26FEI88441_2.21.4_Anl. z. EVB Info-Sicherheit Standard Software.pdf

[Seite 1]

Anhang 6 zur EVB Informationssicherheit Standard-Software

Ausgabe 01.11.2024

4 Präambel

Diese Regelungen gelten ergänzend zu den Ergänzenden Vertragsbedingungen der Deutsche Bahn AG und der mit ihr verbundenen Unternehmen zu Anforderungen an die Informationssicherheit (EVB Informationssicherheit) und regeln den folgenden Anwendungsfall:

• Standard-Software ohne DB-spezifische Anpassungen

5 Zusätzliche Anforderungen an die Informationssicherheit

5.1 Erreichbarkeiten

Für die Erreichbarkeit der Ansprechpartner gelten folgende Verfügbarkeits- und Reaktionszeiten, so- weit Auftraggeber und Auftragnehmer im Vertrag nicht ausdrücklich etwas anderes vereinbart haben.

Tabelle 1: Reaktionszeiten

5.2 – entfällt –

5.3 – entfällt –

5.4 Sicherheitsdokumentation

Der Auftragnehmer dokumentiert die Sicherheitseigenschaften des IT- / OT-Produkts derart, dass die Anforderungen des Auftraggebers (z.B. auf Grund des Schutzbedarfs) verifiziert werden können. Die Dokumentation beinhaltet u.a. Angaben zu

• implementierten Mechanismen zum Schutz der verarbeiteten und gespeicherten Daten, • Archivierungskonzepten, • verwendeten Komponenten (im Sinne der kleinsten tauschbaren Einheit, auch Netzwerk- komponenten und Komponenten Dritter) inklusive eindeutiger Seriennummern bzw. Indenti- fikationsmerkmalen, • Datenflüssen und deren Schutzmechanismen, • Netzplänen und Schnittstellen, • Informationen zu Zugriffsmöglichkeiten (auch drahtlos, u.A. offene Ports) und deren Schutz- maßnahmen.

Bei Änderungen am Produkt hält der Auftragnehmer die Dokumentation auf dem aktuellen Stand.

Anhang EVB Informationssicherheit Seite 1

Gültig ab: 01.11.2024 In Fassung: 01.12.2025

[Seite 2]

Für OT-Produkte erstellt der Auftragnehmer eine Risikoanalyse gem. IEC62443 und hält diese über die Vertragslaufzeit bzw. bis zum Ende der Gewährleistungsfrist aktuell (soweit nicht vertraglich abwei- chend vereinbart; es gilt das weiter in der Zukunft liegende Datum). Ergeben sich hieraus Maßnahmen am Produkt, stimmen sich Auftraggeber und Auftragnehmer über Umsetzungsrahmen und Kosten ab.

Auf Aufforderung lässt der Auftragnehmer die Risikoanalyse durch einen unabhängigen Dritten verifi- zieren. Die Kosten hierfür trägt der Auftraggeber.

5.5 Untersagung unerwünschter Funktionen

Der Auftragnehmer gewährleistet, dass die von ihm gelieferten oder für den Auftraggeber betriebenen IT- / OT-Produkte keine unerwünschten Funktionen aufweisen, die die Integrität, Vertraulichkeit und Verfügbarkeit von Software, Hardware oder Daten gefährden und den Vertraulichkeits- oder Sicher- heitsinteressen des Auftraggebers zuwiderlaufen, z.B. Backdoors oder Funktionalitäten zur Manipula- tion von Daten oder Ablauflogik.

5.6 – entfällt –

5.7 – entfällt –

5.8 Kryptographie

Im IT/OT-Produkt verarbeitete und gespeicherte Informationen sind in Abstimmung mit dem Auftragge- ber durch kryptographische Verfahren zu schützen, insbesondere Zugriffs- und Konfigurationsdaten. Der Auftragnehmer dokumentiert diese in Abstimmung mit dem Auftraggeber. Der Auftragnehmer ge- währleistet, dass die verwendeten kryptographischen Verfahren und Maßnahmen zur Schlüsselverwal- tung dem Stand der Technik entsprechen.

5.9 – entfällt –

5.10 Bereitstellung Sicherheitspatches

Sofern der Vertrag die Lieferung oder den Betrieb von IT- / OT-Produkten – auch im Rahmen eines Services – vorsieht, gewährleistet der Auftragnehmer während des von ihm zu benennenden Produkt- lebenszyklus die Schließung von Sicherheitslücken mittels Patches. Der Auftragnehmer liefert/betreibt ein patchfähiges IT- / OT-Produkt, so dass Änderungen nachträglich vorgenommen werden können, ohne Grundfunktionalitäten zu verändern oder Schutzziele zu gefährden. Der Auftragnehmer gewähr- leistet, dass eingespielte Patches nach dem Stand der Technik entwickelt, getestet und freigegeben sind, bei Produktionsproblemen zurückgenommen werden können (Revoke) und Änderungen system- seitig protokolliert und dokumentiert werden. Der Patchrhythmus orientiert sich am Stand der Technik.

Bei Betrieb des Produkts im Netz des Auftraggebers stellt der Auftragnehmer eine Bewertung der Pat- ches und einen Terminplan zu deren Bereitstellung zur Verfügung. Security Advisories sollen wenn möglich maschinenlesbar (in Abstimmung mit dem Auftraggeber als Common Security Advisory Frame- work (CSAF) oder Cyclone DX) bekanntgegeben werden.

Die Dokumentation der Patches beinhaltet die Auswirkungen des Patches auf die betriebliche Risikosi- tuation sowie notwendige Voraussetzungen und Schritte zur Installation, z.B. Versionsabhängigkeiten und eventuelle Leistungsminderungen.

Für aus betrieblichen Gründen nicht installierbare Patches erstellt der Auftragnehmer in Zusammenar- beit mit dem Auftraggeber Anweisungen zu Workarounds und ggf. weiteren Mitigationsmaßnahmen.

Die Integrität von Sicherheits-Patches und Updates muss durch einen kryptographischen Mechanismus prüfbar sein.

5.11 – entfällt –

5.12 Vorbereitung der Inbetriebnahme / Härtung

Sofern der Vertrag die Lieferung von IT- / OT-Produkts vorsieht, gewährleistet der Auftragnehmer, dass diese vor Produktionseinführung frei von Bestandteilen und Funktionen sind, die zur Erfüllung der ver- traglichen Aufgaben nicht zwingend notwendig sind. Der Produkt-/ Serviceübergabe ist eine entspre- chende Bestätigung beizulegen. Installationsprinzipien, Schritte zur Härtung und zum Schutz der Schnittstellen, Konfigurationsanweisungen sowie zur Installation notwendige Werkzeuge und Program- mesind zu dokumentieren und dem Auftraggeber bereitzustellen.

Seite 2 Gültig ab: 01.11.2024 In Fassung: 01.12.2025

[Seite 3]

Der Auftragnehmer stellt dem Auftraggeber alle Administrationszugänge für den Fall der eigenständigen Inbetriebnahme und Betrieb der Systeme zur Verfügung. Ebenfalls ist die Dokumentation für die Admi- nistration zu übergeben.

Nicht benötigte Anwendungen, Dienste, Konten und Funktionen sind bei Auslieferung deaktiviert, unge- nutzte Ports und Schnittstellen gesperrt.

Zum Betrieb des Produkts notwendige Zertifikate und deren Management werden mit dem Auftraggeber abgestimmt. Die Verwendung selbst signierter Zertifikate ist untersagt.

Der Auftragnehmer prüft Installations- und weitere benötigte Datenträger vor Auslieferung auf Freiheit von Schadsoftware und bestätigt dies dem Auftraggeber. Für diese Zwecke genutzte Datenträger dürfen nicht anderweitig zum Einsatz kommen.

5.13 Passwörter

Fest im Sourcecode verankerte Passwörter sind unzulässig. Der Auftragnehmer händigt dem Auf- traggeber eine vollständige Liste der systemseitig angelegten Passwörter aus. Diese müssen zufällig generiert sein. Sofern der Vertrag die Implementierung von IT- / OT-Systemen vorsieht, verpflichtet sich der Auftragnehmer, Standardpasswörter vor Produktivsetzung zu ändern. Alle verwendeten Passwörter müssen vereinbarten Komplexitätskriterien genügen und zentral rücksetzbar sein. Die Komplexität, die Änderbarkeit und die Gültigkeitsdauer müssen technisch sichergestellt werden und dem Stand der Technik entsprechen.

5.14 Identitätsmanagement

Der Auftragnehmer gewährleistet und dokumentiert für sein IT- / OT-Produkt das Management der Identitäten und die von diesen erfolgenden Zugriffe auf Daten und Schnittstellen gemäß dem Stand der Technik, soweit im Vertrag nicht etwas anderes vereinbart sein sollte. Die Verwaltung und Doku- mentation von Nutzern und Rechten erfolgt in einer zentralen, integrierten Datenbank.

Betreibt der Auftragnehmer IT- / OT-Produkte oder Netzwerkkomponenten im Auftrag des Auftragge- bers, gelten folgende Anforderungen: Jede natürliche Person und jeder technische User bekommt für die Dauer seiner Tätigkeit ein separates Nutzerkonto bereitgestellt. Bei Beendigung der Tätigkeit ist das Konto zu deaktivieren und nach einem zu vereinbarenden Zeitraum zu löschen. Bei Auslieferung ange- legte User werden in der Datenbank dokumentiert. Es werden nur die minimal notwendigen Rechte vergeben. Auf Verlangen übermittelt der Auftragnehmer dem Auftraggeber die konkrete Leistung be- treffende Informationen aus dem Identity Access Management (IAM). Ein Zugriff auf das IT- / OT-Pro- dukt unter Umgehung des IAM ist technisch auszuschließen.

Für Fernwartungszugriffe ist bevorzugt das DB-Fernwartungssystem zu nutzen, Details sind zwischen AG und AN abzustimmen.

Bei als Service bezogenen Leistungen hält der Auftragnehmer über die Vertragslaufzeit ein die hier beschriebenen Anforderungen erfüllendes Identitätsmanagement zur Nutzung durch den Auftraggeber aufrecht.

5.15 – gestrichen –

5.16 Asset und Konfigurationsmanagement

Der Auftragnehmer verpflichtet sich, dem Auftraggeber vollständige Konfigurationsdaten inklusive aller Komponenten (im Sinne der kleinsten tauschbaren Einheit), Bibliotheken, Firmware, Bios und verwendeter Hardware zur Verfügung zu stellen.

Der Auftragnehmer muss die Konfiguration bei jeder Änderung eines Assets prüfen, dokumentieren und die aktualisierte Version dem Auftraggeber zur Verfügung stellen. Er muss zu jedem Zeitpunkt in der Lage sein, jedes Konfigurationselement zu identifizieren und alle not-wendigen Konfigurations- daten dieses Elementes bis hin zur Sourcecode Ebene vollständig und maschinenlesbar zu erhalten.

Wenn vorhanden, stellt der Auftragnehmer diese Informationen in Form einer Software Bill of Mate- rials (SBOM) im SPDX- oder Cyclone-DX-Format (nach Abstimmung mit dem AG) bzw. einer Hard- ware Bill of Material (HBOM) zur Verfügung.

Der Auftraggeber kann die Übereignung bzw. Hinterlegung des Sourcecodes bei einer anerkannten Hinterlegungsstelle verlangen.

Seite 3 Gültig ab: 01.11.2024 In Fassung: 01.12.2025

[Seite 4]

5.17 End of Service Life

Sofern der Vertrag die Lieferung von IT- / OT-Produkten vorsieht, verpflichtet sich der Auftragnehmer, Ablösestrategien bei absehbarem End of Service Life fachlich und technisch zu berücksichtigen und dem Auftraggeber entsprechende Informationen zu den betroffenen Assets zur Verfügung zu stellen.

5.18 – entfällt –

5.19 – entfällt –

5.20 – entfällt –

5.21 Schwachstellenprüfung

Der Auftragnehmer verpflichtet sich, seine Produkte und Dienstleistungen während deren definiertem Lebenszyklus kontinuierlich auf Schwachstellen zu prüfen, um in der Lage zu sein, auf neue Schwach- stellen so schnell wie möglich zu reagieren.

Die Häufigkeit, Intensität und Methoden der Schwachstellenüberprüfung müssen sich an der Risikosi- tuation des Auftraggebers orientieren. Hierzu stimmen sich Auftraggeber und Auftragnehmer regelmä- ßig ab. Ohne eine solche Vereinbarung orientieren sich die genannten Aktivitäten am Stand der Technik.

5.22 Integration Schwachstellenmanagement und Event Management

Für IT- und OT-Produkte, die sich in einer Netzwerkinfrastruktur der DB befinden oder Informationen dorthin einspeisen, unterstützt der Auftragnehmer den Auftraggeber bei der Integration in das Schwach- stellenmanagementsystem sowie das Event Management System des Auftraggebers, z.B. durch aus- reichende Dokumentation.

Hierzu werden sicherheitsrelevante Ereignisse innerhalb des Systems protokolliert, zu eventuellen Un- tersuchungszwecken archiviert und in einem abgestimmten Format zur Verfügung gestellt. Details (u.A. Art der Meldungen, Mengengerüste, Robustheit) sind in der Leistungsbeschreibung definiert.

Zusätzlich empfiehlt der Auftragnehmer Werkzeuge zur Sicherheitsanalyse bzw. weist auf nachteilige Auswirkungen bestimmter Werkzeuge hin.

5.23 Meldung von Schwachstellen

Sind vom Auftragnehmer bereitgestellte oder von diesem betriebene IT- / OT-Produkte von Schwach- stellen betroffen, ist der Auftragnehmer verpflichtet, diese dem Auftraggeber unverzüglich und auf siche- rem Wege zu melden. Die Einordnung der Ergebnisse erfolgt möglichst nach dem Common Vulnerability Scoring System oder auf Basis von Bewertungen des Bundesamtes für Sicherheit in der Informations- technik.

Inhalt der Meldung ist insbesondere:

• Genaue Bezeichnung des Produktes (soweit zutreffend Angaben insbesondere zu Bauform, Teil- system, Komponente, Herstellerbezeichnung, Release, Produkt- und / oder Chargennummer von überlassener Software, Firmware, Treiber, BIOS und Hardware). • Detaillierte Beschreibung der Schwachstelle einschließlich deren Ausnutzbarkeit. • Erstbewertung aus Sicht des Auftragnehmers und Empfehlung von konkreten Gegenmaßnahmen zur Schwachstellenbehandlung unter Berücksichtigung der ggf. einschlägigen Vorgaben zur si- cherheitstechnischen Zulassung und Freigabe. • Anzahl und dokumentierte Einbauorte (mit Nennung der technischen Anlage einschließlich Raum und Schrankplatz) der betroffenen Produkte, sofern Informationen beim Auftragnehmer vorhan- den und insbesondere bei 'as a Service'-Leistungen relevant sind.

Die Meldepflicht umfasst außerdem Folgemeldungen, sofern eine Schwachstellenbehandlung nicht in den vereinbarten Behandlungsfristen abgearbeitet werden kann.

5.24 Beseitigung von Schwachstellen

Die Zeiten zur Neutralisierung von Schwachstellen (z.B. durch einen Workaround) sowie zur finalen Lösung der Schwachstelle orientieren sich am jeweils aktuellen Stand der Technik, soweit im Vertrag nicht anders vereinbart.

5.25 – entfällt –

Seite 4 Gültig ab: 01.11.2024 In Fassung: 01.12.2025

[Seite 5]

5.26 – entfällt –

5.27 – entfällt –

5.28 – entfällt –

5.29 – entfällt –

5.30 – entfällt –

5.31 – entfällt –

Seite 5 Gültig ab: 01.11.2024 In Fassung: 01.12.2025