Ausgedruckt unterliegt das Dokument nicht dem Änderungsdienst
AGAPLESION RICHTLINIE CIT Informationssicherheitsrichtlinie für Auftragnehmer
AGAcareIT gGmbH i.G.
Inhalt
- Allgemeine Information.............................................................................................................................2
1.1. Ziel und Zweck des Dokumentes............................................................................................................2
1.2. Geltungsbereich.....................................................................................................................................2
1.3. Freigabe / Revision.................................................................................................................................2
-
Informationssicherheit in Lieferantenbeziehungen...................................................................................2
-
Verpflichtungserklärung.............................................................................................................................2
3.1. Zuverlässigkeit in Lieferantenbeziehungen............................................................................................3
3.2. Änderung oder Beendigung von Lieferantenverträgen..........................................................................3
3.3. Informationssicherheitsbewusstsein, -ausbildung und -schulung..........................................................3
- Organisatorische Anforderungen...............................................................................................................3
4.1. Organisation der Informationssicherheit...............................................................................................3
4.2. Benachrichtigung über sicherheitsrelevante Vorfälle............................................................................3
4.3. Benachrichtigung über sicherheitsrelevante Risiken.............................................................................3
4.4. Dokumentation......................................................................................................................................4
4.5. Asset-Management...............................................................................................................................4
4.6. Personalsicherheit.................................................................................................................................4
4.7. Physische und umgebungsbezogene Sicherheit....................................................................................4
4.8. Sichere Anmeldeverfahren....................................................................................................................5
4.9. Audits.....................................................................................................................................................5
4.10. Aufrechterhaltung der Informationssicherheit..................................................................................5
4.11. Meldung bzgl. Schwachstellen vom Bundesamt für Sicherheit in der Informationstechnik (BSI).....5
- Technische Anforderungen........................................................................................................................6
5.1. Schwachstellenmanagement..................................................................................................................6
5.2. Patchmanagement.................................................................................................................................6
5.3. Maßnahmen gegen Schadsoftware........................................................................................................6
5.4. (IT-) Systemhärtung................................................................................................................................6
5.5 Fernzugang.............................................................................................................................................7
5.6 Anforderungen an Softwareentwicklungsprozesse................................................................................7
5.7 Einsatz kryptographischer Lösungen......................................................................................................7
PLK UP 2.2 Beschaffung / Bereitstellung roXtra-ID611458 Revision 001/09.2024 Seite 1 von 7
Ausgedruckt unterliegt das Dokument nicht dem Änderungsdienst
AGAPLESION RICHTLINIE CIT Informationssicherheitsrichtlinie für Auftragnehmer
- Allgemeine Information
1.1. Ziel und Zweck des Dokumentes
Auftragnehmer, deren Leistungen in Form von Software, Hardware oder Dienstleistungen erbracht werden, müssen bezüglich der Qualität ihrer Arbeit und der Einhaltung von Maßnahmen zur Informationssicherheit regelmäßig beurteilt werden. Zusätzlich sind in dieser Richtlinie die Mindestanforderungen an die Auftragnehmer der AGAcareIT gGmbH definiert, die zur Bewertung herangezogen werden.
Bei unzureichenden Bewertungsergebnissen muss die Aufrechterhaltung des Lieferanten- verhältnisses diskutiert werden. Die Bewertungsergebnisse fließen in die Risikobewertung der Informationssicherheitsbeauftragten mit ein. Je nach Bewertungsergebnis müssen gegebenenfalls die Lieferantenbeziehungen verändert werden, von Anpassung der Vereinbarungen bis hin zur Beendigung von Vertragsverhältnissen oder Wechsel der Lieferanten.
Dieses Dokument ist für Auftragnehmer mit Zugriff auf Informationswerte der AGAcareIT gGmbH bestimmt.
1.2. Geltungsbereich
Die hier getroffenen Regelungen gelten für das Informationssicherheitsmanagementsystem (ISMS) der AGAcareIT gGmbH gemäß der AGA Leitlinie Sicherheitspolitik.
1.3. Freigabe / Revision
Das vorliegende Dokument tritt mit seiner Freigabe durch den Geschäftsführer der AGAcareIT gGmbH in Kraft.
- Informationssicherheit in Lieferantenbeziehungen
Die von den Auftragnehmern getroffenen technischen und organisatorischen Maßnahmen (TOM) zur Sicherstellung des Datenschutzes und der Informationssicherheit müssen mindestens das Niveau der TOM´s der AGAcareIT gGmbH erreichen.
Die AGAcareIT gGmbH empfiehlt Auftragnehmern, die für die AGAcareIT gGmbH datenschutz- rechtlich bzw. informationssicherheitstechnisch relevant sind, ein Managementsystem für den Datenschutz bzw. die Informationssicherheit umzusetzen. Dabei können anerkannte Standards wie zum Beispiel die ISO/IEC 27001 oder der BSI IT-Grundschutz als Grundlagen dienen. Entsprechende Managementsysteme sind für Auftragnehmer für Produkte und Dienstleistungen jedoch nicht verbindlich, sofern sie nicht im Rahmen von Ausschreibungen oder Verträgen explizit gefordert sind.
Sofern Auftragnehmer ein Managementsystems im obigen Sinne für sich umgesetzt haben, muss der Geltungsbereich des jeweiligen Managementsystems die gelieferte Dienstleistung bzw. das Produkt vollständig einschließen. Anforderungen in Ausschreibungen bzw. Verträgen gelten unabhängig von den Anforderungen dieser Richtlinie.
- Verpflichtungserklärung Der Auftragnehmer verpflichtet sich in Bezug auf die Lieferantenbeziehung mit der AGAcareIT gGmbH zur Einhaltung der Informationssicherheit. Dabei müssen vor allem die Schutzziele Ver- traulichkeit, Verfügbarkeit und Integrität gewahrt werden.
Die zur Gewährleistung der Informationssicherheit und zur Umsetzung der gesetzlichen Anforderungen im Bereich des Datenschutzes erforderlichen Aufgaben und Pflichten der AGAcareIT gGmbH sind in der AGA Leitlinie Sicherheitspolitik festgehalten.
Für den Fall, dass sich die Dienstleistung auf die Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten bezieht, sind die entsprechenden Vorschriften des Datenschutzes vom Dienstleister einzuhalten. Einzelheiten dazu werden im Vertrag zur Auftragsverarbeitung festgelegt. Der Auftragnehmer und deren Mitarbeitende verpflichten sich zur Vertraulichkeit im Umgang mit
PLK UP 2.2 Beschaffung / Bereitstellung roXtra-ID611458 Revision 001/09.2024 Seite 2 von 7
Ausgedruckt unterliegt das Dokument nicht dem Änderungsdienst
AGAPLESION RICHTLINIE CIT Informationssicherheitsrichtlinie für Auftragnehmer
den Werten der AGAcareIT gGmbH.
Alle Mitarbeitende des Auftragnehmers, die für die AGAcareIT gGmbH tätig sind, müssen zur Vertraulichkeit verpflichtet werden.
3.1. Zuverlässigkeit in Lieferantenbeziehungen
Der Auftragnehmer verpflichtet sich, stets eine zuverlässige Anlieferung von Produkten und die Erfüllung von Dienstleistungen ohne zeitlichen Verzug zu gewährleisten. Unregelmäßigkeiten in der Lieferantenbeziehung, bezogen auf die Produktlieferkette oder zeitliche und qualitative Erfüllung der Dienstleistung laut Vertrag, sind der AGAcareIT gGmbH unverzüglich mitzuteilen.
3.2. Änderung oder Beendigung von Lieferantenverträgen
Änderungen bei der Bereitstellung von Dienstleistungen / in den Dienstleistungsangeboten / bei der Dienstleistungserbringung / Produkten sind rechtzeitig anzukündigen und sollten durch den Auftragnehmer nicht ohne Abstimmung mit der AGAcareIT gGmbH erfolgen. Möglicherweise ist daraufhin die Anpassung eines Vertrages inkl. einer erneuten Risikobewertung erforderlich.
3.3. Informationssicherheitsbewusstsein, -ausbildung und -schulung
Der Auftragnehmer muss sicherstellen, dass alle Mitarbeitende, die im Zusammenhang mit der gelieferten Dienstleistung bzw. des gelieferten Produktes Zugriff auf Informationswerte der AGAcareIT gGmbH erhalten können, in angemessenem Umfang zur Informationssicherheit und zum Datenschutz geschult und sensibilisiert worden sind. Der Nachweis über die Schulung bzw. Sensibilisierung seiner Mitarbeitenden muss vom Auftragnehmer auf Nachfrage erbracht werden können.
- Organisatorische Anforderungen
4.1. Organisation der Informationssicherheit
Der Auftragnehmer hat auf Anforderung der AGAcareIT gGmbH Informationen seiner Sicherheits- organisation offenzulegen, auf deren Basis die AGAcareIT gGmbH eine Bewertung des Auftrag- nehmers durchführen kann. Diese Bewertung ist ein interner Prozess, bei der die Umsetzung Informationssicherheits- und Datenschutzrechtlicher-Anforderungen beim Auftragnehmer beurteilt wird.
Der Auftragnehmer sollte zur Bewertung allgemein anerkannte Nachweise, bspw. ein ISO/IEC 27001-Zertifikat oder Äquivalente, sowie weitere Dokumente, bspw. Prüfberichte oder interne Vorschriften, bereitstellen.
4.2. Benachrichtigung über sicherheitsrelevante Vorfälle
Der Auftragnehmer ist verpflichtet, Sicherheitsvorfälle, in Bezug auf die Informationssicherheit oder den Datenschutz, in seiner Organisation, die durch die Vertragsbeziehung mit der AGAcareIT gGmbH potenziell einen negativen Effekt auf das Informationssicherheitsniveau der AGAcareIT gGmbH haben könnten, umgehend ohne Zeitverzug der AGAcareIT gGmbH an ISB.AGA@agaplesion.de zu melden.
Der Auftragnehmer muss im Falle eines gemeldeten Vorfalls auf Anfrage der AGAcareIT gGmbH dieser Informationen zu Maßnahmen zur Minderung und/oder Beseitigung des Vorfalles sowie einen Abschlussbericht hierüber bereitstellen.
4.3. Benachrichtigung über sicherheitsrelevante Risiken
Der Auftragnehmer ist verpflichtet, Risiken in Bezug auf die Informationssicherheit oder den Datenschutz in seiner Organisation, die durch die Vertragsbeziehung mit der AGAcareIT gGmbH potenziell einen negativen Effekt auf das Informationssicherheitsniveau der AGAcareIT gGmbH haben könnten, umgehend ohne Zeitverzug der AGAcareIT gGmbH an ISB.AGA@agaplesion.de zu melden. Im Rahmen von Medizinprodukten sollte sich die Risikobetrachtung anhand der ISO 80001 orientieren.
PLK UP 2.2 Beschaffung / Bereitstellung roXtra-ID611458 Revision 001/09.2024 Seite 3 von 7
Ausgedruckt unterliegt das Dokument nicht dem Änderungsdienst
AGAPLESION RICHTLINIE CIT Informationssicherheitsrichtlinie für Auftragnehmer
4.4. Dokumentation
Der Auftragnehmer muss, Prozessabläufe, die im Zusammenhang mit der zu erbringende Dienstleistung stehen, in angemessenem Umfang dokumentieren und dem Auftraggeber auf Anfrage vorlegen.
Es wird vom Auftragnehmer erwartet, dass dieser jegliche Dokumentation zur Verfügung stellt, die die Nutzung der angebotenen Dienstleistung/Produkte für die AGAcareIT gGmbH erleichtert. Der gewöhnliche Umfang einer derartigen Dokumentation sollte die folgenden Punkte enthalten (nicht abschließend): • Liste der Hardware • Liste der Software (inklusive Betriebssystem und Patch-Level) • Überblick über die Systemarchitektur (kann Teil der Designdokumentation sein) • Kommunikationsmatrix • Existierende Benutzerkonten und Rollen sowie deren Berechtigungen • Beschreibung von proprietären (nicht in der Industrie standardisierten) Sicherheits- mechanismen • Weitere Dokumentationen, spezifiziert als Teil des Liefergegenstandes oder Auftrages, die die Sicherheit der Dienstleistung gewährleisten.
Sollten Änderungen an der Dienstleistung/Produkte durchgeführt werden, wird vom Auftragnehmer erwartet, diese in die Dokumentation einzupflegen.
4.5. Asset-Management
Der Auftragnehmer muss alle Assets / Komponenten in seinem Informationssystem dokumentieren, die einen Bezug zu (IT-) Systemen der AGAcareIT gGmbH zwecks Wartung oder Betriebszugang haben können. Die Verantwortung für die Aufrechterhaltung der entsprechenden Sicherheitskontrollen dieser Assets muss zugewiesen werden.
Zum Schutz der Assets kann der Auftragnehmer die Anwendung spezifischer Sicherheits- maßnahmen delegieren, jedoch bleibt der Auftragnehmer für den angemessenen Schutz dieser Assets, die in Bezug zum Informationssystem der AGAcareIT gGmbH stehen, verantwortlich.
4.6. Personalsicherheit
Jede Person, die im Namen des Auftragnehmers agiert und einen lokalen oder einen Fernwartungs- Zugriff auf (IT-) Systeme der AGAcareIT gGmbH haben muss, muss Informationen zu seiner Identität bereitstellen. Der Auftragnehmer stellt sicher, dass in seinem Namen kein Zugang missbraucht wird und er die volle Verantwortung übernimmt, sollte sich herausstellen, dass ein Zugang auf missbräuchlich genutzt und ein Schaden der AGAcareIT gGmbH entstanden ist.
Sollte der Auftragnehmer mit Subunternehmern zusammenarbeiten, um den Vertrag mit der AGAcareIT gGmbH zu erfüllen, muss der Auftragnehmer diesen ausdrücklich als Subunternehmer identifizieren und melden. Außerdem muss er sicherstellen, dass der Subunternehmer die gleichen Anforderungen erfüllt wie er selbst zu erfüllen hat.
Der Auftragnehmer beauftragt nur qualifiziertes Personal, die über entsprechende Kenntnisse und Fähigkeiten bzgl. Installation, Soft- oder Hardware, Wartung oder Betrieb der Dienst- leistung/Produkte verfügen und deren Zuverlässigkeit durch geeignete Prüfungen, z.B. durch nationale Behörden (bspw. polizeiliches Führungszeugnis), festgestellt wurde.
4.7. Physische und umgebungsbezogene Sicherheit
Der Auftragnehmer hat dafür Sorge zu tragen, dass der unbefugte Zutritt in Räume, Büros und Einrichtungen, in denen Informationen der AGAcareIT gGmbH verarbeitet werden, ausgeschlossen ist.
Dies gilt zusätzlich für Anlieferungs- und Ladebereiche, über die unbefugte Personen die Räumlichkeiten betreten könnten. Vor allem Büroräume, in denen Supporttätigkeiten in Form von Fernzugriffsverbindungen durchgeführt werden, sollten Zutrittsbeschränkt sein.
Von Seiten des Auftragnehmers müssen Richtlinien erstellt werden, die aufgeräumte Arbeits-
PLK UP 2.2 Beschaffung / Bereitstellung roXtra-ID611458 Revision 001/09.2024 Seite 4 von 7
Ausgedruckt unterliegt das Dokument nicht dem Änderungsdienst
AGAPLESION RICHTLINIE CIT Informationssicherheitsrichtlinie für Auftragnehmer
umgebungen (bspw. Clean-Desk Policy) sowie Bildschirmsperren bei Nichtbenutzung regeln.
4.8. Sichere Anmeldeverfahren
Der Zugriff des Auftragnehmers auf (IT-) Systeme der AGAcareIT gGmbH darf ausschließlich über die von der AGAcareIT gGmbH vorgegebenen Prozeduren (2-Faktor-Authentifizierung) und autorisierten Zugänge erfolgen.
Falls der Zugang über zwei Faktoren unter Verwendung eines Zugangstokens autorisiert wird, so muss der Auftragnehmer sicherstellen, dass der Zugriff auf den Token ausschließlich von dazu autorisierten Mitarbeitenden vorgenommen werden kann. Der Token muss, sofern dieser nicht verwendet wird, ständig unter Verschluss gehalten werden.
4.9. Audits
Der Auftragnehmer stimmt zu, dass die AGAcareIT gGmbH oder ein anderer beauftragter Dritter, der nicht in einem Wettbewerbsverhältnis mit dem Auftragsnehmer stehen darf, im Auftrag der AGAcareIT gGmbH regelmäßig die Organisation in Bezug auf die Informationssicherheit des Auftragnehmers auditieren darf.
Die Prüfungen werden auf der Grundlage der von dem Auftragnehmer zur Verfügung gestellten Dokumentation durchgeführt. Der genaue Umfang, die Dauer und die Organisation werden jeweils einvernehmlich vereinbart.
Zusätzlich muss der Auftragnehmer die Abweichungen von den vereinbarten Sicherheitsan- forderungen zeitnahe melden.
4.10.Aufrechterhaltung der Informationssicherheit
Der Auftragnehmer bestimmt die Anforderungen an die Informationssicherheit und zur Aufrechterhaltung des Informationssicherheitsmanagements in Abhängigkeit der beauftragten Dienstleistung/bereitgestellte Produkte und stellt sicher, dass die Dienstleistung/bereitgestellte gegen widrige Situationen (Notfall, Krise oder Katastrophe) in angemessenem Umfang abgesichert ist.
Der Verfügbarkeitsbedarf der beauftragten Dienstleistung/bereitgestellten Produkte kann dazu in Abstimmung mit der AGAcareIT gGmbH bestimmt werden.
Der Auftragnehmer legt Prozesse, Verfahren und Maßnahmen fest, dokumentiert diese und setzt sie um, um das erforderliche Niveau an Informationssicherheit auch in widrigen Situationen aufrechterhalten zu können.
Die Wirksamkeit der Maßnahmen soll von Seiten des Auftragnehmers in regelmäßigen Abständen geprüft werden. Die Prüfungen sollen dokumentiert werden.
4.11.Meldung bzgl. Schwachstellen vom Bundesamt für Sicherheit in der Informationstechnik (BSI)
Die AGAcareIT gGmbH betreibt eine kritische Infrastruktur und ist verpflichtet Meldung über Schwachstellen, Gefährdungen, Vorfälle etc. zeitnah zu bearbeiten.
Sofern Produkte des Auftragnehmers im Rahmen von BSI-Meldungen thematisiert werden, behält sich die AGAcareIT gGmbH vor, eine Stellungnahme zu der entsprechenden BSI-Meldung von dem Auftragnehmer einzuholen. Die Stellungnahme muss u.a. eine Risikoabschätzung seitens des Auftragnehmers, einen Maßnahmenplan zur Behandlung inkl. verbindlicher zeitlicher Planung zum weiteren Vorgehen enthalten.
Die Stellungnahme muss zeitnah, unter Berücksichtigung der gesetzlichen Fristen für Datenschutzvorfälle gemäß DSGVO bzw. Informationssicherheitsvorfälle, bei der AGAcareIT gGmbH eingehen.
PLK UP 2.2 Beschaffung / Bereitstellung roXtra-ID611458 Revision 001/09.2024 Seite 5 von 7
Ausgedruckt unterliegt das Dokument nicht dem Änderungsdienst
AGAPLESION RICHTLINIE CIT Informationssicherheitsrichtlinie für Auftragnehmer
- Technische Anforderungen
5.1. Schwachstellenmanagement
Die Produkte des Auftragnehmers müssen regelmäßig auf Schwachstellen geprüft und in Bezug auf die Kritikalität und die geschäftlichen Auswirkungen hin untersucht werden.
Sind vom Auftragnehmer entwickelte Software-, Firmware- oder Hardware-Komponenten betroffen, ist der Auftragnehmer verpflichtet, umgehend die Schwachstellen per E-Mail an ISB.AGA@agaplesion.de zu melden und diese bzgl. möglicher funktionaler und sicherheits- relevanter Auswirkungen zu bewerten.
Eine mögliche Bewertung der Kritikalität kann z.B. auf Basis der Schutzbedarfsanalyse durch die AGAcareIT gGmbH festgelegt werden. Der Umfang des Schwachstellenmanagements umfasst jede potenzielle Schwachstelle, die möglicherweise Einfluss auf die Verfügbarkeit, Integrität und Vertraulichkeit der Vermögenswerte (materielle oder immaterielle) oder auf eine bei der AGAcareIT gGmbH operierende Dienstleistung des Auftragnehmers nehmen kann.
5.2. Patchmanagement
Sicherheitspatche zur Behebung von kritischen Schwachstellen sind kurzfristig, maximal innerhalb von 4 Werktagen nach Veröffentlichung / Freigabe durch den Hersteller, zu installieren. Hierbei sind als kritisch solche Schwachstellen anzusehen, die vom BSI als solche benannt bzw. nach dem Common Vulnerability Scoring System (CVSS, deutsch: „Allgemeines Bewertungssystem für Schwachstellen“) mit einem Wert von mindestens 8,0 eingestuft wurden. Weitere Sicherheits- patches sind zeitnah, jedoch maximal 4 Wochen nach Veröffentlichung / Freigabe durch den Hersteller zu installieren.
Alle Sicherheitspatches müssen geeignet geplant, genehmigt und dokumentiert werden. Sicherheitspatches müssen vorab getestet werden bspw. sind Sicherheitspatche auf ihre Kompatibilität mit anderen Software-Produkten zu testen.
Der Auftragnehmer wird für jede im Patchzyklus adressierte Schwachstelle einen Bericht erstellen und der AGAcareIT gGmbH zur Verfügung stellen. Dieser muss detaillierte oder aggregierte Daten unter Berücksichtigung der Kritikalitätsstufe und der betroffenen Bereiche (Verfügbarkeit, Integrität und/oder Vertraulichkeit) enthalten.
5.3. Maßnahmen gegen Schadsoftware
Der Auftragnehmer muss sicherstellen, dass auf allen (IT-) Systemen, die mittelbar oder unmittelbar im Zusammenhang mit der Dienstleistungserbringung/Bereitstellung von Produkten verwendet werden, in angemessenem Umfang Maßnahmen zur Abwehr von Schadsoftware getroffen werden. Softwareprodukte zur Abwehr von Schadsoftware und Schadcode-Definitionen sind ständig aktuell zu halten. Davon betroffen sind im Besonderen solche Geräte, die für Supporttätigkeiten für oder bei der AGAcareIT gGmbH Verwendung finden.
5.4. (IT-) Systemhärtung
Der Auftragnehmer verpflichtet sich, die von ihm gelieferten (IT-) Systeme zu härten, um die Auswirkungen potenzieller Sicherheitsrisiken zu minimieren.
Dabei gelten folgende Anforderungen: • Minimale Installationsprinzipien. / Installation muss mit AGAcareIT gGmbH Administrationsberechtigungen erfolgen. • Nicht benötigte Freigaben (einschließlich der Standardverwaltungsfreigaben) müssen entfernt werden. • Jeder nicht benötigte Netzwerkzugang (TCP/IP- oder UDP-Port) muss deaktiviert sein. Die Nutzung jedes Zugangs muss in der Dokumentation erläutert werden. • Insofern zusätzlich vereinbart, müssen die durch die AGAcareIT gGmbH vorgegebenen allgemeinen Konfigurationsstandards und Sicherheitsvorschriften eingehalten werden. • Der Auftragnehmer stellt sicher, dass jedes Standardpasswort in allen möglichen Fällen geändert werden kann. • Der Auftragnehmer muss im Rahmen seiner Möglichkeiten sicherstellen, dass seine
PLK UP 2.2 Beschaffung / Bereitstellung roXtra-ID611458 Revision 001/09.2024 Seite 6 von 7
Ausgedruckt unterliegt das Dokument nicht dem Änderungsdienst
AGAPLESION RICHTLINIE CIT Informationssicherheitsrichtlinie für Auftragnehmer
Lösungen frei von „Backdoors“ sind, die Sicherheitsmechanismen überwinden können. • Der Auftragnehmer verpflichtet sich, dass er hinsichtlich seiner Produkte mit geeigneten Maßnahmen und Protokollen nachweist, dass alle in diesem Abschnitt genannten Anforderungen eingehalten werden.
5.5 Fernzugang Fernzugänge des Auftragnehmers zum Netzwerk bzw. zu (IT-) Systemen der AGAcareIT gGmbH werden unter den folgenden Bedingungen gestattet: • Der Auftragnehmer muss sicherstellen, dass bei Fernzugängen die Vertraulichkeit, Verfügbarkeit und Integrität der Assets und Services der AGAcareIT gGmbH ge- währleistet sind. Dies beinhaltet auch die nachträgliche Verwendung von Informationen, von denen der Auftragnehmer während eines Fernzugriffes Kenntnis erlangt hat. Er ist für alle Aktionen der Benutzerkonten mit Fernzugangsfunktion auf (IT-) Systemen des Auftraggebers verantwortlich. • Jeder Nutzer eines Fernwartungszugangs muss ein personalisiertes Benutzerkonto besitzen. Ausnahmen sind zu dokumentieren. Bei Ausnahmen muss die komplette Rückverfolgbarkeit der Nutzung eines Benutzerkontos (wer, wann) festgehalten und der AGAcareIT gGmbH auf Verlangen ausgehändigt werden. • Nicht mehr benötigte Zugänge müssen unverzüglich der AGAcareIT gGmbH gemeldet werden, so dass diese gesperrt werden können. • Der Fernzugriff ist sicher über den von AGAcareIT gGmbH bereitgestellten Jump Host durchzuführen. Für Geräte, für die ein 24/7 Wartungsvertrag vorliegt, muss der Zugriff über ein speziell zu konfigurierendes VPN erfolgen. Der Fernzugriff ist dabei auf ein isoliertes Netz zu beschränken.
5.6 Anforderungen an Softwareentwicklungsprozesse
Wenn ein Auftragnehmer Software für die AGAcareIT gGmbH entwickelt, müssen die Prinzipien des Security by Design eingehalten und sich an den allgemein anerkannten Industriestandards orientieren.
5.7 Einsatz kryptographischer Lösungen
Um sicherzustellen, dass keine veralteten und als unsicher bekannten Kryptographielösungen in den Produkten verwendet werden, wird der Auftragnehmer eine schriftliche Richtlinie erarbeiten und mit der AGAcareIT gGmbH abstimmen, die die zulässigen Kryptographiealgorithmen definiert. Diese Richtlinie sollte sich an gängige Industriestandards halten (z.B. BSI TR-02102) und regel- mäßig überprüft werden.
Der Einsatz der kryptographischen Absicherung der Kommunikation ist insbesondere notwendig, wenn Daten mit hohem Schutzbedarf über öffentliche oder als nicht ausreichend sicher geltende Netzwerke übertragen werden.
Wir haben dieses Dokument zur Kenntnis genommen und sagen die Umsetzung der Anforderungen zu.
Datum Unterschrift Auftragnehmende
PLK UP 2.2 Beschaffung / Bereitstellung roXtra-ID611458 Revision 001/09.2024 Seite 7 von 7