
Auftragsgegenstand (kurz)
Auftragnehmer
Anschrift
Ansprechpartner (zum Zeitpunkt der Unterzeichnung)
Auftraggeber	Universitätsklinikum Heidelberg AdÖR
Vertreten durch
Anschrift	Im Neuenheimer Feld 672, 69120 Heidelberg
Ansprechpartner (zum Zeitpunkt der Unterzeichnung)

Durch den Auftragnehmer realisierte technisch-organisatorische Maßnahmen

Der Auftragnehmer hat für die vom Vertrag umfassten/betroffenen Bereiche die folgenden technischen und organisatorischen Maßnahmen getroffen, mit deren Hilfe er

die gemäß Art. 32 DS-GVO definierten Schutzziele im Rahmen seiner Leistungserbringung
die gemäß §8a BSIG für kritische Infrastrukturen geforderte Einhaltung von IT-Sicherheit nach dem Stand der Technik

erfüllen und deren Angemessenheit er belegen und welche der Auftraggeber überprüfen kann.

Hierbei dienen die Angaben in diesem Nachweis als Grundlage für Risikoanalysen und Datenschutzfolgenabschätzungen der jeweiligen konkreten Verarbeitungstätigkeiten. Diese erfolgen zur Sicherstellung der Schutzziele „Vertraulichkeit“, „Integrität“, „Authentizität“, „Verfügbarkeit“ und Belastbarkeit der Systeme und Dienste.

– Selbstauskunft des Auftragnehmers – bitte beantworten Sie alle Fragen und unterschreiben dann am Ende (Ausfüllender / IT-Verantwortlicher und ein Mitglied der Geschäftsführung).

*n/a = (nicht anwendbar, irrelevant) bitte begründen Sie in diesem Fall die Antwort im Feld „Erläuterungen“ des jeweiligen Abschnitts. Dort können Sie auch ggf. notwendige Erläuterungen zu anderen Fragen machen.

Achtung: Je nach Auftragsgegenstand können einzelne Abschnitte der Checkliste nicht relevant sein (z.B. erfolgt die Datenverarbeitung ausschließlich vor Ort mit Systemen des UKHD, sind Abschnitte wie z.B. die Zutrittskontrolle nicht relevant). Dann brauchen Sie die Fragen des betroffenen Abschnitts nicht ankreuzen und begründen dies bitte im Feld „Erläuterungen“ des jeweiligen Abschnitts.

Vertraulichkeit (Art. 32 Abs.1 lit. b DS-GVO; §8a Abs.1 BSI-Gesetz)

Zutrittskontrolle


Unbefugten Personen ist der (räumliche) Zutritt zu IT-Systemen, Netzwerkkomponenten und Speichereinrichtungen sowie der Zugriff auf sonstige Datenträger (z. B. PCs, USB-Sticks, CDs, Aktenordner) zu verwehren.		ja	nein	*n/a
1.1.1	Zutrittsmittelvergabe nur an zutrittsberechtigte Personen	[ ]	[ ]	[ ]
1.1.2	Festlegung der zutrittsberechtigten Personen mittels Transponder, biometrische Anlagen, Schlüssel, Magnet- oder Chipkarten), oder anderer elektronischer Verfahren	[ ]	[ ]	[ ]
1.1.3	Einsatz von Sicherheitsdienst, Pförtner	[ ]	[ ]	[ ]
1.1.4	Einsatz von Alarmanlagen	[ ]	[ ]	[ ]
1.1.5	Videoüberwachung der Eingänge	[ ]	[ ]	[ ]
1.1.6	Schließberechtigungen und Zutrittsmittelmanagement, Zutrittskontrollkonzept (z. B. Vergabeprozesse für und Dokumentation der Transponder oder Schlüsselinhaber)	[ ]	[ ]	[ ]
1.1.7	Verschließen von Räumen bei Nicht-Nutzung	[ ]	[ ]	[ ]
1.1.8	Zutrittsregelungen für betriebsfremde Personen (z. B. Regelung zum Umgang mit Besuchern wie Registrierung, Begleitung, Ausweis)	[ ]	[ ]	[ ]
1.1.9	Sichtbares Tragen von Hausausweisen, ergänzt durch Vergabe von Besucherausweisen	[ ]	[ ]	[ ]
1.1.10	Sorgfältige Auswahl und Verpflichtung von Wach-/Reinigungspersonal	[ ]	[ ]	[ ]
1.1.11	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Zugangskontrolle


Maßnahmen, die geeignet sind, zu verhindern, dass IT-Systeme von Unbefugten genutzt werden können.		ja	nein	*n/a
1.2.1	Ausschließlich Nutzungsberechtigte erhalten Zugang/Zugriff auf die für ihre Tätigkeit notwendigen Systeme und Daten	[ ]	[ ]	[ ]
1.2.2	Login nur mit persönlicher Benutzeridentifikation (z.B. Nutzerkennung, persönliche Chip-/ Codekarte) und Authentifizierung (z.B. Passwort, PIN)	[ ]	[ ]	[ ]
1.2.3	Protokollierung von Login / Systemnutzung sowie Protokollauswertung	[ ]	[ ]	[ ]
1.2.4	Starke Authentisierung oder biometrische Verfahren für administrative Zugänge	[ ]	[ ]	[ ]
1.2.5	Malwareschutz auf Server-Systemen	[ ]	[ ]	[ ]
1.2.6	Malwareschutz auf Client-Systemen	[ ]	[ ]	[ ]
1.2.7	Malwareschutz auf mobilen Geräten	[ ]	[ ]	[ ]
1.2.8	Zentrale Überwachung des Malwareschutzes	[ ]	[ ]	[ ]
1.2.9	Segmentierung des Netzwerkes durch Firewalls	[ ]	[ ]	[ ]
1.2.10	Einsatz gesicherter Verbindungen (z.B. VPN) bei Remote-Zugriffen	[ ]	[ ]	[ ]
1.2.11	Verschlüsselung von Datenträgern mit sensiblen Daten auf Servern	[ ]	[ ]	[ ]
1.2.12	Verschlüsselung von Arbeitsplatzgeräten (Desktops, Notebooks, Tablets, etc.)	[ ]	[ ]	[ ]
1.2.13	Verschlüsselung von Datenträgern mit sensiblen Daten auf sonstigen mobilen Geräten	[ ]	[ ]	[ ]
1.2.14	Sperre externer Schnittstellen (z. B. USB)	[ ]	[ ]	[ ]
1.2.15	Automatische Bildschirm- und Eingabesperre mit Aktivierung nach Authentisierung	[ ]	[ ]	[ ]
1.2.16	Zentrale Verwaltung von Benutzeraccounts	[ ]	[ ]	[ ]
1.2.17	Vorgaben /Richtlinie zur Vergabe und Nutzung (von Passwörtern)	[ ]	[ ]	[ ]
1.2.18	Verwendung sicherer Passwörter (Mindestkomplexität, mind. 10 Zeichen, periodische Änderung)	[ ]	[ ]	[ ]
1.2.19	Ablage der Passwörter erfolgt nur in den jeweiligen Authentifizierungssystemen	[ ]	[ ]	[ ]
1.2.20	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Zugriffskontrolle


Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berech-tigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können.		ja	nein	*n/a
1.3.1	Zentrales Benutzer-/Berechtigungs-Management nach dem „need to have“ / „need to know“ Prinzip für Benutzer	[ ]	[ ]	[ ]
1.3.2	Zentrales Benutzer-/Berechtigungs-Management nach dem „need to have“ / „need to know“ Prinzip für Administratoren	[ ]	[ ]	[ ]
1.3.3	Funktionelle / personelle Trennung von Berechtigungsbewilligung (organisatorisch) und Berechtigungsvergabe (technisch)	[ ]	[ ]	[ ]
1.3.4	Dokumentiertes Berechtigungs-Management, in dem verbindlich geregelt ist, wie Berechtigungen beantragt, freigegeben, umgesetzt und wieder entzogen werden können	[ ]	[ ]	[ ]
1.3.5	Regelmäßige Überprüfung und Anpassung vergebener Berechtigungen	[ ]	[ ]	[ ]
1.3.6	Zeitnaher Entzug von nicht benötigten Berechtigungen bei Ausscheiden bzw. Aufgabenwechsel	[ ]	[ ]	[ ]
1.3.7	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Trennungskontrolle


Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.		ja	nein	*n/a
1.4.1	Physikalische Trennung von Produktiv- und Testumgebungen (Systeme/Datenbanken/Datenträger)	[ ]	[ ]	[ ]
1.4.2	Logische Trennung von Produktiv- und Testumgebungen für sowohl Anwendungen als auch Datenbanken	[ ]	[ ]	[ ]
1.4.3	Mandantenfähigkeit relevanter Anwendungen	[ ]	[ ]	[ ]
1.4.4	Datensicherung der Auftraggeber-Daten auf separaten Datenträgern (ohne Daten anderer Mandanten)	[ ]	[ ]	[ ]
1.4.5	Bereitstellung von Berechtigungskonzepten zur Sicherstellung der Trennung von Produktiv- und Testdaten	[ ]	[ ]	[ ]
1.4.6	Bereitstellung und Umsetzung eines Berechtigungskonzeptes, das der getrennten Verarbeitung der Auftraggeber-Daten von Daten anderer Kunden/Mandanten Rechnung trägt	[ ]	[ ]	[ ]
1.4.7	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Pseudonymisierung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO)


Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr spezifischen betroffenen Personen zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechenden technischen und organisatorischen Maßnahmen unterliegen.		ja	nein	*n/a
1.5.1	Pseudonymisierung wird eingesetzt, soweit dies möglich und/oder vertragliche Vorgabe ist	[ ]	[ ]	[ ]
1.5.2	Trennung der Zuordnungsdaten und Aufbewahrung in getrennten und abgesicherten Systemen	[ ]	[ ]	[ ]
1.5.3	Verschlüsselte Ablage der Zuordnungsdaten	[ ]	[ ]	[ ]
1.5.4	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Integrität (Art. 32 Abs.1 lit. b DS-GVO; §8a Abs.1 BSI-Gesetz)

Weitergabekontrolle


Maßnahmen, welche ein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport verhindern.		ja	nein	*n/a
2.1.1	Keine unverschlüsselten Übertragungen von Daten über öffentliche Netze	[ ]	[ ]	[ ]
2.1.2	Einsatz von VPNs beim Transport von Daten	[ ]	[ ]	[ ]
2.1.3	Verbindliche Regelungen zur E-Mail-Nutzung	[ ]	[ ]	[ ]
2.1.4	Sensible Daten in E-Mails werden verschlüsselt	[ ]	[ ]	[ ]
2.1.5	Verfahren für eine elektronische Signatur beim Versand von Daten	[ ]	[ ]	[ ]
2.1.6	Protokollierung der Datenübermittlung auf Seiten des Auftragnehmers	[ ]	[ ]	[ ]
2.1.7	Verschlüsselung von Datenträgern, welche für einen physischen Transport eingesetzt werden	[ ]	[ ]	[ ]
2.1.8	Absicherung der Bereiche, in welchen Datenträger für den Transport aufbewahrt werden	[ ]	[ ]	[ ]
2.1.9	Sicherung des Übertragungs- und Transportweges (verschlossene/versiegelte Umschläge oder Behälter, zuverlässiger Kurier/Bote)	[ ]	[ ]	[ ]
2.1.10	Maßnahmen gegen unbefugtes Entfernen von Datenträgern	[ ]	[ ]	[ ]
2.1.11	Sichere Entsorgung nicht mehr benötigter Datenträger (Datenträgerschredder & Datenträ-gervernichtung nach Din 66399, min. Schutzklasse 3 / Sicherheitsstufe 4, soweit Patienten-daten, Geschäftsgeheimnisse und weitere zu schützenden Informationen betroffen)	[ ]	[ ]	[ ]
2.1.12	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Eingabekontrolle


Gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme/n eingegeben, verändert oder entfernt worden sind.		ja	nein	*n/a
2.2.1	Technische Protokollierung der Eingabe, Änderung und Löschung von Daten	[ ]	[ ]	[ ]
2.2.2	Manuelle oder automatisierte Kontrolle der Protokolle	[ ]	[ ]	[ ]
2.2.3	Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können	[ ]	[ ]	[ ]
2.2.4	Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts	[ ]	[ ]	[ ]
2.2.5	Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch personalisierte Benutzer	[ ]	[ ]	[ ]
2.2.6	Protokollierung der Administratorentätigkeiten (Anlegen von Benutzern, Ändern von Benutzerrechten, etc.)	[ ]	[ ]	[ ]
2.2.7	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Verfügbarkeit, Belastbarkeit (Art. 32 Abs.1 lit. b DS-GVO; §8a Abs.1 BSI-Gesetz)

Verfügbarkeitskontrolle


Gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.		ja	nein	*n/a
3.1.1	Feuer- und Rauchmeldeanlagen in allen IT-Räumen (Serverraum, Verteilerräume, etc.)	[ ]	[ ]	[ ]
3.1.2	Klimatisierung aller IT-Räume (Serverraum, Verteilerräume, etc.)	[ ]	[ ]	[ ]
3.1.3	Unterbrechungsfreie Strom- sowie Notstromversorgung in zentralen Serverräumen	[ ]	[ ]	[ ]
3.1.4	Überwachung der Temperatur und Feuchtigkeit in zentralen Serverräumen	[ ]	[ ]	[ ]
3.1.5	Redundanz in verschiedenen Serverräumen möglich (Server, Storage)	[ ]	[ ]	[ ]
3.1.6	Redundanz in Daten-Speichern (Hardware, RAID) vorhanden	[ ]	[ ]	[ ]
3.1.7	Formalisiertes und überwachtes Backup-Konzept	[ ]	[ ]	[ ]
3.1.8	Wiederherstellung von Daten aus Backups ist in einem verbindlichen Verfahren (wer darf wann auf wessen Anforderung Backup-Daten einspielen) geregelt	[ ]	[ ]	[ ]
3.1.9	Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse	[ ]	[ ]	[ ]
3.1.10	Räumlich getrennte Aufbewahrung der erstellten Datensicherungen	[ ]	[ ]	[ ]
3.1.11	Schutz gegen unberechtigten Systemzugang von Extern (Firewall)	[ ]	[ ]	[ ]
3.1.12	Vermeidung wasserführender Leitungen in den IT-Räumen	[ ]	[ ]	[ ]
3.1.13	Überwachung der Verfügbarkeit von Systemen und Anwendungen	[ ]	[ ]	[ ]
3.1.14	Vorhandene Notfallpläne bei IT-Havarien	[ ]	[ ]	[ ]
3.1.15	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Regelmäßige Überprüfung, Bewertung, Evaluierung (Art. 32 Abs.1 lit. d DS-GVO; Art. 25 Abs.1 DS-GVO; §8a Abs.1 BSI-Gesetz)

Datenschutz- und Informationssicherheits-Management


Verfahren zum strukturierten Management der Anforderungen des Datenschutzes, der Informationssicherheit und allgemeinen Vertraulichkeitsanforderungen.		ja	nein	*n/a
4.1.1	Zentrale Dokumentation aller Verfahrensweisen und Regelungen zum Datenschutz und zur Informationssicherheit mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf/Berechtigung	[ ]	[ ]	[ ]
4.1.2	Gültige Sicherheitszertifizierung nach ISO 27001, BSI IT-Grundschutz, ISAE 3402	[ ]	[ ]	[ ]
4.1.3	Sonstige gültige Zertifizierungen:	[ ]	[ ]	[ ]
4.1.4	Eine Überprüfung der Wirksamkeit der Technischen Schutzmaßnahmen wird mindestens: Jährlich [ ] , alle zwei Jahre [ ] , alle drei Jahre [ ] durchgeführt	[ ]	[ ]	[ ]
4.1.5	Mitarbeiter werden nachweislich regelmäßig zum Thema Datenschutz und Informations-sicherheit geschult und auf die Vertraulichkeit verpflichtet sowie bei Gesundheitsdaten auf die Wahrung von Schweigepflicht / Geheimhaltung nach § 203 StGB (Strafgesetzbuch)	[ ]	[ ]	[ ]
4.1.6	Ein Datenschutzbeauftragter ist formell bestellt	[ ]	[ ]	[ ]
4.1.7	Ein Informationssicherheits-Beauftragter ist formell bestellt	[ ]	[ ]	[ ]
4.1.8	Die Datenschutz-Folgenabschätzung (DSFA) wird nach festgelegten Verfahren durchgeführt und dokumentiert	[ ]	[ ]	[ ]
4.1.9	Die Organisation kommt den Informationspflichten nach Art. 13 und 14 DS-GVO nach	[ ]	[ ]	[ ]
4.1.10	Prozesse, Schnittstellen und Verantwortlichkeiten zur kurzfristigen, fristgerechten Kommunikation mit dem Auftraggeber, im Fall von Datenpannen, sicherheitsrelevanten Vorfällen und für die weiteren Pflichten und Verantwortlichkeiten nach Kapitel 3 und 4 DS-GVO sind für alle durch den Vertrag bezogenen Ereignisse und Abläufe implementiert	[ ]	[ ]	[ ]
4.1.11	Der Auftragnehmer gewährt dem Auftraggeber Auditrechte für die Bereiche Datenschutz sowie Informationssicherheit (Spezifikation als Vertragsbestandteil) auch vor Ort	[ ]	[ ]	[ ]
4.1.12	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Incident-Response-Management


Unterstützung bei der Reaktion auf Sicherheitsverletzungen.		ja	nein	*n/a
4.2.1	Einsatz eines Intrusion Detection oder Prevention Systems (IDS/IPS)	[ ]	[ ]	[ ]
4.2.2	Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen/Datenpannen	[ ]	[ ]	[ ]
4.2.3	Implementiertes Verfahren zur Nachbearbeitung von Sicherheitsvorfällen und Datenpannen (lessons learned)	[ ]	[ ]	[ ]
4.2.4	Implementiertes Verfahren zur Meldung von Sicherheitsvorfällen/Datenpannen an Aufsichtsbehörden	[ ]	[ ]	[ ]
4.2.5	Einbindung des Datenschutzbeauftragten in die Bewertung und Bearbeitung von Sicherheitsvorfällen & Datenpannen	[ ]	[ ]	[ ]
4.2.6	Behandlung und Dokumentation von Sicherheitsvorfällen und Datenpannen (z. B. im Ticketsystem)	[ ]	[ ]	[ ]
4.2.7	Sicherheitsrelevante Schwachstellen werden systematisch identifiziert	[ ]	[ ]	[ ]
4.2.8	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Datenschutzfreundliche Voreinstellungen (Art. 25 Abs.1,2 DS-GVO)


Privacy by Design/Default/Datenschutzfreundliche Voreinstellungen.		ja	nein	*n/a
4.3.1	Es werden nicht mehr personenbezogene Daten erhoben als für den jeweiligen Zweck erforderlich sind	[ ]	[ ]	[ ]
4.3.2	Nutzung von verfügbaren Konfigurationseinstellungen zur Verbesserung von Datenschutz und IT-Sicherheit	[ ]	[ ]	[ ]
4.3.3	Die auftragsbezogenen Systeme und Verarbeitungsprozesse erfüllen die Anforderungen der DS-GVO zur Umsetzung von Betroffenenrechten (Kapitel 3 Art. 12- 23 DS-GVO)	[ ]	[ ]	[ ]
4.3.4	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Auftragskontrolle (bei Outsourcing durch Auftragnehmer an Dritte/Unterauftragnehmer)


Maßnahmen, die gewährleisten, dass Geschäftsgeheimnisse, personenbezogene und weitere zu schützende Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden.		ja	nein	*n/a
4.4.1	Unterauftragnehmer vorhanden (folgende Punkte von 4.4 nur bei vorhandenen Unterauftragnehmern relevant)	[ ]	[ ]	[ ]
4.4.2	Vorherige Prüfung der vom Unterauftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation	[ ]	[ ]	[ ]
4.4.3	Auswahl des Unterauftragnehmers unter Sorgfaltsgesichtspunkten (in Bezug auf Datenschutz und Informationssicherheit)	[ ]	[ ]	[ ]
4.4.4	Vom Auftragnehmer eingesetzte / einzusetzende Unterauftragnehmer sind vorab vom Auftraggeber zu genehmigen. Nennung / Meldung eingesetzter Unterauftragnehmer an den Auftraggeber	[ ]	[ ]	[ ]
4.4.5	Bei weiteren Auftragnehmern sind hinreichende Garantien für technische und organisatorische Maßnahmen zur Sicherstellung der Verarbeitung entsprechend der DS-GVO eingeholt worden und können auf Anforderung nachgewiesen werden	[ ]	[ ]	[ ]
4.4.6	Abschluss notwendiger Vereinbarungen zur Auftragsverarbeitung bzw. zu EU Standard- Vertragsklauseln, die alle Anforderungen der DS-GVO und sonstige einschlägige Datenschutzreglungen einhalten	[ ]	[ ]	[ ]
4.4.7	Schriftliche Weisungen an den Auftragnehmer	[ ]	[ ]	[ ]
4.4.8	Vereinbarung mit Auftragnehmer zur Verpflichtung seiner Mitarbeiter in Hinblick auf Vertraulichkeit/Geheimhaltung und Aspekte des Datenschutzes sowie bei Gesundheitsdaten der Wahrung der Schweigepflicht / Geheimhaltung nach § 203 StGB (Strafgesetzbuch)	[ ]	[ ]	[ ]
4.4.9	Vereinbarung wirksamer Kontrollrechte mit dem Auftragnehmer	[ ]	[ ]	[ ]
4.4.10	Festlegung von Regelungen zum Einsatz weiterer Subunternehmer	[ ]	[ ]	[ ]
4.4.11	Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags	[ ]	[ ]	[ ]
4.4.12	Bei längerer Zusammenarbeit: Laufende Überprüfung des Auftragnehmers / Unterauftragnehmers und seines Schutzniveaus in nachweisbarer, dokumentierter Form	[ ]	[ ]	[ ]
4.4.13	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Technik

Allgemeines


Maßnahmen zur Sicherstellung eines adäquaten Stands der Technik		ja	nein	*n/a
5.1.1	Verbindungen, über welche Wartungsarbeiten am Uniklinikum ausgeführt werden, sind durch geeignete Verschlüsselungsverfahren und Authentifizierungs-Mechanismen abgesichert	[ ]	[ ]	[ ]
5.1.2	Kryptographische Verschlüsselung der Datenübertragung bei Remotezugriffen	[ ]	[ ]	[ ]
5.1.3	Protokollierung von Remotezugriffen	[ ]	[ ]	[ ]
5.1.4	Es werden aktuelle Schutzmaßnahmen gegen Schadcode, Viren und Malware eingesetzt	[ ]	[ ]	[ ]
5.1.5	Es gibt nachvollziehbare Verfahren (Change-Management) bei der Anpassung von Systemen und anderen administrativen Änderungen	[ ]	[ ]	[ ]
5.1.6	Es wird eine angemessene Methodik zur Aufrechterhaltung der Aktualität der bereitgestellten Verfahren, Betriebssysteme und sonstigen Software-Bestandteile bereitgestellt	[ ]	[ ]	[ ]
5.1.7	Bei Bekanntwerden IT-sicherheitstechnischer Mängel stellt der externe Dienstleister in angemessener Zeit Lösungen zur Behebung bereit	[ ]	[ ]	[ ]
5.1.8	Sonstiges:	[ ]	[ ]	[ ]
Erläuterungen: (*Angabe von n/a bitte immer begründen)

Unterschriften



Datum		Unterschrift, ggf. Stempel		Datum		Unterschrift, ggf. Stempel

Anlage 8 - TOM Checkliste (V 2.1 2022-01) (1).docx