[Seite 1]
Formular zurücksetzen
Nachweis von Maßnahmen
nach Art. 32 DSGVO und § 8a BSIG
aufgrund eines Vertrages nach Art. 26
Vertragspartner 1 Einrichtung:Universitätsklinikum Freiburg (UKF)
Abteilung:
Anschrift:
Vertreten durch:
Ansprechpartner*in: (zum Zeitpunkt der Vertragsunterzeichnung)
Vertragspartner 2 Einrichtung:
Anschrift:
Vertreten durch:
Ansprechpartner*in: (zum Zeitpunkt der Vertragsunterzeichnung)
Durch die Vetragspartner realisierten technisch-organisatorischen Maßnahmen Die Vertragspartner haben die von ihnen getroffenen technischen und organisatorischen Maßnahmen darzu- stellen, mit deren Hilfe sie • die gemäß Art. 32 DSGVO definierten Schutzziele im Rahmen ihrer Zusammenarbeit • die gemäß §8a BSIG für kritische Infrastrukturen geforderte Einhaltung von IT-Sicherheit nach dem Stand der Technik erfüllen und deren Angemessenheit belegt und überprüft werden kann. Hierbei dienen die Angaben in diesem Nachweis als Grundlage für Risikoanalysen der jeweiligen konkreten Verarbeitungstätigkeit. Diese erfolgen zur Sicherstellung der Schutzziele Vertraulichkeit, Integrität, Authentizität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste. Ergänzend ist in angemessenem Umfang unter Berücksichtigung der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlich- keit und Schwere von Risiken ein Sicherheitskonzept zu allen Aspekten der konkreten Verarbeitungstätigkeit vorzulegen.
Hinweis zum Ausfüllen: Die vorausgefüllten Felder (UKF) entsprechen den übergreifenden Regelungen und müssen auf die jeweilige Situation vom fachlichen Zuständigen überprüft, gegebenenfalls angepasst und vervollständigt werden. Der Vertragspartner hat seinerseits die Felder vollständig auszufüllen.
1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO; §8a (1) BSI-Gesetz) 1.1 Zutrittskontrolle
0202.01.51
/ RFnaMroF
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Unbefugten Personen ist der (räumliche) Zutritt zu IT-Systemen, Netz- werkkomponenten, Speichereinrichtungen und sowie der Zugriff auf sonstige Datenträger (z. B. PCs, USB-Sticks, CDs, Aktenordner) zu verwehren. | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Festlegung der zugangsberechtigten Personen (z. B. mittels Transponder, biometrische Anlagen, Schlüssel, Magnet- oder Chipkarten, Einsatz von Werk- schutz, Pförtner*in) | 4 | |||||||||||||||||
| Einsatz von Alarmanlagen | ||||||||||||||||||
| Videoüberwachung der Eingänge | ||||||||||||||||||
| Schließberechtigungen und Schlüsselmanagement (z. B. Vergabe- prozesse für und Dokumentation der Transponder oder Schlüsselinhaber*in) | 4 | |||||||||||||||||
| Verschließen von Räumen bei Nicht-Nutzung | 4 | |||||||||||||||||
| Zugangsregelungen für betriebsfremde Personen (z. B. Regelung zum Umgang mit Besucher*innen) | 4 | |||||||||||||||||
| Sorgfältige Auswahl und Verpflichtung von Wach-/Reinigungspersonal | 4 | |||||||||||||||||
| Sonstiges: |
Sonstiges:
Seite 1 von 7
[Seite 2]
Formular zurücksetzen
Nachweis von Maßnahmen nach Art. 32 DSGVO und § 8a BSIG aufgrund eines Vertrages nach Art. 26
1.2 Zugangskontrolle
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Maßnahmen, die geeignet sind zu verhindern, dass IT-Systeme von Unbefugten genutzt werden können. | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Login mit Benutzername + Passwort | 4 | |||||||||||||||||
| Starke Authentisierung oder biometrische Verfahren für administrative Zugänge | 4 | |||||||||||||||||
| Malwareschutz auf Server-Systemen | 4 | |||||||||||||||||
| Malwareschutz auf Client-Systemen | 4 | |||||||||||||||||
| Malwareschutz auf mobilen Geräten | 4 | |||||||||||||||||
| Zentrale Überwachung des Malwareschutzes | 4 | |||||||||||||||||
| Segmentierung des Netzwerkes durch Firewalls | 4 | |||||||||||||||||
| Einsatz VPN bei Remote-Zugriffen | 4 | |||||||||||||||||
| Verschlüsselung von Datenträgern mit sensiblen Daten auf Servern | 4 | |||||||||||||||||
| Verschlüsselung von Notebooks/Tablets | 4 | |||||||||||||||||
| Verschlüsselung von Datenträgern mit sensiblen Daten auf sonstigen mobilen Geräten | 4 | |||||||||||||||||
| Sperre externer Schnittstellen (z. B. USB) | 4 | |||||||||||||||||
| Automatische Desktopsperre | 4 | |||||||||||||||||
| Zentrale Verwaltung von Benutzeraccounts | 4 | |||||||||||||||||
| Vorgaben für sichere Passworte | 4 | |||||||||||||||||
| Sonstiges: |
Sonstiges:
1.3 Zugriffskontrolle
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Zentrales Benutzer-/Berechtigungs-Management nach dem „Need to have“ Prinzip für Benutzer*innen | 4 | |||||||||||||||||
| Zentrales Benutzer-/Berechtigungs-Management nach dem „Need to have“ Prinzip für Administrator*innen | 4 | |||||||||||||||||
| Regelmäßige Überprüfung und Anpassung vergebener Berechtigungen | 4 | |||||||||||||||||
| Zeitnaher Entzug von Berechtigungen bei Ausscheiden | 4 | |||||||||||||||||
| Sonstiges: |
Sonstiges:
1.4 Trennungskontrolle
0202.01.51
/ RFnaMroF
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Physikalische Trennung von Produktiv- und Testumgebungen (Systeme/Datenbanken/Datenträger) | ||||||||||||||||||
| Logische Trennung von Produktiv- und Testumgebungen sowohl für die Anwendungen als auch Datenbanken | ||||||||||||||||||
| Mandantenfähigkeit relevanter Anwendungen | ||||||||||||||||||
| Bereitstellung von Berechtigungskonzepten zur Sicherstellung der Trennung von Produktiv- und Testdaten | ||||||||||||||||||
| Sonstiges: |
Sonstiges:
Seite 2 von 7
[Seite 3]
Formular zurücksetzen
Nachweis von Maßnahmen nach Art. 32 DSGVO und § 8a BSIG aufgrund eines Vertrages nach Art. 26
1.5 Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)
| UKF | Vertragspartner 2 | |||||
|---|---|---|---|---|---|---|
| Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechenden technischen und organisatorischen Maßnahmen unterliegen. | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich |
| Trennung der Zuordnungsdaten und Aufbewahrung in getrennten und abgesicherten Systemen | ||||||
| Verschlüsselte Ablage der Zuordnungsdaten | ||||||
| Sonstiges: |
2 Integrität (Art. 32 Abs. 1 lit. b DSGVO; §8a (1) BSI-Gesetz)
2.1 Weitergabekontrolle
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Maßnahmen, welche ein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport verhindern | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Einsatz von VPNs beim Transport von Daten | 4 | |||||||||||||||||
| Sensible Daten in E-Mails werden verschlüsselt | 4 | |||||||||||||||||
| Verfahren für eine elektronische Signatur beim Versand von Daten | 4 | |||||||||||||||||
| Protokollierung der Datenübermittlung | 4 | |||||||||||||||||
| Verschlüsselung von Datenträgern, welche für einen physischen Transport eingesetzt werden | ||||||||||||||||||
| Absicherung der Bereiche, in welche Datenträger für den Transport aufbewahrt werden | ||||||||||||||||||
| Sicherung des Übertragungs- und Transportweges (verschlossene/versiegelte Umschläge oder Behälter, Kurierin/Botein) | ||||||||||||||||||
| Maßnahmen gegen unbefugtes Entfernen von Datenträgern | ||||||||||||||||||
| Sichere Entsorgung nicht mehr benötigter Datenträger (verschlossene Sammelcontainer, Aktenschredder) | 4 | |||||||||||||||||
| Sonstiges: |
2.2 Eingabekontrolle
0202.01.51
/ RFnaMroF
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Technische Protokollierung der Eingabe, Änderung und Löschung von Daten | ||||||||||||||||||
| Manuelle oder automatisierte Kontrolle der Protokolle | ||||||||||||||||||
| Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können | ||||||||||||||||||
| Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts | ||||||||||||||||||
| Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch personalisierte Benutzer*innen | ||||||||||||||||||
| Sonstiges: |
Sonstiges:
Seite 3 von 7
[Seite 4]
Formular zurücksetzen
Nachweis von Maßnahmen nach Art. 32 DSGVO und § 8a BSIG aufgrund eines Vertrages nach Art. 26
3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO; §8a (1) BSI-Gesetz) 3.1 Verfügbarkeitskontrolle
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Feuer- und Rauchmeldeanlagen in allen IT-Räumen (Serverraum, Verteilerräume, etc.) | 4 | |||||||||||||||||
| Klimatisierung aller IT-Räume (Serverraum, Verteilerräume, etc.) | 4 | |||||||||||||||||
| Unterbrechungsfreie Stromversorgung sowie Notstromversorgung in zentralen Serverräumen | 4 | |||||||||||||||||
| Überwachung der Temperatur und Feuchtigkeit in zentralen Serverräumen | 4 | |||||||||||||||||
| Redundanz in verschiedenen Serverräumen möglich (Server, Storage) | 4 | |||||||||||||||||
| Redundanz in Daten-Speichern (Hardware, RAID) vorhanden | 4 | |||||||||||||||||
| Formalisiertes und überwachtes Backup-Konzept | 4 | |||||||||||||||||
| Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse | 4 | |||||||||||||||||
| Räumlich getrennte Aufbewahrung der erstellten Datensicherungen | 4 | |||||||||||||||||
| Schutz gegen unberechtigten Systemzugang von Extern (Firewall) | 4 | |||||||||||||||||
| Vermeidung wasserführender Leitungen in den IT-Räumen | 4 | |||||||||||||||||
| Überwachung der Verfügbarkeit von Systemen und Anwendungen | 4 | |||||||||||||||||
| Vorhandene Notfallpläne bei IT-Havarien | 4 | |||||||||||||||||
| Sonstiges: |
Sonstiges:
4 Regelmäßige Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO; §8a (1) BSIG)
4.1 Datenschutz- und Informationssicherheits-Management
0202.01.51
/ RFnaMroF
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Verfahren zum strukturierten Management der Anforderungen des Datenschutzes, der Informationssicherheit und allgemeiner Vertrau- lichkeitsanforderungen | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Zentrale Dokumentation aller Verfahrensweisen und Regelungen zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf/ Berechtigung | 4 | |||||||||||||||||
| Sicherheitszertifizierung nach ISO 27001, BSI IT-Grundschutz, ISAE 3402. | 4 | |||||||||||||||||
| Sonstige Zertifizierungen: | 4 | |||||||||||||||||
| Eine Überprüfung der Wirksamkeit der Technischen Schutzmaßnahmen wird mind. jährlich durchgeführt | 4 | |||||||||||||||||
| Mitarbeiter*innen werden regelmäßig geschult und auf Vertraulichkeit verpflichtet | 4 | |||||||||||||||||
| Ein Datenschutzbeauftragter ist bestellt | 4 | |||||||||||||||||
| Eine/Ein Informationssicherheits-Beauftragte*r ist bestellt | 4 | |||||||||||||||||
| Die Datenschutz-Folgenabschätzung (DSFA) wird nach festgelegten Verfahren durchgeführt | ||||||||||||||||||
| Die Organisation kommt den Informationspflichten nach Art. 13 und 14 DSGVO nach | 4 | |||||||||||||||||
| Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener ist vorhanden | 4 | |||||||||||||||||
| Sonstiges: |
Sonstiges:
Seite 4 von 7
[Seite 5]
Formular zurücksetzen
Nachweis von Maßnahmen nach Art. 32 DSGVO und § 8a BSIG aufgrund eines Vertrages nach Art. 26
4.2 Incident-Response-Management
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Unterstützung bei der Reaktion auf Sicherheitsverletzungen | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Einsatz eines Intrusion Detection oder Prevention Systems (IDS/IPS) | 4 | |||||||||||||||||
| Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen/Datenpannen | 4 | |||||||||||||||||
| Verfahren zur Nachbearbeitung von Sicherheitsvorfällen und Datenpannen | 4 | |||||||||||||||||
| Verfahren zur Meldung von Sicherheitsvorfällen/Datenpannen an Aufsichtsbehörden | 4 | |||||||||||||||||
| Einbindung des Datenschutzbeauftragten in die Bewertung und Bearbeitung von Sicherheitsvorfällen & Datenpannen | 4 | |||||||||||||||||
| Dokumentation von Sicherheitsvorfällen und Datenpannen (z. B. in Ticketsystemen) | 4 | |||||||||||||||||
| Sicherheitsrelevante Schwachstellen werden systematisch identifiziert | 4 | |||||||||||||||||
| Es sind Vorkehrungen getroffen und Kommunikationswege etabliert um sicherheitsrelevante Vorfälle an das Uniklinikum zu melden. | 4 | |||||||||||||||||
| Sonstiges: |
Sonstiges:
4.3 Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 1, 2 DSGVO)
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Privacy by Design/Default/Datenschutzfreundliche Voreinstellungen | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind | ||||||||||||||||||
| Nutzung von verfügbaren Konfigurationseinstellungen zur Verbesserung von Datenschutz und IT-Sicherheit | ||||||||||||||||||
| Sonstiges: |
Sonstiges:
4.4 Auftragskontrolle (im Rahmen von Outsourcing an Dritte/Unterauftragnehmer)
0202.01.51
/ RFnaMroF
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Unterauftragnehmer vorhanden (Folgende Punkte von 4.4 nur bei vorhandenen Unterauftragnehmern relevant; diese Zeilen sind nur auszufüllen wenn Unterauftragnehmer eingesetzt werden.) | ||||||||||||||||||
| Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation | ||||||||||||||||||
| Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (in Bezug auf Datenschutz und Informationssicherheit) | ||||||||||||||||||
| Abschluss der notwendigen Vereinbarungen zur Auftragsverarbeitung bzw. EU Standard-Vertragsklauseln | ||||||||||||||||||
| Schriftliche Weisungen an den Auftragnehmer | ||||||||||||||||||
| Vereinbarung mit Auftragnehmer zur Verpflichtung seiner Mitarbeiter- *innen in Hinblick auf Vertraulichkeit und Aspekte des Datenschutzes | ||||||||||||||||||
| Vereinbarung wirksamer Kontrollrechte mit dem Auftragnehmer | ||||||||||||||||||
| Festlegung von Regelungen zum Einsatz weiterer Subunternehmer | ||||||||||||||||||
| Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags | ||||||||||||||||||
| Bei längerer Zusammenarbeit: Laufende Überprüfung des Auftragnehmers und seines Schutzniveaus | ||||||||||||||||||
| Sonstiges: |
Seite 5 von 7
[Seite 6]
Formular zurücksetzen
Nachweis von Maßnahmen nach Art. 32 DSGVO und § 8a BSIG aufgrund eines Vertrages nach Art. 26
5 Technik 5.1 Allgemeines
| UKF | Vertragspartner 2 | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Maßnahmen zur Sicherstellung eines adäquaten Stand der Technik | ja | nein | nicht erfor- derlich | ja | nein | nicht erfor- derlich | ||||||||||||
| Berücksichtigung der Vorgaben des UKF zur Klassifizierung von Informationen (s. Anhang) | 4 | |||||||||||||||||
| Produkte, welche durch Lieferanten bereitgestellt werden, müssen auf vom jeweiligen Hersteller unterstützten Umgebungen (z. B. Betriebssystem, Firmware) jederzeit betreibbar sein. | ||||||||||||||||||
| Verbindungen, über welche Wartungsarbeiten am Uniklinikum ausgeführt werden, sind durch geeignete Verschlüsselungsverfahren und Authentifizierungs-Mechanismen abgesichert. | 4 | |||||||||||||||||
| Es werden aktuelle Schutzmaßnahmen gegen Schadcode, Viren und Malware eingesetzt | 4 | |||||||||||||||||
| Es gibt nachvollziehbare Verfahren (Change-Management) bei der Anpassung von Systemen und anderen administrativen Änderungen. | 4 | |||||||||||||||||
| Es wird eine angemessene Methodik zur Aufrechterhaltung der Aktualität der bereitgestellten Verfahren, Betriebssysteme und sonstigen Software-Bestandteilen bereitgestellt | ||||||||||||||||||
| Bei Bekanntwerden IT-sicherheitstechnischer Mängel stellt der externe Dienstleister in angemessener Zeit Lösungen zur Behebung bereit. | 4 | |||||||||||||||||
| Sonstiges: |
0202.01.51
/ RFnaMroF Sonstiges:
Datum Unterschrift und Stempel Datum Unterschrift und Stempel Vertragspartner 2 Universitätsklinikum Freiburg
Seite 6 von 7
[Seite 7]
0202.01.51
/ RFnaMroF Formular zurücksetzen
Nachweis von Maßnahmen nach Art. 32 DSGVO und § 8a BSIG aufgrund eines Vertrages nach Art. 26
Anhang 1 – Klassifizierung von und Umgang mit Informationen
Auf Anfrage stellen wir gerne die komplette Richtlinie „Klassifizierung von und Umgang mit Informationen zur Verfügung“.
Seite 7 von 7