[Seite 1]
KfW-2026-0035 Einführung IT Financial Management (ITFM)
Kriterienkatalog: Anforderungen der KfW an die ITFM-Lösung
Antwortvorlage
| Nr. Kapitel und Anforderung | Anforderung | Klassifizierung: Muss-/Kann-Kriterium |
|---|---|---|
| Kapitel 1 | Allgemeines zu Produkt / Lösung | Muss |
| 1 | Sofern die angebotene Lösung lizenzpflichtige Komponenten, Produkte Dritter oder Open Source-Komponenten enthält, werden diese einschließlich Hersteller, Produktbezeichnung und verwendetem Lizenzmodell vollständig aufgeführt. Damit verbundene eventuelle Kosten sowie die Sicherstellung der technischen und fachlichen Verfügbarkeit obliegen dem Hersteller der angebotenen Lösung. | Muss |
| Kapitel 2 | Fachlicher Funktionsumfang | Muss |
| 1 | Die angebotene Lösung ermöglicht, IKT-Assets als eigenständige Kostenträger zu führen sowie eine n:m-Zuordnung zu vordefinierten sowie frei konfigurierbaren Kostenarten (Personal, Sachkosten, Abschreibungen etc.). | Muss |
| 2 | Die angebotene Lösung ermöglicht eine hierarchische Strukturierung von Kostenarten über mehrere frei definierbare Ebenen (z. B. Sachkosten → Raumkosten → Stromkosten). Die maximale Anzahl unterstützter Ebenen ist anzugeben. | Muss |
| 3 | Die angebotene Lösung ermöglicht Analyse- und Drill-Down-Funktionalitäten über Kostenarten und weitere Kostenstrukturen bis auf die Ebene des importierten Einzelbelegs bzw. Einzelpostens. | Muss |
| 4 | Die angebotene Lösung ermöglicht die Strukturierung von IKT-Assets nach definierbaren IT-spezifischen Clustern (z. B. Software, Hardware, Netzwerk, Cloud- Services). | Muss |
| 5 | Die angebotene Lösung ermöglicht die mehrdimensionale Strukturierung von IKT- Assets bzw. Clustern nach Standorten, Organisationseinheiten und weiteren frei definierbaren Merkmalen. | Muss |
| 6 | Die angebotene Lösung ermöglicht die Erfassung und Pflege von IKT-Assets und stellt Schnittstellen bereit, über die Asset-Daten und deren Abhängigkeiten aus führenden Quellsystemen (z. B. CMDB) automatisiert aktualisiert werden können. | Muss |
| 7 | Die angebotene Lösung ermöglicht die Zuordnung eines verantwortlichen Owners zu jedem IKT-Asset sowie dessen Nutzung als Kostenverantwortlicher. | Muss |
| 8 | Die angebotene Lösung stellt ein TBM-konformes oder ein gleichwertiges, konfigurierbares IT-Service-Kostenmodell (IT-Tower, Cost Pools, Services, Anwendungen) einschließlich der Zuordnung direkter und indirekter Kosten bereit. | Muss |
| 10 | Die angebotene Lösung ermöglicht die strukturierte Überführung von Hauptbuch- /Kostenrechnungsdaten (z. B. SAP FI/CO) sowie deren Zuordnung zu Kostenpools und relevanten Controlling-Objekten (Kostenstellen, Innenaufträge, Produkte/Programme). | Muss |
| 11 | Die angebotene Lösung stellt eine mehrstufige, regelbasierte Allokations-Engine mit reproduzierbaren Ergebnissen bereit. | Muss |
| 14 | Die angebotene Lösung ermöglicht die automatische Berechnung, Versionierung und Ausweisung von Verrechnungssätzen (Unit Rates, z. B. €/User, €/VM-Stunde, €/GB). | Muss |
| 15 | Die angebotene Lösung verfügt über eine integrierte Planungskomponente für Budgetplanung, Forecasts und Mehrjahresplanungen und ermöglicht die strukturierte, dezentrale Erfassung und Pflege von Plan- und Forecastwerten auf Ebene der Kostenarten. | Muss |
| 18 | Die angebotene Lösung ermöglicht die Erstellung mehrerer unabhängiger, versionierbarer Planungs- und Forecastszenarien. Die Szenarien sind untereinander sowie mit den tatsächlich angefallenen Ist-Kosten vergleichbar (Plan/Plan, Plan/Ist). | Muss |
[Seite 2]
KfW-2026-0035 Einführung IT Financial Management (ITFM)
Kriterienkatalog: Anforderungen der KfW an die ITFM-Lösung
Antwortvorlage
| Nr. Kapitel und Anforderung | Anforderung | Klassifizierung: Muss-/Kann-Kriterium |
|---|---|---|
| 24 | Die angebotene Lösung ist in der Lage, zwischen der zahlungswirksamen Ausgabensicht (Cash-Flow/CapEx) und der periodengerechten Aufwandssicht (P&L/OpEx) unter Berücksichtigung von Rechnungsabgrenzungsposten und Abschreibungen zu differenzieren. | Muss |
| 25 | Die angebotene Lösung ermöglicht die Planung und Simulation von definierbaren Abschreibungsverläufen (linear/degressiv) für zu aktivierende Vermögenswerte sowie deren verursachungsgerechte Allokation auf Services bzw. Produkte für die Kalkulation der Servicekosten. | Muss |
| 31 | Die angebotene Lösung stellt standardisierte TBM-Kennzahlen (z. B. IT- Kostenquote, Run/Grow/Transform, Stückkosten je Service, Anwendung, User oder Ticket) und entsprechende Management-Reports bereit. Die Kennzahldefinitionen sind transparent. | Muss |
| 32 | Die angebotene Lösung ermöglicht die Ermittlung der Total Cost of Ownership (TCO) je Service bzw. Anwendung unter Berücksichtigung von bspw. Infrastruktur- , Lizenz-, Personalkosten (Aufwand in EUR) sowie die Erstellung entsprechender Auswertungen und Berichte. | Muss |
| 34 | Die angebotene Lösung ermöglicht einen periodischen, nachvollziehbaren Kostenausweis gegenüber den Leistungsempfängern (Showback) je Organisationseinheit, Service und Produkt einschließlich Mengen-, Preis- und Kostenbestandteilen. Eine Nutzung als Grundlage für die interne Leistungsverrechnung (Chargeback) ist möglich. | Muss |
| 40 | Die angebotene Lösung ermöglicht eine Unterscheidung zwischen Run-Kosten und Change-Kosten auf Basis einer hinterlegten Abgrenzungslogik. | Muss |
| 44 | Die angebotene Lösung stellt Versionierungsfunktionen für Datenstände zu frei definierbaren Zeitpunkten bereit und ermöglicht die Nachvollziehbarkeit von Versionsänderungen sowie den Zugriff auf vorige Versionen. | Muss |
| 46 | Die angebotene Lösung ermöglicht es berechtigten Anwendern der internen IT- Organisation, insbesondere des IT-Controllings, Konfigurationen und Anpassungen eigenständig und ohne Programmierkenntnisse vorzunehmen. Dies umfasst z.B. das Anlegen und Ändern von Kostenarten, Hierarchien, Allokationsregeln, Kennzahlen und Berichten. Anpassungen, die zwingend durch den Anbieter erfolgen müssen, sind beispielhaft zu benennen. | Muss |
| 49 | Die angebotene Lösung ermöglicht den Import und die Pflege von Mengen- und Verbrauchsdaten (z. B. Anzahl Clients, virtuelle Maschinen, Storage-Volumen, Tickets, Nutzer) und deren Verwendung als Verrechnungstreiber. | Muss |
| Kapitel 3 | Technischer Funktionsumfang (inkl. Schnittstellen, Berechtigungsmanagement, Barrierefreiheit) | Muss |
| 1 | Die angebotene Lösung unterstützt den sicheren Zugriff über gängige VPN- oder Zero-Trust-Lösungen sowie die Nutzung in unterstützten Client- Virtualisierungsumgebungen (z. B. VDI). | Muss |
| 3 | Die angebotene Lösung ist vollständig browserbasiert nutzbar und unterstützt die jeweils aktuellen Versionen von Microsoft Edge und Google Chrome ohne zusätzliche clientseitige Installationen oder Plug-ins. Abweichende Anforderungen sind benannt. | Muss |
| 4 | Die Benutzeroberfläche der angebotenen Lösung ist vollständig in englischer Sprache verfügbar. Sämtliche Menüs, Navigationselemente, Funktionen, Systemmeldungen und relevanten Oberflächenelemente sind englischsprachig dargestellt. | Muss |
[Seite 3]
KfW-2026-0035 Einführung IT Financial Management (ITFM)
Kriterienkatalog: Anforderungen der KfW an die ITFM-Lösung
Antwortvorlage
| Nr. Kapitel und Anforderung | Anforderung | Klassifizierung: Muss-/Kann-Kriterium |
|---|---|---|
| 6 | Die angebotene Lösung stellt dokumentierte und standardisierte Schnittstellen und Integrationsmöglichkeiten für die Anbindung und den automatisierten Datenaustausch mit anderen Systemen bereit. Hierzu gehören insbesondere REST- APIs, SOAP-Schnittstellen, dateibasierte Import- und Exportmöglichkeiten, Webhooks sowie ETL-Funktionen und Batch-Import/-Export einschließlich der Möglichkeit zur zeitgesteuerten Ausführung (Scheduling). Die verfügbaren Schnittstellentypen und Integrationsmöglichkeiten sind vollständig benannt und dokumentiert. | Muss |
| 7 | Die angebotene Lösung stellt einen integrierten ETL-/Datenintegrations-Layer zur Übernahme, Transformation und Harmonisierung von Daten inkl. Validierung und Konsistenzprüfung bereit. Der Einsatz zusätzlicher Integrationskomponenten ist optional möglich, sofern dies zweckmäßig ist. | Muss |
| 13 | Die angebotene Lösung ermöglicht Datenimporte und Verarbeitungsläufe einschließlich Abhängigkeitssteuerung sowie eines definierten Wiederanlaufs nach Abbruch. | Muss |
| 16 | Die angebotene Lösung führt beim Datenimport Validierungs- und Plausibilitätsprüfungen durch, protokolliert fehlerhafte oder abgewiesene Datensätze. | Muss |
| 20 | Die angebotene Lösung unterstützt die parallele Bereitstellung mehrerer Umgebungen (mindestens Produktion und Test) mit der Möglichkeit, Konfigurationen und Modellstände nachvollziehbar von der Test- in die Produktivumgebung zu übertragen. | Muss |
| 27 | Administrative Zugriffe, Änderungen und Benutzeraktivitäten werden in der angebotenen Lösung vollständig, nachvollziehbar und revisionssicher protokolliert und dokumentiert. | Muss |
| 28 | Der Zugriff auf die angebotene Cloud-Lösung erfolgt mittels spezifischer Berechtigungen. Der Aufbau und Zuschnitt dieser Berechtigungen berücksichtigt und ermöglicht insbesondere das Sparsamkeitsprinzip (Need-to-know-Prinzip) und die Funktionstrennung entsprechend der fachlichen Anforderungen. Die Vergabe und Kontrolle der Zugriffe erfolgt im Einklang mit den geltenden regulatorischen Vorgaben der MaRisk und BaIT (insb. Berechtigungsvergabe und -entzug sowie Rezertifizierung). | Muss |
| 29 | Die angebotene Lösung verfügt über ein strukturiertes Berechtigungs- und Rollenmanagement, in dem Rollen, Rechte und Zuständigkeiten eindeutig definiert und zuweisbar sind. Sie ermöglicht die Umsetzung der Funktionstrennung: Konfigurierende, freigebende und prüfende Tätigkeiten können unterschiedlichen Rollen zugewiesen werden. | Muss |
| 32 | Die angebotene Lösung ist in der Lage, automatisch an das zentrale Identity & Access Management-System (z.B. Quest One Identity) der KfW angebunden zu werden, um die Neuanlage, Anmeldung und Berechtigungsprüfung von den Usern über ein Single-Sign-On-Verfahren mit einer Just-In-Time-Provisioning- Funktionalität durchzuführen. Dazu stellt der Auftragnehmer eine funktionsfähige Entra ID oder ADFS-basierte-Single-Sign-On-Integration (SSO) inkl. der Übertragung und Auswertung der Credentials zur Verfügung und gewährleistet ihre dauerhafte Funktionsfähigkeit. Eine über den Identity Provider der KfW durchgesetzte Multi-Faktor-Authentifizierung wird unterstützt. | Muss |
[Seite 4]
KfW-2026-0035 Einführung IT Financial Management (ITFM)
Kriterienkatalog: Anforderungen der KfW an die ITFM-Lösung
Antwortvorlage
| Nr. Kapitel und Anforderung | Anforderung | Klassifizierung: Muss-/Kann-Kriterium |
|---|---|---|
| 34 | Protokolldaten sind in der angebotenen Lösung gegen Veränderung und Löschung durch Nutzer und Administratoren geschützt, werden mindestens über den von der KfW vorgegebenen Zeitraum aufbewahrt und können exportiert werden. | Muss |
| 35 | Die angebotene Lösung ist mit gängigen Screenreader-Produkten (mindestens NVDA und JAWS unter Windows) nutzbar. Die konkret getesteten Kombinationen aus Screenreader, Browser und Betriebssystem sind zu benannt. | Muss |
| 36 | Die Barrierefreiheit der angebotenen Lösung kann für die zentralen Geschäftsprozesse gemäß §12a BGG i.V.m. BITV 2.0 oder gleichwertig (EN 301 549 / WCAG 2.1 AA / Section 508) umgesetzt werden; Ein Implementierungsnachweis kann auf Anforderung erbracht werden. | Muss |
| 37 | Für die angebotene Lösung werden regelmäßige Prüfungen und Tests zur Überprüfung der Barrierefreiheit durchgeführt; Umfang, Methoden und Häufigkeit dieser Prüfungen sowie die prüfende Stelle (intern oder unabhängige Dritte) sind benannt. | Muss |
| Kapitel 4 | Betrieb | Muss |
| 1 | Die angebotene Lösung wird im Betriebsmodell Cloud/SaaS bereitgestellt. | Muss |
| Kapitel 5 | Weiterentwicklung, Support & Service & Schulung | Muss |
| 1 | Die angebotene Lösung ermöglicht die Anpassung und Erweiterung der Standardfunktionalitäten durch Konfiguration und Customizing. Darüber hinaus können kundenspezifische Funktionen und Erweiterungen durch den Anbieter oder autorisierte Dritte entwickelt und integriert werden. Der Anbieter beschreibt die hierfür verfügbaren Möglichkeiten und den jeweiligen Unterstützungsumfang. | Muss |
| 2 | Die angebotene Lösung ermöglicht berechtigten Fachanwendern bzw. Administratoren, definierte Administrations- und Konfigurationsaufgaben eigenständig und ohne Unterstützung des Anbieters durchzuführen. Hierzu zählen insbesondere die Anpassung von Planungsmodellen, Umbuchungen, Reorganisationen sowie die Pflege von Stammdaten, Hierarchien und Zuordnungslogiken. | Muss |
| 8 | Für die angebotene Lösung werden klar definierte Supportmodelle angeboten; deren Leistungsumfang ist beschrieben, und eine Knowledge Base (Wissensdatenbank) steht zur Verfügung, auf die die Kunden über definierte Zugangswege zugreifen können. | Muss |
| Kapitel 6 | Datenschutz, Compliance, Informationssicherheit und KI | Muss |
| 1 | Es werden vertrauliche Daten während der Übertragung verschlüsselt, beispielhafte Implementierungen können Transport Layer Security (TLS) oder Open Secure Shell (OpenSSH) sein. Zudem werden sensible Daten im Speicherzustand auf Servern, in Anwendungen und Datenbanken verschlüsselt. | Muss |
| 2 | Es existiert ein aktueller und dokumentierter Schwachstellenmanagementprozesses für IT-Assets (insb. Server, über die die Cloud Anwendung läuft). | Muss |
| 3 | Für die angebotene Lösung existiert ein aktueller, dokumentierter Prozess zur Behandlung von IT-Security Incidents, inklusive einer Kontaktliste, welche Kunden wann informiert werden. | Muss |
| 4 | Der Auftragnehmer ergreift geeignete technische und/oder organisatorische Maßnahmen, um die Ausgabe gewalttätiger, verdeckt gefährlicher oder anderweitig unsicherer Inhalte bzw. Sprache zu erkennen, zu unterbinden und auf ein vertretbares Restrisiko zu begrenzen (z.B. Filtermechanis-men). Er weist die Wirksamkeit der Maßnahmen durch geeignete Sicherheits- und Robustheitstests nach. | Muss |
[Seite 5]
KfW-2026-0035 Einführung IT Financial Management (ITFM)
Kriterienkatalog: Anforderungen der KfW an die ITFM-Lösung
Antwortvorlage
| Nr. Kapitel und Anforderung | Anforderung | Klassifizierung: Muss-/Kann-Kriterium |
|---|---|---|
| 5 | Soweit im Rahmen des Trainings oder Retrainings der für die KfW bereitgestellten KI-Systeme/-Modelle rechtlich zulässig vertrauliche Informationen der Unternehmen des KfW-Konzerns oder sonstige schutzwürdige Daten genutzt werden, beschränkt der Auftragnehmer Art, Umfang und Dauer der Speicherung dieser Informationen auf das zur Erfüllung des vereinbarten Trainingszwecks erforderliche Maß, sofern diese vertraulichen Informationen nicht dauerhaft zum Training benötigt werden. Der Auftragnehmer gewährleistet, dass hierfür ein geeignetes Lösch- und Aufbewahrungskonzept besteht und umgesetzt wird. Möglichkeiten zur Anonymisierung und Pseudonymisierung der verwendeten vertraulichen Informationen sind auszuschöpfen, soweit dies technisch machbar ist und keinen unverhältnismäßigen Aufwand erfordert. | Muss |
| 6 | Der Auftragnehmer konzipiert und betreibt die der KfW bereitgestellten KI- Modelle so, dass außerhalb des definierten Nutzungszwecks des jeweiligen KI- Modell-Einsatzes keine Rückschlüsse auf individuelle Personen möglich sind. | Muss |