Informationssicherheit - Zur Sicherstellung der technischen Leistungsfähigkeit hinsichtlich Informationssicherheit hat der Bieter abhängig vom angebotenen Betriebsmodell folgende Nachweise einzureichen.
Es handelt sich um alternative Anforderungen.
Der Bieter muss entweder die Anforderungen für den On-Premise-Betrieb oder die Anforderungen für den SaaS-Betrieb erfüllen - je nachdem, welches Modell angeboten wird.
a) On-Premise-Betrieb (Softwarebetrieb im Rechenzentrum des Auftraggebers)
Der Bieter hat folgende Nachweise einzureichen:
- ISO/IEC 27001-Zertifizierung
Vorlage eines gültigen Zertifikats über ein nach ISO/IEC 27001 zertifiziertes Informationssicherheits-Managementsystem (ISMS) des Bieters.
b) SaaS-Betrieb (Hosting und Betrieb durch den Auftragnehmer)
Der Bieter hat folgende Nachweise einzureichen:
- ISO/IEC 27001-Zertifizierung
Vorlage eines gültigen Zertifikats über ein nach ISO/IEC 27001 zertifiziertes Informationssicherheits-Managementsystem (ISMS) des Bieters.
- BSI C5-Testat
Vorlage eines gültigen Testats nach dem Cloud Computing Compliance Criteria Catalogue (C5) des Bundesamtes für Sicherheit in der Informationstechnik (BSI) für das angebotene Cloud-System.
Das C5-Testat ist nur einzureichen, sofern der Bieter eine Cloud-Lösung anbietet.
Eine einfache Kopie ist ausreichend.
Eigenerklärungen sind nicht ausreichend.
Zusätzliche Hinweise
Der Bieter hat im Angebot eindeutig anzugeben, welches Betriebsmodell (On-Premise oder SaaS) angeboten wird.
Nur die jeweils zutreffenden Nachweise müssen eingereicht werden; nicht einschlägige Nachweise sind nicht erforderlich.
Sofern sich der Bieter zum Zeitpunkt der Angebotsabgabe noch im Zertifizierungsprozess befindet, ist ein Nachweis über den begonnenen Zertifizierungsprozess (z. B. Auditvertrag, Auditplan oder Bestätigung der Zertifizierungsstelle) einzureichen.
Das Zertifikat muss spätestens vor produktiver Betriebsaufnahme vollständig vorliegen.
Erfüllen Sie diese Anforderung?