergebnisse im Anwendungsbereich der Leistung sein. | ||
| 65 | Audit | ||
| 66 | Der Auftragnehmer stimmt zu, dass der Auftraggeber oder ein anderer beauftragter Dritter im Auftrag des Auftraggebers den Auftragnehmer während der Laufzeit des Vertrages in Bezug auf dessen Informationssicherheit und Einhaltung datenschutzrechtlicher Bestimmungen auditieren darf. Basis der Audits in der Informationssicherheit ist die ISO27001 sowie der jeweils aktuelle Stand der Technik. Geprüft wird die angemessene Umsetzung der vereinbarten Informationssicherheitsanforderungen und die Wirksamkeit der Informationssicherheitsorganisation bezogen auf den Auftrag. Basis der datenschutz- rechtlichen Audits sind die DSGVO sowie das BDSG. | ||
| 67 | Anlasslose Audits | ||
| 68 | Zwischen den anlasslosen Audits sollen grundsätzlich mindestens zwei Jahre liegen. Deren Durchführung erfolgt zu den üblichen Geschäftszeiten. Die Dauer des Vor-Ort Auditanteils ist in Abhängigkeit mit den ausgehändigten Evidenzen und wird mit mindestens zwei Arbeitstagen veranschlagt. Der Auftraggeber kündigt ein anlassloses Audit spätestens sechs Wochen vor dessen Durchführung an. | ||
| 69 | Der Auftragnehmer stellt rechtzeitig (i.d.R. spätestens drei Wochen vor Durchführungstermin) die benötigten Unterlagen wie z.B. Managementberichte, betriebliche Unterlagen (Konfigurations- und Berechtigungsdaten, …), Berichte aus dem ISMS, etc. zur Verfügung und kommt seinen Mitwirkungspflichten, z.B. Erteilung der notwendigen Zugriffsrechte, Bereitstellen von Dokumentationen und Zugängen, im Rahmen des Audits nach. Der Auftraggeber stellt dem Auftragnehmer die Ergebnisse des Audits in Berichtsform zur Verfügung. | ||
| 70 | Der Auftragnehmer verpflichtet sich, die als kritisch gekennzeichneten Auditergebnisse in Verbesserungsprojekten anzupassen und deren Fortschritt in der Regelkommunikation zu berichten. Auftraggeber und Auftragnehmer vereinbaren Umfang und Zeitplan dieser Verbesserungsprojekte ein- vernehmlich. Der Auftraggeber behält sich das Recht vor, den Fortschritt der Verbesserungsmaß- nahmen vor Ort zu prüfen. Für die Vorbereitung dieser Prüfungen gilt der oben für Audits genannte Zeitrahmen. | ||
| 71 | Anlassbezogene Audits | ||
| 72 | Anlassbezogene Audits können in Abhängigkeit von der Schwere des Anlasses bzw. der Dringlichkeit auch kurzfristiger erfolgen. | ||
| 73 | Der Auftragnehmer stimmt darüber hinaus zu, dass der Auftraggeber im Falle eines schweren Informationssicherheitsvorfalls in Bezug auf dessen Informationssicherheit und Einhaltung datenschutzrechtlicher Bestimmungen anlassbezogen auditieren darf. Diese Regelung gilt für die Lauf- zeit des Vertrages. Das Audit kann durch den Auftraggeber selbst oder durch einem vom ihm beauftragten Dritten erfolgen. Der anlassbezogene Auditumfang umschließt die Umsetzung des aktuellen Stands der Technik durch den Auftragnehmer. Bei Prüfung durch einen externen Dritten, stehen dem Auftraggeber sämtliche Prüfungsergebnisse bezogen auf die vertraglich vereinbarte Dienst-/ Serviceleistung zu. | ||
| 74 | Ergibt ein anlassbezogenes Audit Erkenntnisse zu Fällen von Nicht-Einhaltung vertraglich vereinbarte Informationssicherheitsanforderungen, sowie Datenschutzbestimmungen seitens des Auftragnehmers, werden diese zeitnah in den entsprechenden Verbesserungsprojekten des Auftragnehmers behandelt, um die künftige Einhaltung sicherzustellen. | ||
| 75 | Der Auftraggeber behält sich das Recht vor, den Fortschritt der Verbesserungsmaßnahmen vor Ort zu prüfen. | ||
| 76 | Kalkulatorische Aufwände und Kosten | ||
| 77 | Der Auftraggeber führt Informationssicherheitsaudits in der Regel auf standardisierter Basis und mehrheitlich als Remote-Prüfung durch. Hierbei liegt der durchschnittliche Aufwand auftragnehmerseitig für Vorbereitung und Durchführung bei ca. zwei Tagen. Für Vor-Ort-Prüfungen veranschlagt der Auftraggeber durchschnittlich fünf Tage auf Seiten des Auftragnehmers. Nicht enthalten hierin sind die Aufwände zur Bereitstellung der zu prüfenden ISMS-Dokumentation. | ||
| 78 | Aufwände für nicht standardisierte Audits (z.B. anlassbezogene Audits) können nicht pauschal benannt werden. | ||
| 79 | Die beim Auftraggeber anfallenden Kosten eines anlasslosen Audits werden vom Auftraggeber getragen. Die beim Auftraggeber anfallenden Kosten eines anlassbezogenen Audits werden vom Auftragnehmer getragen. | ||
| 80 | Leistungen im Kontext wichtiger und besonders wichtiger Einrichtungen / kritischer Anlagen | ||
| 81 | Die nachfolgend formulierten Anforderungen gelten für Verträge im Kontext wichtiger und besonders wichtiger Einrichtungen bzw. kritischer Anlagen. Die Gültigkeit der Anforderungen für den entsprechenden Vertrag ist dem Vertrag selbst bzw. der Leistungsbeschreibung zu entnehmen. | ||
| 82 | Systeme zur Angriffserkennung | ||
| 83 | Für IT- und OT-Produkte, die sich in einer Netzwerkinfrastruktur der als kritische Infrastruktur klassifizierten Gesellschaften des DB Konzerns befinden oder Informationen dorthin einspeisen, unterstützt der Auftragnehmer den Auftraggeber bei der Integration in das System zur Angriffserkennung (SzA) des Auftraggebers. Dies umfasst die Bereitstellung von notwendigen Informationen zur Umsetzung der Bereiche Protokollierung, Detektion und Reaktion sowie zur Nachweiserbringung. | ||
| 84 | Konkrete Umsetzung und gegebenenfalls Aufgabenverteilung, falls das IT- / OT-Produkt durch den Auftragnehmer betrieben wird, sind in der Leistungsbeschreibung beschrieben bzw. werden im Rahmen des Vertragsschlusses detailliert. | ||
| 85 | Audits | ||
| 86 | Abweichend von Absatz 3.2.c) finden Audits im Kontext kritischer Infrastruktur standardmäßig als Vor-Ort-Audit statt. Erfolgt die Leistungserbringung nicht allein durch den Auftragnehmer, kann sich das Audit auf die gesamte Lieferkette erstrecken. Der Auftragnehmer hat in seinen Verträgen die entsprechenden Voraussetzungen zu schaffen. Die Aufwände für Audits im Bereich Kritischer Infrastruktur können höher sein, weil die Inhalte durch gesetzliche und behördliche Vorgaben bestimmt werden. Die in 3.2.c) genannte Kostenregelung bleibt hiervon unberührt. | ||
| 87 | Meldung und Bearbeitung von Sicherheitsvorfällen | ||
| 88 | Ergänzend zu Absatz 2.12 hat im Falle eines erheblichen Sicherheitsvorfalls eine Erstmeldung an den Auftraggeber unverzüglich, spätestens aber 24h nach Kenntniserlangung des Sicherheitsvorfalls zu erfolgen, eine detaillierte Meldung einschließlich Auswirkungsanalyse spätestens nach 72h. | ||
| 89 | Soweit Nachunternehmer und / oder Dienstleister eingesetzt werden, stellt der Auftragnehmer sicher, dass er gleichwohl die genannten Meldefristen einhalten kann. | ||
| 90 | Im Rahmen der Behandlung des Sicherheitsvorfalls hat der Auftragnehmer entsprechende Erreichbarkeiten seines Personals zu gewährleisten. | ||
| 91 | Ein erheblicher Sicherheitsvorfall definiert sich wie folgt: Ein Sicherheitsvorfall, der entweder schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die DB-Konzernunternehmen verursacht oder verursachen kann, oder andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder beeinträchtigen kann. | ||
| 92 | Unterstützung Risikomanagement | ||
| 93 | Liefert der Auftragnehmer IT- und OT-Produkte, die sich in einer Netzwerkinfrastruktur des DB Konzerns befinden oder Informationen dorthin übertragen, unterstützt der Auftragnehmer den Auftraggeber bei der Durchführung eines angemessenen Risikomanagements. Dies beinhaltet - wo zutreffend - die Bereitstellung von Informationen zu folgenden Themenkomplexen: | ||
| 94 | * Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik, | ||
| 95 | * Bewältigung von Sicherheitsvorfällen, | ||
| 96 | * Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen Auftragnehmer und von ihm beauftragter Diensteanbietern/ Lieferanten, | ||
| 97 | * Sicherheitsmaßnahmen bei Entwicklung und Wartung von IT- und OT-Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen, | ||
| 98 | * Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung, | ||
| 99 | * Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder zur kontinuierlichen Authentifizierung. | ||
| 100 | Betreibt der Auftragnehmer das IT- oder OT-System im Auftrag des Auftraggebers, stellt er dem Auftragnehmer zusätzlich Informationen zu folgenden Bereichen zur Verfügung: | ||
| 101 | * Verwendung gesicherter Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung des Auftragnehmers, | ||
| 102 | * Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik, | ||
| 103 | * grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Sicherheit in der Informationstechnik, | ||
| 104 | * Sicherheit des Personals, Konzepte für die Zugriffskontrolle und für das Management von Anlagen. | ||
| 105 | Der Auftragnehmer stellt diese Informationen erstmalig im Rahmen des Vertragsschlusses zur Verfügung und hält diese während der Vertragslaufzeit aktuell. | ||
| 106 | Datensicherung / Wiederherstellung | ||
| 107 | Der Auftragnehmer stellt dem Auftraggeber ein Konzept zur Datensicherung und Wiederherstellung (auch im Krisenfall) des IT-/OT-Systems zur Verfügung. Betreibt der Auftragnehmer das System im Auftrag des Auftraggebers, verantwortet er dessen Umsetzung. | ||
| 108 | Das Konzept beinhaltet u.a.: | ||
| 109 | * Dokumentation der Datensicherungs- und Wiederherstellungsmechanismen und -vorgehen ein-schließlich notwendiger Konfigurationen, | ||
| 110 | * Nachweis der korrekten Funktion der Datensicherungs- und Wiederherstellungsmechanismen, | ||
| 111 | * Auftraggeberseitige Voraussetzungen zur Implementierung des Konzepts | ||
| 112 | * Umgang mit Wechselmedien und kryptographischem Material (Schlüssel, Hashwerte, ...), | ||
| 113 | * Parameter und Konfigurationen von IT-/OT-Geräten, | ||
| 114 | * Verifikation der Datensicherungs- und Wiederstellungsvorgehen, | ||
| 115 | * Zeitpläne, | ||
| 116 | * Unabhängigkeit der Datensicherung vom normalen Betrieb, | ||
| 117 | * Protokollierung der Sicherungs- und Wiederherstellungstätigkeiten. |