Anlage 4a_Checkliste Datenschutz_Los 1.docx

Checkliste TOM

Sicherheitsprüfung externe Dienstleister

Anlage 4a zum Vertrag über die Auftragsverarbeitung (nach Art. 28 ff DSGVO)

Einführung

Vor dem Hintergrund der fortschreitenden Digitalisierung und des technologischen Wandels werden immer häufiger IT-Dienstleistungen ausgelagert. Besonders im Kontext des Cloud-Computings oder Software-as-a-Service-(SaaS-) Lösungen kommt es zu einer etwaigen Auslagerung, da die unternehmenseigene IT-Infrastruktur nicht genutzt wird. Aus diesem Sachverhalt resultieren auf der einen Seite Vorteile, wie eine Kostensenkung oder die effizientere Gestaltung komplexerer Prozesse. Auf der anderen Seite folgt aus einer solchen Auslagerung eine große Abhängigkeit von Dritten und besonders von deren Sicherheitsmaßnahmen.

Demzufolge müssen bei der Verarbeitung von Informationen außerhalb der eigenen IT-Umgebung durch das beauftragte Unternehmen (Auftragsverarbeiter) konkrete technische und organisatorische Maßnahmen (TOM) zum Schutz der Informationen umgesetzt werden. Hierbei ist es essenziell, dass diese Maßnahmen regelmäßig im Hinblick auf ihre Wirksamkeit und Aktualität geprüft werden.

Vor diesem Hintergrund verpflichtet sich das Unternehmen (Auftragsverarbeiter), als Auftragnehmer hinreichende Garantien für die Implementierung geeigneter technischer und organisatorischer Maßnahmen (TOM) zu bieten, so dass die Verarbeitung im Einklang mit den gesetzlichen Bestimmungen der Informationssicherheit und des Datenschutzes, insbesondere Art. 28 Abs. 1 Datenschutz-Grundverordnung (DSGVO), erfolgt und die Rechte betroffener Personen gewahrt bleiben. Der Nachweis über die Einhaltung dieser Vorgaben, sowie über die beauftragte Dienstleistung, erfolgt durch dieses vollständig ausgefüllte Dokument (Checkliste – Sicherheitsprüfung externe Dienstleister). Die abgefragten Maßnahmen basierend auf den aktuellen Empfehlungen des BSI-Grundschutzes, den technischen Leitlinien/ Empfehlungen des Bundesamtes für Sicherheit für Informationstechnik (BSI) und dem Standard-Datenschutzmodell.

Vertragsgegenstand und Datenklassifizierung

Zertifizierung(en)

Grundsätzlich können die unter Punkt 1 genannten Nachweise, wie z. B. eine BSI-Grundschutz-Zertifizierung oder eine ISO/IEC 27001-Zertifizierung, als geeigneter Beleg für die Einhaltung von anerkannten Sicherheitsstandards dienen. Dies ist damit zu begründen, dass entsprechende Zertifizierungen eine Überprüfung der implementierten Sicherheitsmaßnahmen durch eine unabhängige externe Instanz dokumentieren. Auf eine Überprüfung der technischen und organisatorischen Maßnahmen durch die auftraggebende Stadt Köln vor Ort bei dem Auftragsverarbeiter (Auftragnehmer) kann bei Vorlage entsprechender Nachweise verzichtet werden (s. § 10 des Vertrages zur Auftragsverarbeitung).

Dabei sind die im Folgenden aufgelisteten Aspekte sicherzustellen, welche in entsprechend über die Checklisten zu bestätigen sind.

Die Einhaltung dieser Voraussetzungen ist vom Auftragnehmer eigenverantwortlich sicherzustellen und schriftlich zu bestätigen. Die Verantwortung für die Gültigkeit, Relevanz und inhaltliche Deckung der vorgelegten Zertifikate liegt beim Auftragnehmer.

Bitte geben Sie in der untenstehenden Tabelle alle Zertifizierungen an, über welche der betroffene Dienstleister verfügt:

Als externer Dienstleister für die Stadtverwaltung Köln sind verpflichtet jährlich die Gültigkeit der genannten Zertifikate in geeigneter Form nachzuweisen.

Angaben zu den technischen und organisatorischen Maßnahmen (TOM)

Zu jedem Kriterium ist vom Bieter/Auftragsverarbeiter eine Angabe zu machen. Der Bieter/ Auftragsverarbeiter stellt sicher, dass die technisch-organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten des Auftraggebers dem Stand der Technik entsprechen (Artikel 24 und 25 DSGVO).

Dynamischer Verbesserungsprozess

Die Umsetzung von Maßnahmen im Kontext der Informationssicherheit ist nicht als statischer Zustand, sondern als kontinuierlicher und dynamischer Prozess zu betrachten. Daher müssen analog zu der Weiterentwicklung im Bereich der Angriffsmethoden auch die umgesetzten Schutzmaßnahmen regelmäßig geprüft und bedarfsgerecht weiterentwickelt werden.

In den Rahmen der kontinuierlichen Verbesserung sollten folgende Aspekte umgesetzt werden (dies ist in der folgenden Tabelle zu bestätigen):

Bitte erläutern Sie, wie diese Aspekte umgesetzt wurden und in den Verträgen berücksichtigt sind.

Hinweis*: Im Rahmen des Kontrollrechtes des Auftraggebers (Stadt Köln), wie in § 10 des Vertrages zur Auftragsverarbeitung definiert, kann der Auftraggeber einen Bericht bezüglich der genannten Aspekte des dynamischen Verbesserungsprozesses verlangen.*

Nutzung von künstlicher Intelligenz (KI)

KI-Systeme stellen eine neue Technologie dar, welche für Vorteile mit sich bringt. Aber auch aus Sicht der Informationssicherheit betrachtet werden muss. Entsprechende Regelungen sind in der KI-Verordnung (KI-VO) definiert. Die KI-VO verfolgt einen risikobasierten Ansatz, um ein verhältnismäßiges, wirksames und verbindliches Regelwerk für KI-Systeme einzuführen. KI-Systeme werden entsprechend ihrem Risikopotential nach inakzeptablem, hohem, geringem und minimalem Risiko kategorisiert.

Bitte geben Sie an, welche KI-Systeme sie nutzen:

Wenn KI-Systeme eingesetzt werden müssen, unteranderen auf Basis des AI-Acts die folgenden Aspekte gewährleistet sein:

______________________________ ____________________________________

Ort, Datum Unterschrift Auftragnehmer, Stempel

Anlage 1 – Liste an der Dienstleistung beteiligter Sub-Dienstleister/ -unternehmen (ggf. ergänzen)

Anlage 2 –

Weitere Bemerkungen (falls erforderlich …)