| Anlage 5 Anhang 2 zur EVB Informationssicherheit „SaaS PaaS Cloud Services RZ-Betrieb“ | |
| EU Vergabe CMS Verhandlungsverfahren | |
| ID: | |
| Erste Vertragspartei: | Auftraggeber |
| Zweite Vertragspartei: | Bieter/Auftragnehmer |
| Datum: | 01.11.2024 |
| Version: | 5.0 |
| Autor: | Deutsche Bahn AG |
| Status: | Veröffentlicht |
Inhalt
5 Zusätzliche Anforderungen an die Informationssicherheit 4
5.4 Sicherheitsdokumentation 5
5.5 Untersagung unerwünschter Funktionen 7
5.18 Unterstützung Datenrückführung 9
5.20 Behandlung von Informationssicherheitsvorfällen 10
5.22 Integration Schwachstellenmanagement und Event Management 11
5.23 Meldung von Schwachstellen 12
5.24 Beseitigung von Schwachstellen 13
Instruktionen an die Bieter
Das vorliegende Dokument dient als Antwortvorlage für die Anlage „EVB IS Anhang 2“ im Rahmen des Angebots.
Es ist mit dem Angebot einzureichen und muss ausschließlich unter Anwendung einer der folgenden Vorgehensweisen bearbeitet werden:
Sofern eine Zeile „grau hinterlegt“ ist, ist diese nicht verhandelbar und somit ist in diesen Zeilen auch keine Bearbeitung durch den Bieter erforderlich. Eine Änderung von grau hinterlegten Anforderungen durch den Bieter führt im Rahmen der verbindlichen Angebote zum Ausschluss– siehe hierzu insb. Ziffern 11.3 und 11.4.2 der Bewerbungsbedingungen.
Die Zeilen, welche in kursiver blauer Schriftbefüllt sind, enthalten Erläuterungen, Hinweise oder Beschreibungen von Prozessschritten, die keine Anforderungen an den Auftragnehmer sind. In diesen Zeilen ist keine Bearbeitung durch den Bieter erforderlich.
Die nicht grau hinterlegten Bedingungen der Vertragsunterlagen sind verhandelbar in dem Sinne, dass für den Bieter die Möglichkeit besteht, ein vom „Auftraggeberentwurf abweichendes Angebot“ abzugeben.
Zustimmung zu den Vorgaben des Auftraggebers
Die mittleren Spalten dienen dazu, die Zustimmung der Bieter dazu einzuholen, dass sie die Vertragspassage bzw. Anforderung anerkennen. Hat ein Bieter eine Anforderung gelesen, verstanden und stimmt er zu, sie genau wie beschrieben zu erfüllen, so geht er wie folgt vor:
In der mittleren Spalte „(J/N)“ trägt er ein „J“ ein. „J“ steht für „Ja“ und zeigt an, dass der jeweilige Bieter die Anforderung, wie von dem Auftraggeber beschrieben und ausformuliert, vollständig erfüllen wird. In diesem Fall darf er keine weiteren Informationen oder eine Abweichung vom Auftraggeberentwurf in der entsprechenden Zelle der rechten Spalte „Auftragnehmer“ eintragen.
Abweichungen vom Auftraggeberentwurf
Zur Bewertung von durch den Bieter vorgeschlagenen Abweichungen vom Auftraggeberentwurf wird insb. auf 15.3.2.1 und 15.3.2.2.1 der Bewerbungsbedingungen verwiesen.
Möchte der Bieter zu einer (nicht grau hinterlegten) Vertragspassage oder Anforderung ein vom Auftraggeberentwurf abweichendes Angebot abgeben, weil er Änderungswünsche beim Wortlaut hat und/oder einen alternativen Ansatz vorschlägt, hat er wie folgt vorzugehen:
In der mittleren Spalte „(J/N)?“ trägt er den Buchstaben „N“ ein. „N“ steht für „Nein“ und zeigt an, dass der jeweilige Bieter der entsprechenden Anforderung nicht vollumfänglich, wie von dem Auftraggeber beschrieben, zustimmt. Die Anforderung aus der linken Spalte „Auftraggeber“ ist vom Bieter zu kopieren und in die entsprechende Zelle in der rechten Spalte „Auftragnehmer“ einzufügen. Der Bieter muss dann den Wortlaut der Passage entsprechend seines Vorschlags mit angeschaltetem Änderungsmodus ändern. Der Bieter muss sicherstellen, dass die Spalte „Aufragnehmer“ den gesamten Text der ursprünglichen Passage enthält und nimmt dann sichtbar Streichungen oder Änderungen am ursprünglichen Text vor, sodass neben den vorgenommenen Streichungen/Änderungen auch der ursprüngliche Text sichtbar bleibt. Dazu kann er in der Spalte „Auftragnehmer“ ein oder mehrere Worte streichen (im Änderungsmodus) und/oder den gewünschten Wortlaut hinzufügen (im Änderungsmodus).
Den jeweiligen Änderungsvorschlägen optisch nachgeordnet kann der Bieter in der entsprechenden Zelle in der rechten Spalte „Auftragnehmer“ eine kurze Erklärung als Grund für diese Änderungen hinzufügen. Die Erklärung sollte getrennt aufgeführt sein und sich vom korrigierten Text abheben und sollte der vorgeschlagenen Änderungen folgen. Alle Erklärungen der Bieter müssen klar, kurz und angemessen sein. Es dürfen keine Angaben aufgeschoben werden (z.B.: „Der Bieter ABC wird dies gern zu einem späteren Zeitpunkt besprechen“ stellt eine unzulässige Aufschiebung einer Erklärung dar.).
Der Bieter darf die Möglichkeit, Änderungswünsche zu platzieren, nicht dazu nutzen, das gesamte Vergabeverfahren umzuschreiben. Die Identität des Gegenstandes des Vergabeverfahrens muss auch in einem Verhandlungsverfahren gewahrt bleiben. Die von dem Bieter vorgeschlagenen Änderungen werden durch den Auftraggeber gesichtet und bewertet. Hierzu wird nochmal auf die Möglichkeit eines Angebotsausschlusses bei Erreichen der Bewertungsstufe 5 für eine Vertragspassage im Rahmen der verbindlichen Angebote hingewiesen – siehe insb. Ziffer 15.3.2.2.1 der Bewerbungsbedingungen.
Im Falle eines Vertragsschlusses gelten die Formulierungen, auf welche sich Auftraggeber und Bieter im Zuge der Verhandlungen geeinigt haben, in die Vertragsunterlagen aufgenommen und sind vom Bieter im Zuge der Leistungserbringung entsprechend zwingend einzuhalten.
| Ref # | Auftraggeber | J/N | Auftragnehmer |
|---|---|---|---|
| 1 | Anhang 2 zur EVB Informationssicherheit | ||
| 2 | „SaaS PaaS Cloud Services RZ-Betrieb“ | ||
| 3 | Ausgabe 01.11.2024 | ||
| 4 | Präambel | ||
| 5 | Diese Regelungen gelten ergänzend zu den Ergänzenden Vertragsbedingungen der Deutsche Bahn AG und der mit ihr verbundenen Unternehmen zu Anforderungen an die Informationssicherheit (EVB Informationssicherheit) und regeln den folgenden Anwendungsfall: | ||
| 6 | * Bezug von ‚as a Service’-Produkten und Cloud-Services | ||
| 7 | * Rechenzentrums-Betrieb | ||
| 8 | Zusätzliche Anforderungen an die Informationssicherheit | ||
| 9 | Erreichbarkeiten | ||
| 10 | Für die Erreichbarkeit der Ansprechpartner gelten folgende Verfügbarkeits- und Reaktionszeiten, soweit Auftraggeber und Auftragnehmer im Vertrag nicht ausdrücklich etwas anderes vereinbart haben |
| Schutzbedarf | ||
| Normal | Hoch / sehr hoch | |
| Regelkommunikation | ||
| Reaktionszeit AN auf Anfrage AG | 8h, innerhalb Geschäftszeit | 4h, innerhalb Geschäftszeit |
| Notfallkommunikation | ||
| Meldung Informationssicherheitsvorfälle und Schwachstellen | Unverzüglich | Unverzüglich |
| Reaktionszeit Notfall-SPOC AN | 4h innerhalb Geschäftszeiten (9 – 17 h) | 1h innerhalb erweiterter Geschäftszeiten gem. SLA |
| Tabelle 1: Reaktionszeiten |
| Ref # | Auftraggeber | J/N | Auftragnehmer |
|---|---|---|---|
| 11 | - entfällt - | ||
| 12 | - entfällt - | ||
| 14 | Sicherheitsdokumentation | ||
| 15 | Der Auftragnehmer dokumentiert die Sicherheitseigenschaften des IT- / OT-Produkts derart, dass die Anforderungen des Auftraggebers (z.B. auf Grund des Schutzbedarfs) verifiziert werden können. Die Dokumentation beinhaltet u.a. Angaben zu | ||
| 16 | * implementierten Mechanismen zum Schutz der verarbeiteten und gespeicherten Daten, | ||
| 17 | * Archivierungskonzepten, | ||
| 18 | * verwendeten Komponenten (im Sinne der kleinsten tauschbaren Einheit, auch Netzwerkkomponenten und Komponenten Dritter), inklusive eindeutiger Seriennummern bzw. Indentifikationsmerkmalen, | ||
| 19 | * Datenflüssen und deren Schutzmechanismen, | ||
| 20 | * Netzplänen und Schnittstellen | ||
| 21 | * Informationen zu Zugriffsmöglichkeiten (auch drahtlos, u.A. offene Ports) und deren Schutzmaßnahmen. | ||
| 22 | Bei Änderungen am Produkt hält der Auftragnehmer die Dokumentation auf dem aktuellen Stand. | ||
| 23 | Für OT-Produkte erstellt der Auftragnehmer eine Risikoanalyse gem. IEC62443 und hält diese über die Vertragslaufzeit bzw. bis zum Ende der Gewährleistungsfrist aktuell (soweit nicht vertraglich abweichend vereinbart; es gilt das weiter in der Zukunft liegende Datum). Ergeben sich hieraus Maßnahmen am Produkt, stimmen sich Auftraggeber und Auftragnehmer über Umsetzungsrahmen und Kosten ab. | ||
| 24 | Auf Aufforderung lässt der Auftragnehmer die Risikoanalyse durch einen unabhängigen Dritten verifizieren. Die Kosten hierfür trägt der Auftraggeber. | ||
| 25 | Untersagung unerwünschter Funktionen | ||
| 26 | Der Auftragnehmer gewährleistet, dass die von ihm gelieferten oder für den Auftraggeber betriebenen IT- / OT-Produkte keine unerwünschten Funktionen aufweisen, die die Integrität, Vertraulichkeit und Verfügbarkeit von Software, Hardware oder Daten gefährden und den Vertraulichkeits- oder Sicherheitsinteressen des Auftraggebers zuwiderlaufen, z.B. Backdoors oder Funktionalitäten zur Manipulation von Daten oder Ablauflogik. | ||
| 27 | - entfällt - | ||
| 28 | Anbindung | ||
| 29 | Betreibt der Auftragnehmer IT- / OT-Produkte für den Auftraggeber bzw. stellt ‚as a Service‘-Produkte zur Verfügung, gewährleistet er die ausreichend performante, redundante und gesicherte Anbindung seines Rechenzentrums / Netzes an das Rechenzentrum / Netz der DB AG und deren verbundenen Unternehmen. Bei einer Netzkopplung bzw. Schnittstelle zu den Services des Auftragnehmers ist die Brand- breite (Min/Max) in einem OLA / SLA mit dem Auftraggeber abzustimmen und der technische Übergabepunkt zu benennen. Sofern die Anbindung über das Internet erfolgt, muss die Bandbreite der Internetanbindung ausreichend bemessen sein. | ||
| 30 | Erfolgt eine Netzanbindung primär über Luftschnittstelle (z.B. Mobil-, Richtfunk) ist der Auftragnehmer verpflichtet, sich mit dem Auftraggeber vor Inbetriebnahme abzustimmen, inwieweit der Dienst im Falle eines Verlustes der Verfügbarkeit über alternative Anbindungen (z.B. kabelgebunden oder über alternative Dienstleister) abgerufen werden kann, um die Geschäftsprozesse des Auftraggebers unter Beachtung der Anforderungen an die Informationssicherheit aufrecht zu erhalten. | ||
| 31 | Kryptographie | ||
| 32 | Im IT/OT-Produkt verarbeitete und gespeicherte Informationen sind in Abstimmung mit dem Auftraggeber durch kryptographische Verfahren zu schützen, insbesondere Zugriffs- und Konfigurationsdaten. Der Auftragnehmer dokumentiert diese in Abstimmung mit dem Auftraggeber. Der Auftragnehmer gewährleistet, dass die verwendeten kryptographischen Verfahren und Maßnahmen zur Schlüsselverwaltung dem Stand der Technik entsprechen. | ||
| 33 | - entfällt - | ||
| 34 | - entfällt - | ||
| 35 | - entfällt - | ||
| 36 | - entfällt - | ||
| 37 | - entfällt - | ||
| 38 | Identitätsmanagement | ||
| 39 | Der Auftragnehmer gewährleistet und dokumentiert für sein IT- / OT-Produkt das Management der Identitäten und die von diesen erfolgenden Zugriffe auf Daten und Schnittstellen gemäß dem Stand der Technik, soweit im Vertrag nicht etwas anderes vereinbart sein sollte. Die Verwaltung und Dokumentation von Nutzern und Rechten erfolgt in einer zentralen, integrierten Datenbank. | ||
| 40 | - entfällt - | ||
| 41 | - entfällt - | ||
| 42 | - entfällt - | ||
| 43 | Unterstützung Datenrückführung | ||
| 44 | Bei Betriebsführung oder bei Bereitstellung von ‚as a Service‘-Produkten durch den Auftragnehmer sichert dieser dem Auftraggeber Unterstützung bei der Rückholung von Daten und / oder Anwendungen bei Beendigung des Vertrags zu. Die Unterstützung schließt gegebenenfalls eine entsprechend dimensionierte technische Schnittstelle zu einem vom Auftraggeber definierten System sowie Datenrückführung in einem portierbaren, maschinell verarbeitbaren Format mit ein. Proprietäre Formate und proprietäre Verschlüsselungstechnologien sind nicht gestattet. | ||
| 45 | Physische Sicherheit | ||
| 46 | Der Auftragnehmer muss angemessene Vorkehrungen zur physischen Sicherheit seiner Assets und / oder Infrastruktur treffen. | ||
| 47 | Insbesondere sollen Maßnahmen zum/zur: | ||
| 48 | * Schutz gegen Feuer und Wasser, | ||
| 49 | * Schutz vor Einbruch und Vandalismus, | ||
| 50 | * Schutz vor bzw. Vermeidung von extremen Temperaturen, | ||
| 51 | * adäquaten Energieversorgung implementiert sein. | ||
| 52 | Der Auftragnehmer gewährleistet, dass der Zutritt zu Bereichen mit Informationen oder Systemen auf den autorisierten Personenkreis beschränkt wird. | ||
| 53 | Dazu gehören z.B. Zutrittsschutzmaßnahmen für Rechenzentren inklusive Überwachung der kritischen Bereiche, Zutrittsprotokoll, Sicherung gegen Einbruch u.a.. | ||
| 54 | Behandlung von Informationssicherheitsvorfällen | ||
| 55 | Der Auftragnehmer hat ein System etabliert, in dem Informationssicherheitsvorfälle, die den Auftraggeber betreffen, abgehandelt werden und das den Informationsaustausch mit dem Auftraggeber über den zentralen Ansprechpartner des Auftragnehmers gewährleistet. | ||
| 56 | Die Erstbewertung eines Informationssicherheitsvorfalls erfolgt im Rahmen der Meldung durch den Auftragnehmer im Rahmen der vereinbarten Reaktionszeiten (siehe 5.1). Etwaige Folgeaktivitäten sind durch ein Incident Response Team beim Auftragnehmer abzubilden. Bei Outsourcing dieser Tätigkeiten beim Auftragnehmer ist der Auftraggeber zu informieren. | ||
| 57 | Sieht der Vertrag die Lieferung von IT-/ OT-Produkten vor, ergreift der Auftragnehmer in seinem Kontext präventive Maßnahmen, um die Folgen von Informationssicherheitsvorfällen zu minimieren. Hierzu gehört z.B. die Sicherstellung der Freiheit von Schadsoftware bei Inbetriebnahme des IT- / OT Systems. | ||
| 58 | Schwachstellenprüfung | ||
| 59 | Der Auftragnehmer verpflichtet sich, seine Produkte und Dienstleistungen während deren definiertem Lebenszyklus kontinuierlich auf Schwachstellen zu prüfen, um in der Lage zu sein, auf neue Schwachstellen so schnell wie möglich zu reagieren. | ||
| 60 | Die Häufigkeit, Intensität und Methoden der Schwachstellenüberprüfung müssen sich an der Risikosituation des Auftraggebers orientieren. Hierzu stimmen sich Auftraggeber und Auftragnehmer regelmäßig ab. Ohne eine solche Vereinbarung orientieren sich die genannten Aktivitäten am Stand der Technik. | ||
| 61 | Integration Schwachstellenmanagement und Event Management | ||
| 62 | Für IT- / OT-Produkte, die sich in einer Netzwerkinfrastruktur der DB befinden oder Informationen dorthin einspeisen, unterstützt der Auftragnehmer den Auftraggeber bei der Integration in das Schwachstellenmanagementsystem sowie das Event Management System des Auftraggebers. | ||
| 63 | Hierzu werden sicherheitsrelevante Ereignisse innerhalb des Systems protokolliert, zu eventuellen Untersuchungszwecken archiviert und in einem abgestimmten Format zur Verfügung gestellt. Details (u.A. Art der Meldungen, Mengengerüste, Robustheit) sind in der Leistungsbeschreibung definiert. | ||
| 64 | Zusätzlich empfiehlt der Auftragnehmer Werkzeuge zur Sicherheitsanalyse bzw. weist auf nachteilige Auswirkungen bestimmter Werkzeuge hin. | ||
| 65 | Meldung von Schwachstellen | ||
| 66 | Sind vom Auftragnehmer bereitgestellte oder von diesem betriebene IT- / OT-Produkte von Schwachstellen betroffen, ist der Auftragnehmer verpflichtet, diese dem Auftraggeber unverzüglich und auf sicherem Wege zu melden. Die Einordnung der Ergebnisse erfolgt möglichst nach dem Common Vulnerability Scoring System oder auf Basis von Bewertungen des Bundesamtes für Sicherheit in der Informationstechnik. | ||
| 67 | Inhalt der Meldung ist insbesondere: | ||
| 68 | * Genaue Bezeichnung des Produktes (soweit zutreffend Angaben insbesondere zu Bau- form, Teilsystem, Komponente, Herstellerbezeichnung, Release, Produkt- und / oder Chargennummer von überlassener Software, Firmware, Treiber, BIOS und Hardware). | ||
| 69 | * Detaillierte Beschreibung der Schwachstelle einschließlich deren Ausnutzbarkeit. | ||
| 70 | * Erstbewertung aus Sicht des Auftragnehmers und Empfehlung von konkreten Gegenmaßnahmen zur Schwachstellenbehandlung unter Berücksichtigung der ggf. einschlägigen Vorgaben zur sicherheitstechnischen Zulassung und Freigabe. | ||
| 71 | * Anzahl und dokumentierte Einbauorte (mit Nennung der technischen Anlage einschließlich Raum und Schrankplatz) der betroffenen Produkte, sofern Informationen beim Auftragnehmer vorhanden und insbesondere bei 'as a Service'-Leistungen relevant sind. | ||
| 72 | Die Meldepflicht umfasst außerdem Folgemeldungen, sofern eine Schwachstellenbehandlung nicht in den vereinbarten Behandlungsfristen abgearbeitet werden kann. | ||
| 73 | Beseitigung von Schwachstellen | ||
| 74 | Die Zeiten zur Neutralisierung von Schwachstellen (z.B. durch einen Workaround) sowie zur finalen Lösung der Schwachstelle orientieren sich am jeweils aktuellen Stand der Technik, soweit im Vertrag nicht anders vereinbart. | ||
| 75 | - entfällt - | ||
| 76 | Referenzzeit | ||
| 77 | Die IT/OT-Produkte des Auftragnehmers nutzen eine allgemein akzeptierte Zeitquelle. Der AN benennt diese in der Produktdokumentation und stimmt sie auf Anfrage mit dem Auftraggeber ab. | ||
| 78 | Schnittstellen | ||
| 79 | Über Datenaustausch- und Eingabeschnittstellen empfangene Daten sind automatisiert auf ihre Plausibilität hin zu prüfen und ggf. abzuweisen. Details und insbesondere Abweichungen hiervon sind in der Leistungsbeschreibung geregelt. | ||
| 80 | - entfällt - | ||
| 81 | - entfällt - | ||
| 82 | - entfällt - | ||
| 83 | - entfällt - |