Grundschutzkonformer Verfahrensbetrieb ALKIS Bremen [3A_HB001]
2. Leistungsumfang und -beschreibung
Anlage 6zum V7179-1/3011135
2. Leistungsumfang und -beschreibung
2.1 Informationssicherheitsmanagementsystem (ISMS)
Der Auftragnehmer betreibt ein Informationssicherheitsmanagementsystem (ISMS) auf Basis des BSI-Standards 100-11. Wesentliche Elemente des ISMS sind:
dieimIT-Sicherheits- und Datenschutzmanagementhandbuch desAuftragnehmersfestgelegten und mit denenim Geschäftsverteilungsplan (GVP2) dokumentierten Funktionsträger
dieimIT-Sicherheits- und Datenschutzmanagementhandbuch desAuftragnehmersfestgelegten Prozesse des Informationssicherheitsmanagements:
o der Betrieb des ISMS
o die Umsetzung der Grundschutz-Vorgehensweise auf Grundlage des BSI-Standards 100-2
o die Sicherheitskonzepterstellung o dasSicherheitsvorfallmanagement
o das Notfall- und Notfallvorsorgemanagement
sowie dassicherheitsrelevanteRegelwerk des Auftragnehmerszur Informationssicherheit Das ISMS des Auftragnehmers stellt sicher, dass nach dem im BSI-Standard 100-2 festgelegten Schema die einschlägigenSicherheitsmaßnahmen der IT-Grundschutz-Katalogeausgewählt und um-gesetzt werden können. Es liefert dem Auftragnehmer die Berücksichtigungrelevanter Grundschutz-maßnahmen beiPlanung,Errichtung undBetriebvon Verfahren des Auftraggebers sowie die Grundla-gen für den Nachweis über die aktuell umgesetzten Sicherheitsmaßnahmen.
2.2 Verfahrensbezogener IT-Sicherheitskoordinator (ITSK)
Der Auftragnehmer benennt gegenüber dem Auftraggeber einen IT-Sicherheitskoordinator (ITSK) als Ansprechpartner. Die Benennung des ITSK sowie die Veränderung der Rollenbesetzung wird dem Auf-traggeber angezeigt. Die Benennung wird im Geschäftsverteilungsplan des Auftragnehmers dokumen-tiert.
Der ITSK steht für die Beantwortung verfahrensbezogener Sicherheitsfragenim Verantwortungsbereich des Auftragnehmers zur Verfügung. Er ist für dasverfahrensbezogene Sicherheitsvorfallmanagement beim Auftragnehmer verantwortlich und damit die Schnittstelle des Auftraggebers in die Sicherheitsma-nagementorganisation unddie Sicherheitsmanagementprozesse desAuftragnehmers.
Der ITSK ist verantwortlichfür die Erstellung des auftragsbezogenen Sicherheitskonzeptessowie die jährliche Bereitstellung desSicherheitsnachweises3 (siehe Kapitel2.4).Erüberwacht während der Ver-tragslaufzeit die Aufrechterhaltung des grundschutzkonformen Betriebes für die vom Auftragnehmer verantwortete,auftragsbezogene Infrastruktur.
1 https://www.bsi.bund.de/cln 165/DE/Themen/ITGrundschutz/ITGrundschutzStandards/ITGrundschutzStandards node.html
2 Der Geschäftsverteilungsplanalsnicht kundenöffentliches Dokument kann entsprechend der Regelungen des Kapitels 3.3 (Einsicht in interne Dokumente des Auftragnehmers) eingesehen werden.
3 Der Sicherheitsnachweis ist die Dokumentation des Umsetzungsstandes aller relevanten Sicherheitsmaßnah-men.
04.05.2018 Security Service Level Agreement Seite 4 von 14
Allgemeiner Teil (Teil A)
Anlage 6zum V7179-1/3011135
Der ITSK ist auf Seiten des Auftragnehmersfür die Planung und Koordination von datenschutzrechtli-chen Kontrollen des Auftraggebers im Rahmen der Auftragsdatenverarbeitung verantwortlich. Das bein-haltet insbesondere die Abstimmung von Terminen sowie die SicherstellungderVerfügbarkeit von er-forderlichen Personen und Ressourcen (z.B. Räumen oder Dokumenten für die Einsichtnahme vor Ort).
Prüfungen wie Audits, Zertifizierungen o.ä. die über eine datenschutzrechtlicheKontrolle hinausgehen, sind nicht Teil der hier vereinbarten Leistung (vgl. Kapitel 2.7).
2.3 Grundschutzkonformer Betrieb
Der Auftragnehmer verpflichtet sich, die vom BSI in den IT-Grundschutzkatalogen4 vorgegebenenA-, B- und C-Maßnahmen, die in denZuständigkeitsbereich desAuftragnehmersfallen, für denvon dieser Vereinbarung betroffenen Informationsverbund umzusetzen.
Die Maßnahmenermittlung und Umsetzung vonSicherheitsmaßnahmenerfolgt auf Basis der Bausteine der IT-Grundschutzkataloge in der beim Auftragnehmer eingesetzten Fassungund unterEinhaltung der für BSI-Zertifizierungen geltenden Übergangsfristen.
Die für den betrachteten Informationsverbund maßgeblichen Sicherheitsmaßnahmen und der jeweilige Umsetzungsstand werdenimSicherheitskonzeptdokumentiert. Sofern zusätzliche Maßnahmen umge-setzt werden müssen, sinddieseim SSLA TeilBzu benennenund die Umsetzungzu beauftragen.
2.4 Erstellung und Pflege der Sicherheitsdokumentation
2.4.1 Umfang
Der Auftragnehmer erstellt und pflegt ein in Form und Struktur standardisiertes, grundschutzkonformes Sicherheitskonzept und weist dem Auftraggeber auf dieser Basis den grundschutzkonformen Betrieb nach (Sicherheitsnachweis).
Das Sicherheitskonzept beschreibt die nach IT-Grundschutz-Methodikzusammengefasste Struktur des betrachtetenInformationsverbundes sowiedie maßgeblichen5 Sicherheitsmaßnahmen im Zuständig-keitsbereich des Auftragnehmers.
Der Auftragnehmer stellt die dauerhafte Umsetzung der Sicherheitsmaßnahmen sicher. Zu diesem Zweck prüft er im Rahmenvon Basissicherheitschecks regelmäßig den Umsetzungsstand der Sicher-heitsmaßnahmen und dokumentiert diesen im Sicherheitsnachweis.
Die Betrachtung und Prüfung vonSachverhaltenim Verantwortungsbereich desAuftraggebers, die über die Leistungennach Kapitel2.5hinausgehen, sind nicht Gegenstand der Leistungsvereinbarung.
4 Die aktuelle Version der IT-Grundschutz-Kataloge des BSI kann unter https://www.bsi.bund.de/DE/Themen/IT-Grundschutz/ITGrundschutzKataloge/itgrundschutzkataloge node.html abgerufen werden.
5 Die Festlegung der relevanten Maßnahmenerfolgt auf Grundlage der Modellierungsvorschriftendes BSI-Stan-dards 100-2.
04.05.2018 Security Service Level Agreement Seite 5 von 14
Allgemeiner Teil (Teil A)
Anlage 6zum V7179-1/3011135
2.4.2 Struktur und Standardordner
Die Sicherheitsdokumentationwird strukturiert in verschiedenen Unterordnern übergeben. Die Struktur sowie das Namensschema der Ordner orientierensich dabei an denVorgaben des BSI, insbesondere der im BSI-Standard 100-2 festgelegten Vorgehensweise. Der Inhalt der jeweiligen Ordner ist in den nachfolgendenKapiteln 2.4.2.1bis2.4.2.6näher erläutert. Eine detaillierte Beschreibung der einzelnen Ordner einschließlich der Inhalte liegt ferner derübergebenenSicherheitsdokumentationbei.
Je nach technischen undbetrieblichen Rahmenbedingungen, insbesondere in Abhängigkeit des im SLA vereinbarten Leistungsschnitts, kann der Dokumentationsumfang (beispielsweise im Ordner "A.D1 Be-gleitdokumentation")variieren.
2.4.2.1 A.0 Richtlinienfür Informationssicherheit
Die Rahmenbedingungenzur Umsetzung des grundschutzkonformen Betriebes beim Auftragnehmer sindin dem jeweils geltenden Regelwerk des Auftragnehmersfestgelegt. Der Auftragnehmer stellt dem Auftraggeber das Regelwerk auf der Ebene der Leitlinien und Richtlinien als Teil der Sicherheitsdoku-mentation für die interne Bewertung zur Verfügung.
Betriebliche Detaildokumentation, die über die Ebene der Richtlinien hinausgeht (wie beispielsweise detaillierte physikalische Netzpläne, IP-Adresskonzepte,Firewall-Policies oder spezifische sicherheits-relevante Konfigurationsvorgaben) hält der Auftragnehmer vor Ort zur Einsichtnahme durch den Auf-traggeber bereit.
2.4.2.2 A.1 IT-Strukturanalyse
Der Auftragnehmer erstellt eine standardisierte Übersicht über diezu dem betrachteten Verfahren ge-hörige IT-Infrastruktur. Diese beinhaltet:
Beschreibung desbetrachteten IT-Verbundes sowie dessen Abgrenzung
Dokumentation zu Aufbau und Leistungen des Informationssicherheitsmanagementsystems (ISMS)
Übersicht über die relevanten Kommunikationsverbindungen
Komponentenlisten zu den jeweils betroffenen Komponenten beim Auftragnehmer o Gebäude und Räume
o Server und Netzwerkkomponenten
o Systeme, die dem Verfahrensbetrieb dienen einschl. unmittelbar genutzter Manage-mentsysteme für den Systembetrieb, die Netzinfrastruktur und administrative Clients o Übersicht über am Verfahren beteiligte Dataport-Administratoren und deren Clients o ergänzende Zielobjekte wie Anwendungen und Dienste, sofern sie in den eingesetzten
IT-Grundschutz-Katalogen betrachtet und vom Auftragnehmer bereitgestellt werden
Übersicht über die beteiligten Netze (verdichtete Netzpläne in der IT-Grundschutzsystematik)
Beschreibung der Administratorrollen
Sofern für die Betrachtungrelevante Teile bereitsin anderen Sicherheitskonzeptenvollständig betrach-tet wurden (beispielsweise das der IT-Grundschutzzertifizierung unterliegende Sicherheitskonzept des Rechenzentrums), werden diese Teilkonzepte beigefügt, mindestens jedoch darauf verwiesen (siehe 2.4.2.5A.D0 ErgänzendeSicherheitskonzepte).
04.05.2018 Security Service Level Agreement Seite 6 von 14
Allgemeiner Teil (Teil A)
Anlage 6zum V7179-1/3011135
2.4.2.3 A.3 ModellierungdesIT-Verbundes
Der Auftragnehmer weist in Form eines Reports aus der eingesetztenVerwaltungssoftware nach, wel-che Bausteine des IT-Grundschutz-Katalogs auf die Objekte des Informationsverbundes des Auftrag-nehmers angewendet werden. Die Bausteine beinhalten einevom BSI vorgegebene Auswahl betrach-teter Gefährdungslagen (Risiken) und festgelegter Sicherheitsmaßnahmen.
Die Zuweisung derBausteine erfolgt nach den in den IT-Grundschutz-Katalogen beschriebenen Re-geln.
2.4.2.4 A.4 Ergebnis desBasis-Sicherheitschecks(Sicherheitsnachweis)
In Formeines Reports ausder Verwaltungssoftware weist der Auftragnehmer den Umsetzungsstand der sich aus derModellierung ergebenden Sicherheitsmaßnahmen nach (Sicherheitsnachweis). Dabei folgt die Dokumentation des Umsetzungsstandes dem vom BSI vorgegebenenSchema in fünf Stufen:
Ja (Maßnahme ist vollständig umgesetzt)
Teilweise (Maßnahme ist teilweise umgesetzt)
Nein (Maßnahme ist nicht umgesetzt)
Entbehrlich (Maßnahme/Baustein wird als nicht relevant bewertet)
Unbearbeitet
Der Report beinhaltetAngaben zur Durchführung derPrüfung (Datum, Personen), eineBeschreibung der Maßnahmenumsetzung, Verweise zum jeweils maßgeblichen Regelwerk des Auftragnehmers so-wie bei Abweichungen eine Beschreibung der Abweichungen von IT-Grundschutz soso-wie den Umgang mit den festgestellten Abweichungen (vgl. auch Kapitel 3.4).
2.4.2.5 A.D0 ErgänzendeSicherheitskonzepte
Sofern für denunter dieser Vereinbarung betrachtetenInformationsverbund weitere Sicherheitskon-zepte maßgeblich sind, werden diese indiesem Ordner beigelegt.6
Teil-Sicherheitskonzepte, bei denen die verantwortliche Stelle nicht identisch mit dem hier relevanten Auftraggeber ist, können ohne Zustimmung der jeweils verantwortlichen Stelle nicht herausgegeben werden. Liegt dem Auftragnehmer eineentsprechende Freigabe vor, werdendiese Teil-Sicherheitskon-zepte der Sicherheitsdokumentationim Ordner A.D0beigefügt.
2.4.2.6 A.D1 Begleitdokumentation
Sofern für das vom Auftragnehmer erstellte Sicherheitskonzept weitere Dokumente zum Verständnis oder zum Nachweis der Maßnahmenumsetzung erforderlich sind, werden diese in die Sicherheitsdoku-mentation (Ordner A.D1) aufgenommen.
Dokumente, die als intern bzw. nicht kundenöffentlich eingestuft sind, stehen nur zur Einsichtnahme be-reit.
Für Verfahren, die mindestens in Teilen im Green Twin Data Center (RZ²) betriebenwerden, ist dies dasder BSI-Zertifizierung unterliegende Sicherheitskonzept des Rechenzentrums.
04.05.2018 Security Service Level Agreement Seite 7 von 14
Allgemeiner Teil (Teil A)
-6