[Seite 1]

Managementhandbuch der Berliner Wasserbetriebe

Informationssicherheit

Revisionsstand: 1

Freigabedatum: 05.05.2022

Vorgaben zur Informationssicherheit für externe Dienst-

leister, Lieferanten und Kooperationspartner der Berli-

ner Wasserbetriebe

....................................................................................................................................................................

Einordnung, Zweck und Geltungsbereich ............................................................................... 2
Beschreibung........................................................................................................................ 2

2.1 Allgemeine Regelungen .............................................................................................................. 2

2.1.1 Vertraulichkeit ......................................................................................................................... 2

2.1.2 Meldepflichten des Auftragnehmers ....................................................................................... 4

2.1.3 Umgang mit Arbeitsmitteln ..................................................................................................... 4

2.1.4 Verbot eigener nicht beauftragter Aufzeichnungen................................................................ 6

2.1.5 Benennung eines Ansprechpartners für alle sicherheitsrelevanten Themen durch den

Auftragnehmer ........................................................................................................................ 6

2.1.6 Dokumentation und Sicherheitsbelehrung der Beschäftigten des Auftragnehmers .............. 6

2.1.7 Referenzen ............................................................................................................................... 6

2.1.8 Testumgebung ......................................................................................................................... 6

2.2 Zutritt .......................................................................................................................................... 7

2.3 Zugang ......................................................................................................................................... 7

2.4 Zugriff .......................................................................................................................................... 7

2.5 Datensicherheit ........................................................................................................................... 8

2.5.1 Verfahren zum Datenaustausch zwischen den Berliner Wasserbetrieben und

Auftragnehmern ...................................................................................................................... 8

2.5.2 Umgang mit mobilen Datenträgern ......................................................................................... 8

2.5.3 Datensicherung von Projektierungsständen ........................................................................... 8

2.5.4 Datenablage beim Auftragnehmer .......................................................................................... 8

Bestätigung der Vorgaben zur Informationssicherheit ........................................................... 9

.................................................................................................................................................................... Seite 1 von 9

[Seite 2]

Managementhandbuch der Berliner Wasserbetriebe

Informationssicherheit

Vorgaben zur Informationssicherheit für externe Dienstleister, Lieferan- ten und Kooperationspartner der Berliner Wasserbetriebe

Einordnung, Zweck und Geltungsbereich

Diese Vorgaben zur Informationssicherheit gelten für die, durch die Berliner Wasserbetriebe beauf-

tragten, Dienstleister und Lieferanten sowie Kooperationspartner, die im Bereich der IT- und OT Tech-

nik tätig werden. Diese Parteien werden im Folgenden als Auftragnehmer bezeichnet. Diese Vorgaben

zur Informationssicherheit gelten nicht für Auftragnehmer, die eine reine Lieferungsleistung ohne Ar-

beitsanteil an den technischen Systemen der Berliner Wasserbetriebe erbringen.

Diese Vorgaben zur Informationssicherheit beschreiben bezogen auf die Informationssicherheit die

spezifischen Rechte und Pflichten der Auftragnehmer. Der Geltungsbereich umfasst alle Informationen

der Berliner Wasserbetriebe, die im Zuge der Auftragserfüllung zur Verfügung gestellt werden.

Diese Vorgaben zur Informationssicherheit sind durch den Auftragnehmer zur Kenntnis zu nehmen

und mit verbindlicher Unterschrift zusammen mit den Angebotsunterlagen an die Berliner Wasserbe-

triebe zurückzusenden.

Beschreibung

2.1 Allgemeine Regelungen

2.1.1 Vertraulichkeit

Sämtliche hier beschriebenen Vorgaben gelten ebenfalls für analoge Aufzeichnungen / Dokumentatio-

nen. Ergänzend zur ggf. bei Auftragsvergabe erforderlichen „Vereinbarung zur Auftragsverarbeitung“

gelten folgende Vorgaben:

 Alle Informationen gelten bis zur Freigabe durch den Sicherheitsansprechpartner der Berliner

Wasserbetriebe als vertraulich.

 Vertrauliche Informationen sind ausschließlich zur Vorbereitung und Durchführung des ge-

meinsamen Vorhabens zu verwenden.

 Veröffentlichungen im Rahmen von Abschlussarbeiten bzw. wissenschaftliche Publikationen

sind nur nach Freigabe des Sicherheitsansprechpartners der Berliner Wasserbetriebe zulässig.

 Die Auftragnehmer dürfen nicht freigegebene Informationen, die ihnen anvertraut oder die

ihnen bei der Zusammenarbeit bekannt werden, während der Dauer und nach Beendigung des

Vertragsverhältnisses nicht an Dritte offenbaren oder unbefugt für eigene Geschäftszwecke

verwerten.

 Auf Unterlagen eventuell vorhandene Urheber- und / oder sonstige gewerbliche Schutzrechts-

vermerke dürfen von den Auftragnehmern nicht entfernt oder auf sonstige Weise unkenntlich

.................................................................................................................................................................... Revisionsstand: 1 / Freigabedatum: 05.05.2022 Seite 2 von 9

[Seite 3]

Managementhandbuch der Berliner Wasserbetriebe

Informationssicherheit

Vorgaben zur Informationssicherheit für externe Dienstleister, Lieferan- ten und Kooperationspartner der Berliner Wasserbetriebe

gemacht und auf diese Weise bearbeitetes Material darf nicht an Dritte weitergegeben wer-

den.

 Aus dem Auftragsverhältnis und aus der Bekanntgabe technischer Einzelheiten und Zusam-

menhänge - gleichgültig, ob hierfür Schutzrechte bestehen oder nicht - können von den Auf-

tragnehmern, die die vertraulichen Informationen erhalten haben, keine Lizenz-, Nachbau-,

Nutzungs- oder sonstige Rechte hergeleitet werden.

 Die Auftragnehmer verpflichten sich, Informationen nur solchen Beschäftigten oder Dritten zu

überlassen, die ihrerseits diesen Vorgaben zur Informationssicherheit unterliegen. Sofern zur

Auftragserfüllung Dritte erforderlich sind, müssen die Dritten diese Vorgaben zur Informati-

onssicherheit ebenfalls dokumentiert zur Kenntnis nehmen.

 Die von den Berliner Wasserbetrieben überlassenen und im Rahmen des Auftragsverhältnisses

generierten Daten gehören den Berliner Wasserbetrieben. Sofern die Berliner Wasserbetriebe

Daten überlassen, über die zu verfügen sich ein Dritter vorbehalten hat, sind diese Daten im

Zweifel so zu behandeln, als gehörten sie den Berliner Wasserbetrieben.

 Die Auftragnehmer verpflichten sich, die überlassenen Daten der Berliner Wasserbetriebe ein

Jahr nach der Erfüllung des abgestimmten Kooperationsvorhabens oder nach Beendigung des

Vertragsverhältnisses sowie bei Nichtzustandekommen ein Jahr nach dem letzten Geschäfts-

kontakt ohne Aufforderung zu löschen. Sind die Daten aus gesetzlichen Gründen länger aufzu-

bewahren, so sind sie nach Ablauf der gesetzlichen Aufbewahrungsfrist zu löschen. Angemes-

sene Löschnachweise sind nach Aufforderung den Berliner Wasserbetrieben zur Verfügung zu

stellen.

 Bei einem Verstoß gegen die hier genannten Bestimmungen durch die Auftragnehmer besteht

für die Berliner Wasserbetriebe das Recht, die sofortige Herausgabe sämtlicher überlassener

vertraulicher Informationen, einschließlich Kopien aller Kopien, Abschriften jeder Art etc., zu

verlangen oder den Nachweis der Unbrauchbarmachung einzufordern. Die Auftragnehmer

haften in vollem Umfang für Missbrauch und Weitergabe der zur Verfügung gestellten Daten.

 Sollten einzelne hier genannte Bestimmungen ganz oder teilweise unwirksam oder nichtig sein

oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen hier genannten unberührt.

An die Stelle der unwirksamen oder nichtigen Bestimmung tritt diejenige wirksame Bestim-

mung, die die Berliner Wasserbetriebe und die Auftragnehmer vereinbart hätten, um den glei-

chen Erfolg zu erzielen. Dies gilt für fehlende Bestandteile entsprechend.

[Seite 4]

Managementhandbuch der Berliner Wasserbetriebe

Informationssicherheit

Vorgaben zur Informationssicherheit für externe Dienstleister, Lieferan- ten und Kooperationspartner der Berliner Wasserbetriebe

2.1.2 Meldepflichten des Auftragnehmers

 Die Kenntnis von Verstößen gegen diese Vorgaben zur Informationssicherheit (auch dritter

Personen) oder sonstiger Risiken für den Systembetrieb verpflichtet zur sofortigen Meldung

an die jeweiligen Sicherheitsansprechpartner der Berliner Wasserbetriebe.

 Die systemspezifischen Arbeitsanmeldeverfahren sind einzuhalten, sofern aufgaben- oder pro-

jektbezogen nicht etwas Anderes vereinbart wird. Abweichungen dazu sind nur durch den be-

nannten Sicherheitsansprechpartner der Berliner Wasserbetriebe zu genehmigen.

 Die Namensliste der Beschäftigten des Auftragnehmers auf dem Formular V40231 „Ansprech-

partner zur Informationssicherheit bei Auftraggeber und Auftragnehmer“ ist aktuell zu halten.

 Die Nutzung der von den Berliner Wasserbetrieben zur Verfügung gestellten Fernzugriffe ist

anzumelden und darf nicht ohne vorherige Genehmigung des System- / Anwendungsverant-

wortlichen der Berliner Wasserbetriebe erfolgen.

2.1.3 Umgang mit Arbeitsmitteln

 Grundsätzlich sind innerhalb der Berliner Wasserbetriebe ausschließlich die von den Berliner

Wasserbetrieben zur Verfügung gestellten Arbeitsmittel (insbesondere Hardware / Software)

zu verwenden. Ausnahmen sind nur nach Prüfung und Genehmigung durch den Sicherheitsan-

sprechpartner des jeweiligen technischen Systems, in dem die beauftragte Maßnahme umge-

setzt wird, zulässig.

 Sollte ein dringender Bedarf, durch eine begründete nachgewiesene Ausnahme (nur mit doku-

mentierter Bestätigung des jeweiligen benannten Sicherheitsansprechpartners der Berliner

Wasserbetriebe), zur Anbindung von fremdem IT-Equipment an das Datennetzwerk (z. B.

Ethernet / WLAN oder sonstige IT-Systemschnittstellen der Berliner Wasserbetriebe erforder-

lich werden, so ist durch den Auftragnehmer stets sicherzustellen, dass:

Eingesetzte Fremdsysteme (Host inklusive aller virtuellen Maschinen auf dem Host) müssen

über einen durch die Berliner Wasserbetriebe anerkannten Antivirenscanner mit aktuellen

Virensignaturen verfügen und schadcodefrei betrieben werden. Zur Prüfung wird der Ein-

satz eines Bootdatenträgers, der durch die Berliner Wasserbetriebe konfiguriert ist, favori-

siert (Eine Entscheidung dazu ist nur durch dokumentiert bestätigte Sicherheitsansprech-

partners der Berliner Wasserbetriebe vorzunehmen).

Das Betriebssystem über einen zeitgemäßen Status (mit aktivem Support durch den Her-

steller / Distributor) und vor allem aktuellen Betriebssystem-Patchstand verfügt. .................................................................................................................................................................... Revisionsstand: 1 / Freigabedatum: 05.05.2022 Seite 4 von 9

[Seite 5]

Managementhandbuch der Berliner Wasserbetriebe

Informationssicherheit

Vorgaben zur Informationssicherheit für externe Dienstleister, Lieferan- ten und Kooperationspartner der Berliner Wasserbetriebe

Keinerlei Hackertools oder unlizenzierte gehackte Softwarekomponenten zum Einsatz kom-

men, die die Geschäftsprozesse der Berliner Wasserbetriebe negativ beeinflussen. Dazu ge-

hören u. a. Netzwerksniffer oder anderweitige Software, welche gegen eine kontrollierte

Softwareumgebung sprechen.

Über das Fremdsystem darf keine gleichzeitige Weitervernetzung, z. B. über Mobilfunk,

möglich sein.

Das Fremdsystem muss wie oben beschrieben vorgezeigt, geprüft und durch die Berliner

Wasserbetriebe freigegeben werden. Dies muss vor jedem Einsatz erfolgen, da sich die Rah-

menbedingungen der Softwareumgebung verändert haben könnten.

Es darf keinerlei schwachstellenbehaftete Software auf dem Fremdsystem installiert sein.

Zur Prüfung ist ein Softwareinventory in Gegenwart des Sicherheitsansprechpartners der

Berliner Wasserbetriebe zu generieren und durch die Berliner Wasserbetriebe freizugeben.

Andere Prüfungen und / oder Zulassungsformen sind durch den jeweiligen Sicherheitsan-

sprechpartner der Berliner Wasserbetriebe zu definieren.

 Sicherheitshinweise der Berliner Wasserbetriebe sind zu beachten.

 Bei begründetem Bedarf kann die Nutzung von E-Mail-Accounts und Internetzugängen der

Berliner Wasserbetriebe gewährt werden. Dazu wird eine Benutzerkennung von den Berliner

Wasserbetrieben zur Verfügung gestellt. Die private Nutzung von E-Mail und Internet durch

Beschäftigte des Auftragnehmers ist untersagt.

Weiterhin ist das gleichzeitige Versenden von E-Mails an alle Teilnehmer im Adressbuch

untersagt.

Unzulässig ist auch die Nutzung des Internetzugangs der Berliner Wasserbetriebe, die ge-

eignet ist, den Interessen der Berliner Wasserbetriebe oder deren Ansehen in der Öffent-

lichkeit zu schaden oder die gegen geltende Rechtsvorschriften verstößt. Aus Gründen der

Datensicherheit für das Netzwerk der Berliner Wasserbetriebe haben die Berliner Wasser-

betriebe eine Firewall installiert, die u. a. einen Spam- und Virenscanner und einen Inter-

netadressfilter umfasst. Die Internetzugriffe werden auf dem Proxy-Server der Berliner

Wasserbetriebe protokolliert und können von den Berliner Wasserbetrieben kontrolliert

werden.

Downloads von Software sind ausschließlich im Rahmen der Auftragserfüllung nach vorhe-

riger schriftlicher Genehmigung durch den jeweiligen Sicherheitsansprechpartner der Ber-

liner Wasserbetriebe zulässig. .................................................................................................................................................................... Revisionsstand: 1 / Freigabedatum: 05.05.2022 Seite 5 von 9

[Seite 6]

Managementhandbuch der Berliner Wasserbetriebe

Informationssicherheit

Vorgaben zur Informationssicherheit für externe Dienstleister, Lieferan- ten und Kooperationspartner der Berliner Wasserbetriebe

Hinweis: Ausnahmen bilden IT-Penetrationstests, die gesondert zu vereinbaren sind.

2.1.4 Verbot eigener nicht beauftragter Aufzeichnungen

Jegliche nicht durch das Auftragsverhältnis legitimierte Aufzeichnungen sind untersagt. Als Aufzeich-

nungen gelten auch handschriftliche Notizen und Fotos.

2.1.5 Benennung eines Ansprechpartners für alle sicherheitsrelevanten Themen durch den Auftrag-

nehmer

Der Auftragnehmer verpflichtet sich bei einer eventuellen Auftragserteilung, eine natürliche Person

als Ansprechpartner für alle sicherheitsrelevanten Themen für die Berliner Wasserbetriebe schriftlich

mittels Formular V40231 „Ansprechpartner zur Informationssicherheit bei Auftraggeber und Auftrag-

nehmer“ zu benennen und Änderungen unverzüglich anzuzeigen.

2.1.6 Dokumentation und Sicherheitsbelehrung der Beschäftigten des Auftragnehmers

Der Auftragnehmer ist verpflichtet, Beschäftigte, die er mit Arbeiten bei den Berliner Wasserbetrieben

beauftragt, über diese Vorgaben zur Informationssicherheit dokumentiert zu belehren. Die Dokumen-

tation dieser Belehrung ist vor dem Einsatz der Beschäftigten dem Sicherheitsansprechpartner und

dem System- / Anwendungsverantwortlichen der Berliner Wasserbetriebe zur Verfügung zu stellen.

2.1.7 Referenzen

Aus den Arbeiten bei den Berliner Wasserbetrieben erschließt sich kein Recht, mit den Arbeiten bei

den Berliner Wasserbetrieben als Referenz zu werben. Dies gilt nicht für den Fall einer ggf. mit den

Berliner Wasserbetrieben abgeschlossenen Referenzkundenvereinbarung.

2.1.8 Testumgebung

 Der Auftragnehmer hat grundsätzlich die Funktionalität der beauftragten Leistung, vor der Im-

plementierung in das Produktivsystem, in einer unkritischen Umgebung nachzuweisen. Die

Berliner Wasserbetriebe behalten sich vor, eine entsprechende Testumgebung zur Verfügung

zu stellen.

[Seite 7]

Managementhandbuch der Berliner Wasserbetriebe

Informationssicherheit

Vorgaben zur Informationssicherheit für externe Dienstleister, Lieferan- ten und Kooperationspartner der Berliner Wasserbetriebe

 Sofern es in einem Auswahlverfahren zur Lieferung von den Berliner Wasserbetrieben unbe-

kannter Hardware kommt, ist die Hardware in einer zeitlich begrenzten Teststellung zur Ver-

fügung zu stellen. Der dafür beim Auftragnehmer entstehende Aufwand ist vorab mit den Ber-

liner Wasserbetrieben zu klären.

2.2 Zutritt

Der physikalische Zutritt zu Arbeitsorten der Berliner Wasserbetriebe wird nur nach Anmeldung und in

Gegenwart von Beschäftigten der Berliner Wasserbetriebe gewährt. Ausnahmen sind schriftlich festzu-

legen. Der Zutritt ist gemäß den systemspezifischen Arbeitsanmeldeverfahren der Berliner Wasserbe-

triebe zu beantragen und zu gewähren (siehe Ziffer 2.1.2).

2.3 Zugang

 Der Zugang zu den Datenverarbeitungsanlagen der Berliner Wasserbetriebe wird ausschließ-

lich über die zur Verfügung gestellten Benutzerkennungen über die zur Verfügung gestellten

Wege gewährt.

 Die Weitergabe der Zugangsdaten ist untersagt.

 Der Zugang zu den Datenverarbeitungsanlagen der Berliner Wasserbetriebe darf nur für die

Bearbeitung des Auftrages verwendet werden.

 Die Berliner Wasserbetriebe behalten sich vor, die Zugänge zeitlich zu begrenzen oder zu sper-

ren.

2.4 Zugriff

 Dem Auftragnehmer werden gemäß dem „Prinzip der minimalen Berechtigungsvergabe“ aus-

schließlich Berechtigungen zugewiesen, die zur Bearbeitung des Auftrags erforderlich sind.

 Die Berechtigungen dürfen nur für Tätigkeiten genutzt werden, die für die Auftragserfüllung

notwendig und mit der Vorhaben- / Projektleitung der Berliner Wasserbetriebe abgestimmt

sind.

 Die Berliner Wasserbetriebe behalten sich vor, die Zugriffe des Auftragnehmers zu protokol-

lieren und anlassbezogen auszuwerten.

 Die Berliner Wasserbetriebe ermöglichen ggf. Fernzugriffe. Der Umfang und die Nutzungsarten

werden in den systemspezifischen Festlegungen geregelt oder mit dem Auftragnehmer explizit

[Seite 8]

Managementhandbuch der Berliner Wasserbetriebe

Informationssicherheit

Vorgaben zur Informationssicherheit für externe Dienstleister, Lieferan- ten und Kooperationspartner der Berliner Wasserbetriebe

vereinbart. Die Berliner Wasserbetriebe behalten sich jedoch vor, die zur Verfügung gestellten

Fernzugriffe bei berechtigtem betrieblichen Interesse ohne Vorankündigung zu unterbinden.

2.5 Datensicherheit

2.5.1 Verfahren zum Datenaustausch zwischen den Berliner Wasserbetrieben und Auftragnehmern

Daten der Berliner Wasserbetriebe dürfen nur verschlüsselt und nach Genehmigung des Sicherheits-

ansprechpartners der Berliner Wasserbetriebe über die von den Berliner Wasserbetrieben zur Verfü-

gung gestellte IT-Infrastruktur ausgetauscht werden.

2.5.2 Umgang mit mobilen Datenträgern

Der Einsatz von mobilen Datenträgern ist grundsätzlich untersagt. Sollte die Nutzung dennoch erfor-

derlich sein, ist in jedem Fall eine mit dem Sicherheitsansprechpartner der Berliner Wasserbetriebe

abgestimmte Verschlüsselung einzusetzen. Dabei sind bei Bedarf nur von den Berliner Wasserbetrie-

ben bereitgestellte USB-Sticks einzusetzen. Betriebsfremde Datenträger dürfen nicht im Umfeld der

Berliner Wasserbetriebe eingesetzt werden. Des Weiteren sind mobile Datenträger nur zulässig, inso-

fern Datenübermittlungstools wie FILR3 aus technischen Gründen vor Ort nicht herangezogen werden

können.

2.5.3 Datensicherung von Projektierungsständen

 Projektierungsstände sind beim Auftragnehmer und in einer gesicherten und abgestimmten

Umgebung innerhalb der Sicherheitsansprechpartner aufzubewahren.

 Für den Datentransport sind Ziffer 2.5.1 sowie Ziffer 2.5.2 einzuhalten.

2.5.4 Datenablage beim Auftragnehmer

 Der Auftragnehmer hat nachzuweisen, welche seiner Beschäftigten auf die Daten seines An-

sprechpartners für alle sicherheitsrelevanten Themen zugreifen können.

 Der Auftragnehmer verpflichtet sich, geeignete technische und organisatorische Maßnahmen

zum Schutz der Daten der Berliner Wasserbetriebe zu ergreifen. Die Berliner Wasserbetriebe

behalten sich vor, eine Kontrolle dieser Maßnahmen beim Auftragnehmer durchzuführen.

[Seite 9]

Managementhandbuch der Berliner Wasserbetriebe

Informationssicherheit

Vorgaben zur Informationssicherheit für externe Dienstleister, Lieferan- ten und Kooperationspartner der Berliner Wasserbetriebe

Bestätigung der Vorgaben zur Informationssicherheit

Hiermit bestätige ich, dass ich dieses Dokument „Vorgaben zur Informationssicherheit für externe

Dienstleister, Lieferanten und Kooperationspartner der Berliner Wasserbetriebe“ zur Kenntnis genom-

men und verstanden habe sowie die Vorgaben einhalten bzw. ihre Einhaltung durch die von mir mit

der Auftragserfüllung betrauten Personen sicherstellen werde.

	Zeichnungsberechtigter Auftragnehmer
	Name, Vorname			Datum			Unterschrift

vorgaben_informationssicherheit.pdf

Vorgaben zur Informationssicherheit für externe Dienst-

leister, Lieferanten und Kooperationspartner der Berli-

ner Wasserbetriebe