Informationssicherheit
| Formblatt zur Abfrage der bieterseitigen Informationssicherheit | Unnamed: 1 | Unnamed: 2 | Unnamed: 3 | Unnamed: 4 |
|---|---|---|---|---|
| Hinweis: Dieses Formblatt dient ausschließlich der Bestandsaufnahme Ihrer aktuellen Informationssicherheit und fließt nicht in die Eignungsprüfung oder die Angebotswertung ein. Die Angaben helfen den Auftraggebern lediglich dabei, nach erteiltem Zuschlag die Zusammenarbeit passgenau zu strukturieren und spezifische Sicherheitsanforderungen zu berücksichtigen. | ||||
| Unternehmen / Firma | ||||
| Nr. | Frage / Anforderung | JA | NEIN | NICHT ANWENDBAR |
| B1. Informationssicherheits-Managementsystem (ISMS) | ||||
| B1.1 | Verfügt Ihr Unternehmen über ein dokumentiertes ISMS auf Basis eines anerkannten Standards (z. B. ISO/IEC 27001, BSI-Grundschutz, BSI-Grundschutz++, IEC 62443, SOC 2 Type II)? | |||
| B1.2 | Liegt eine aktuelle ISO 27001-Zertifizierung oder ein gleichwertiger Nachweis für Ihre für das angebotene Produkt bzw. (Gesamt-)System verantwortliche Einheit vor? | |||
| B1.3 | Sofern Cloud-Komponenten für die Verarbeitung von Gesundheitsdaten eingesetzt werden: Liegt ein aktuelles C5-Testat Typ 2 vor, in dessen Geltungsbereich/Scope die im Rahmen des Leistungsgegenstands angebotenen Cloud-Komponenten enthalten sind? Dies betrifft insbesondere auch SaaS-Komponenten und nicht nur die Cloud-Infrastruktur. [sofern anwendbar] | |||
| B1.4 | Sind Sicherheitsrollen, Verantwortlichkeiten sowie Sicherheitsrichtlinien und -prozesse dokumentiert festgelegt? | |||
| B1.5 | Werden regelmäßige Risikoanalysen durchgeführt und Sicherheitsmaßnahmen zur Behandlung der Risiken implementiert? | |||
| B1.6 | Wird die Wirksamkeit der aus den Risikoanalysen abgeleiteten Maßnahmen regelmäßig überprüft (z.B. durch interne Audits)? | |||
| B2. Organisation, Verantwortlichkeiten und Personal | ||||
| B2.1 | Ist ein verantwortlicher Ansprechpartner für Informationssicherheit (z. B. CISO, ISB, IT-Sicherheitsbeauftragter) benannt? | |||
| B2.2 | Werden Änderungen des Ansprechpartners für Informationssicherheit dem Auftraggeber unverzüglich mitgeteilt? | |||
| B2.3 | Werden alle an der Leistungserbringung beteiligten Mitarbeitenden regelmäßig zu Informationssicherheit geschult? | |||
| B2.4 | Sind alle Mitarbeitenden mit Zugriff auf Systeme oder Daten des Auftraggebers schriftlich auf Vertraulichkeit (DSGVO, BDSG) und Schweigepflicht (§ 203 StGB) verpflichtet? | |||
| B2.5 | Werden von Ihnen eingesetzte Unterauftragnehmer vertraglich zur Einhaltung der gleichen Informationssicherheitsanforderungen verpflichtet, wie sie Ihr Unternehmen erfüllt? | |||
| B3. Asset-Management | ||||
| B3.1 | Führen Sie ein vollständiges, aktuell gehaltenes Inventar aller IT-/IKT-Assets (Hardware, Software inkl. Versionsstand/Patchstatus, Schnittstellen, Cloud-Dienste, Unterauftragnehmer-Systeme), die in die IT-Infrastruktur des Auftraggebers eingebunden sind oder mit ihr interagieren (z. B. durch Online-Anbindung, IT-Schnittstelle oder Wartungszugang)? | |||
| B3.2 | Kann dieses Inventar dem Auftraggeber auf Anfrage vollständig und unverzüglich zur Verfügung gestellt werden? | |||
| B3.3 | Werden Änderungen am Asset-Bestand (Hinzufügen, Austausch, Außerbetriebnahme) dem Auftraggeber vorab mitgeteilt, soweit sie Systeme mit Anbindung an die Infrastruktur des Auftraggebers betreffen? | |||
| B4. IT-Systemschutz, Härtung & Security by Design | ||||
| B4.1 | Werden gelieferte Systeme nach einem anerkannten Härtungsstandard (z. B. CIS Benchmark, BSI-Grundschutz, herstellereigener Standard) konfiguriert? | |||
| B4.2 | Werden nicht benötigte Dienste, Ports, Protokolle, Benutzerkonten und Gastkonten vor Inbetriebnahme deaktiviert? | |||
| B4.3 | Sind auf allen gelieferten Komponenten die Sicherheitsfunktionen (Secure Boot, Host-Firewall, Festplattenverschlüsselung) aktiviert? | |||
| B4.4 | Sind Malware-Schutzsysteme (Antivirenprogramm mit täglicher Aktualisierung der Virendefinitionen) aktiv? | |||
| B4.5 | Sind im Rahmen der Leistungserbringung betriebene Netzwerke und Firewalls dem aktuellen Stand der Technik entsprechend abgesichert – auch in komplexen Laborstrukturen mit internen Firewalls und Port-Freischaltungen? | |||
| B4.6 | Werden beim Anschluss an die IT-Infrastruktur des Auftraggebers ausschließlich die abgestimmten, notwendigen Daten und Dienste implementiert? | |||
| B5. Schutz vertraulicher Informationen, Datenschutz & Verschlüsselung | ||||
| B5.1 | Verpflichten Sie sich schriftlich, sämtliche Informationen des Auftraggebers und von dessen Kunden/Patienten vertraulich zu behandeln – auch nach Vertragsende? | |||
| B5.2 | Werden auf dem Gerät, einer Middleware oder in der Cloud gespeicherte Patientendaten und Messdaten verschlüsselt (at-rest)? | |||
| B5.3 | Entsprechen die Verschlüsselungsverfahren den aktuellen BSI-Empfehlungen (TR-02102) und werden diese bei Schwächen oder Änderung der Empfehlungen ohne gesonderte Aufforderung nachgebessert? | |||
| B5.4 | Werden personenbezogene Daten des Auftraggebers und seiner Kunden/Patienten nur mit ausdrücklicher Zustimmung an Dritte weitergegeben? | |||
| B5.5 | Sind die technischen und organisatorischen Datenschutzmaßnahmen gemäß Art. 32 und 25 DSGVO dokumentiert und können dem Auftraggeber übergeben werden? | |||
| B6. Patch- und Schwachstellenmanagement | ||||
| B6.1 | Verfügen Sie über einen dokumentierten Prozess zur regelmäßigen Installation von Sicherheitsupdates und Patches für Applikationen, Betriebssysteme und Embedded-Systeme? | |||
| B6.2 | Werden kritische Patches (CVSS ≥ 7,0) innerhalb einer definierten, von ihnen schriftlich zugesagten Frist bereitgestellt? | |||
| B6.3 | Verfügen Sie über ein PSIRT (Product Security Incident Response Team) oder eine vergleichbare Stelle zur Kommunikation von Schwachstellen und Security Advisories? | |||
| B6.4 | Werden dem Auftraggeber bekannte Schwachstellen in gelieferten Produkten bzw. (Gesamt-)Systemen unverzüglich, spätestens innerhalb von 72 Stunden nach Bekanntwerden, gemeldet? | |||
| B6.5 | Wird bei nicht unverzüglicher Behebbarkeit einer Schwachstelle eine kompensierende Maßnahme dokumentiert und dem Auftraggeber mitgeteilt? | |||
| B6.6 | Wird sichergestellt, dass Patches die Konformität von Medizinprodukten oder IVDs nicht beeinträchtigen? Ist ein Revalidierungsverfahren nach Software-Updates dokumentiert? [sofern anwendbar] | |||
| B7. Audit-Logs, Protokollierung & SIEM-Integration | ||||
| B7.1 | Werden sicherheitsrelevante Ereignisse protokolliert (Anmeldungen, Fehlversuche, Konfigurationsänderungen, Datenzugriffe, Fernzugriffe)? | |||
| B7.2 | Sind Logs gegen Manipulation geschützt (z. B. kryptografische Signatur, Write-once-Speicher)? | |||
| B7.3 | Können Logs in standardisierten Formaten exportiert werden (z. B. Syslog, CEF, LEEF, JSON)? | |||
| B7.4 | Unterstützt das angebotene Produkt bzw. (Gesamt-)System die Weiterleitung von Logs an ein externes SIEM-System? | |||
| B7.5 | Werden Integrationshilfen oder Konnektoren für gängige SIEM-Systeme bereitgestellt? | |||
| B8. Change-Management | ||||
| B8.1 | Werden Änderungen an Systemen, Software, Konfigurationen oder Schnittstellen, die den Betrieb des Auftraggebers beeinflussen können, nur nach vorheriger Abstimmung mitund Freigabe durch den Auftraggeber durchgeführt? | |||
| B8.2 | Werden vor jeder Änderung schriftliche Informationen bereitgestellt (Beschreibung, betroffene Systeme, Zeitplan, Risikoabschätzung, Rollback-Plan)? | |||
| B8.3 | Werden Notfalländerungen spätestens innerhalb von 24 Stunden nach Durchführung vollständig dokumentiert und dem Auftraggeber gemeldet? | |||
| B9. Sichere Softwareentwicklung | ||||
| B9.1 | Werden dokumentierte, sichere Entwicklungsprozesse (Secure SDLC) angewendet? | |||
| B9.2 | Werden Sicherheitsanalysen, Code-Reviews und Schwachstellenanalysen (z. B. SAST, DAST) als fester Bestandteil des Entwicklungsprozesses durchgeführt? | |||
| B9.3 | Wurde für das angebotene Produkt bzw. (Gesamt-)System innerhalb der letzten 24 Monate ein unabhängiger Penetrationstest durchgeführt? | |||
| B9.4 | Wurden Befunde mit CVSS-Score ≥ 7,0 (High/Critical) aus dem letzten Penetrationstest nachweislich behoben? | |||
| B10. Sicherheitsvorfälle und Meldepflichten (inkl. NIS-2 / §32 BSIG) | ||||
| B10.1 | Verfügen Sie über ein dokumentiertes Verfahren zur Erkennung und Behandlung von Sicherheitsvorfällen? | |||
| B10.2 | Verpflichten Sie sich, Sicherheitsvorfälle mit möglichen Auswirkungen auf den Auftraggeber unverzüglich an die vom Auftraggeber benannten Kontaktstellen zu melden? | |||
| B10.3 | Enthält Ihre Meldung zu Sicherheitsvorfällen mindestens: Vorfallsbeschreibung, betroffene Systeme/Daten, potenzielle Auswirkungen und bereits eingeleitete Maßnahmen? | |||
| B10.4 | Unterstützen Sie den Auftraggeber auf Anfrage bei der Untersuchung von Sicherheitsvorfällen, der Schadensbegrenzung und der Wiederherstellung? | |||
| B10.5 | Sind Sie in der Lage, die dreistufige NIS-2-Meldepflicht (§ 32 BSIG) einzuhalten und den Auftraggeber so rechtzeitig zu informieren, dass dieser seinen eigenen Meldepflichten nachkommen kann: Stufe 1 – Frühwarnung innerhalb von 24 Stunden, Stufe 2 – bewertende Folgemeldung innerhalb von 72 Stunden, Stufe 3 – Abschlussbericht innerhalb eines Monats? | |||
| B10.6 | Ist die Erstmeldung (Stufe 1, 24 h) auch dann sichergestellt, wenn zum Zeitpunkt der Meldung die Ursachenanalyse noch nicht abgeschlossen ist (Grundsatz: Schnelligkeit vor Vollständigkeit)? | |||
| B10.7 | Enthält Ihre Frühwarnung (24 h) mindestens: vorläufige Vorfallsbeschreibung, betroffene Systeme, Einschätzung ob böswillige Handlung oder grenzüberschreitende Auswirkungen vorliegen, sowie aktuelle Kontaktinformationen? | |||
| B10.8 | Enthält Ihre Folgemeldung (72 h) mindestens: erste Bewertung von Schweregrad und Auswirkungen, eingeleitete Gegenmaßnahmen sowie Indicators of Compromise (IoCs)? | |||
| B10.9 | Enthält Ihr Abschlussbericht (28 Tage) eine vollständige Ursachenanalyse (Root Cause), umgesetzte Maßnahmen und Lessons Learned? | |||
| B11. Business Continuity und Notfallmanagement | ||||
| B11.1 | Verfügen Sie über dokumentierte Notfallpläne und Geschäftsfortführungspläne? | |||
| B11.2 | Existieren Datensicherungs- und Wiederherstellungsverfahren für leistungsrelevante Systeme? | |||
| B11.3 | Werden Notfallmaßnahmen regelmäßig getestet? | |||
| B11.4 | Garantieren Sie vertraglich eine definierte Verfügbarkeit (Uptime) und eine maximal zulässige ungeplante Ausfallzeit? | |||
| B12. Hardwarekomponenten und Produktkonformität (MDR/IVDR) | ||||
| B12.1 | Entsprechen die von Ihnen gelieferten IT-/IKT-Produkte dem aktuellen Stand der Technik? | |||
| B12.2 | Trägt das Produkt eine CE-Kennzeichnung gemäß EU-MDR (EU 2017/745) bzw. IVDR (EU 2017/746), sofern es sich um ein Medizinprodukt oder IVD handelt? [sofern anwendbar] | |||
| B12.3 | Können vor Inbetriebnahme schriftliche Angaben zu CE-Kennzeichnung, Zweckbestimmung, Softwareständen, Antivirenprogramm, UDI sowie EUDAMED-Registrierung bereitgestellt werden? [sofern anwendbar] | |||
| B12.4 | Liegt ein Post-Market Surveillance (PMS)-Plan gemäß MDR Art. 83 vor? [sofern anwendbar] | |||
| B12.5 | Ist für validierungspflichtige Produkte – Medizinprodukte der Risikoklasse IIb/III gemäß EU-MDR bzw. In-vitro-Diagnostika der Klasse C/D gemäß EU-IVDR – ein dokumentiertes Revalidierungsverfahren nach Software-Updates vorhanden? [sofern anwendbar] | |||
| B13. KI-Transparenz & EU AI Act | ||||
| B13.1 | Enthält das angebotene Produkt bzw. (Gesamt-)System KI-gestützte Funktionen im Sinne des EU AI Acts (z. B. automatische Befundauswertung, Qualitätskontrolle, Anomalieerkennung) und sind diese dokumentiert? [sofern anwendbar] | |||
| B13.2 | Sofern KI-Funktionen vorhanden: Liegt eine Einstufung gemäß EU AI Act (Hochrisiko-KI gem. Art. 6) sowie ggf. eine entsprechende CE-Kennzeichnung und technische Dokumentation vor? [sofern anwendbar] | |||
| B13.3 | Sind für KI-Hochrisiko-Systeme Nachweise zu Logging und menschlicher Aufsicht (Human Oversight) verfügbar? [sofern anwendbar] | |||
| B14. Unterauftragnehmer und Lieferkette | ||||
| B14.1 | Holen Sie vor dem Einsatz von Unterauftragnehmern beim Auftraggeber eine schriftliche Genehmigung ein? | |||
| B14.2 | Verpflichten Sie Unterauftragnehmer vertraglich zur vollständigen Einhaltung der Informationssicherheitsanforderungen? | |||
| B14.3 | Können alle wesentlichen Unterauftragsverarbeiter mit Sicherheitsnachweisen (z. B. ISO 27001, C5-Testat) benannt werden? | |||
| B14.4 | Wird der Auftraggeber über wesentliche Änderungen in der Lieferkette (neue Unterauftragnehmer, Rechenzentrumsstandorte) vorab informiert? | |||
| B14.5 | Identifizieren und managen Sie Informationssicherheitsrisiken in Ihrer eigenen Lieferkette? | |||
| B15. End-of-Life und Langzeitunterstützung | ||||
| B15.1 | Stellen Sie kritische Sicherheitsupdates und Support für alle ausgelieferten Softwarekomponenten des angebotenen Produkts bzw. (Gesamt-)Systems für mindestens 7 Jahre ab Auslieferung bereit? (Bei Cloud-/Miet-Modellen: für die gesamte Vertragslaufzeit) | |||
| B15.2 | Existiert ein Migrationsplan oder werden Kompensationsmaßnahmen angeboten, wenn das angebotene Produkt bzw. (Gesamt-)System das End-of-Life erreicht? | |||
| B16. Audit- und Kontrollrechte / Vertragsende | ||||
| B16.1 | Erklären Sie sich bereit, dem Auftraggeber auf Anfrage Sicherheitsnachweise und Zertifikate vorzulegen? | |||
| B16.2 | Unterstützen Sie Dokumentenprüfungen und – bei entsprechender Ankündigung – Vor-Ort-Audits durch den Auftraggeber? | |||
| B16.3 | Verpflichten Sie sich, bei Vertragsende sämtliche Daten des Auftraggebers zurückzugeben oder nachweislich zu löschen sowie alle Zugriffsrechte zu entfernen? | |||
| B16.4 | Verpflichten Sie sich, das vollständige Asset-Inventar bei Vertragsende zu übergeben und alle eigenen Assets aus der Umgebung des Auftraggebers nachweislich zu entfernen? |