[Seite 1]
Ausfüllhinweise zur Checkliste - Sicherheitsprüfung externe
Dienstleister
Die Checkliste – Sicherheitsprüfung externe Dienstleister dient dem Nachweis der Implementierung geeigneter technischer und organisatorischer Maßnahmen von Dritten, welche als Auftragsverarbeiter für die Stadtverwaltung Köln tätig sind. Bei den in der Checkliste abgefragten Aspekten handelt es sich, sowohl um technische als auch organisatorische Maßnahmen, welche auf den aktuellen Empfehlungen des BSI- Grundschutzes, den technischen Leitlinien/Empfehlungen des Bundesamtes für Sicherheit für Informationstechnik und dem Standard-Datenschutzmodell basieren. Diese Kriterien aber nicht immer allgemeine verständlich sind, wurde dieses Dokument als Hilfestellung für das Verständnis der Checkliste entwickelt. Es werden in diesem Kontext sowohl die einzelnen Prüfkriterien erläutert auch die Bewertungsskala.
Bewertungsskala Im Kontext der Checkliste müssen, die zu prüfenden technischen und organisatorischen Maßnahmen auf Basis der folgenden Skala bewertet werden:
| Nr. | Bewertung | Erläuterung | ||||||
|---|---|---|---|---|---|---|---|---|
| 1 | 1 | Voll erfüllt | Sämtliche geforderten Maßnahmen gemäß den Vorgaben des BSI-Standards bzw. vergleichbarer Anforderungen nach ISO 27001 wurden vollständig umgesetzt. | |||||
| 2 | Teilerfüllt | Die im Rahmen der Basisanforderungen des BSI- Standards (oder gleichwertige Maßnahmen gemäß ISO 27001) wesentlichen Sicherheitsmaßnahmen wurden teilweise umgesetzt. | ||||||
| 3 | Nicht erfüllt | Es wurden keine oder nur unzureichende Maßnahmen im Sinne der Basisanforderungen des BSI-Standards (oder gleichwertiger Vorgaben nach ISO 27001) umgesetzt. Daher ist eine Behandlung etwaiger Abweichungen erforderlich. | ||||||
| 4 | Entfällt | Nach fachlicher Prüfung wurde festgestellt, dass die jeweilige Maßnahme aufgrund nicht vorliegender technischer oder organisatorischer Voraussetzungen nicht anwendbar ist. Beispiel: Die Maßnahme betrifft Systeme oder Prozesse, die in der betrachteten Umgebung nicht eingesetzt werden. | ||||||
| 5 | Unterstellt | Die Maßnahme wird durch einen externen Dienstleister oder Subunternehmer erbracht. Die Einhaltung und Umsetzung der geforderten Sicherheitsmaßnahmen wurde vom beauftragten Unternehmen vertraglich zugesichert und dies wird regelmäßig geprüft. |
[Seite 2]
Angaben zu den technischen und organisatorischen Maßnahmen (TOM)
| 4.1 Informationssicherheits- und Datenschutzmanagement | |||||
|---|---|---|---|---|---|
| Kriterium | Erläuterung | ||||
| 4.1.1 Informationssicherheitsmana gementsystem nach ISO 27001 oder BSI-IT- Grundschutz | 4.1.1 | Dieser Aspekt dient der Prüfung, ob ein dokumentiertes ISMS auf Basis von ISO 27001 oder BSI-IT-Grundschutz implementiert ist. Ein ISMS stellt sicher, dass Informationssicherheitsrisiken systematisch erkannt, bewertet und behandelt werden. Dies impliziert auch definierte Sicherheitsrichtlinien. | |||
| Informationssicherheitsmana | |||||
| gementsystem nach ISO | |||||
| 27001 oder BSI-IT- | |||||
| Grundschutz | |||||
| 4.1.2 Datenschutzmanagementkonz ept nach Art. 5 Abs. 2 DSGVO | Das Datenschutzmanagement dient der Umsetzung der Rechenschaftspflicht gemäß Art. 5 Abs. 2 DSGVO. Es umfasst Richtlinien, Prozesse und Kontrollen zur Einhaltung datenschutzrechtlicher Vorgaben. Das Konzept wird regelmäßig überprüft und angepasst. | ||||
| 4.1.3 Verpflichtung der Beschäftigten nach allen relevanten Gesetzten | Alle Mitarbeitenden müssen schriftlich auf Vertraulichkeit und die Einhaltung der geltenden Gesetze verpflichtet werden. Diese Verpflichtung umfasst zum Beispiel die DSGVO und den vertraulichen Umgang mit Kundendaten. | ||||
| 4.1.4 | Verantwortlichkeiten für Datenschutz und Informationssicherheit sind klar festgelegt. Rollen wie Datenschutzbeauftragter oder Informationssicherheitsbeauftragter müssen etabliert sein und definierte Aufgabenbereiche. | ||||
| Definierte Verantwortlichen im | |||||
| Bereich | |||||
| Informationssicherheit und | |||||
| Datenschutz | |||||
| 4.1.5 Software Bill of Materials | 4.1.5 | Eine Software Bill of Materials (SBOM) listet alle eingesetzten Softwarekomponenten und Abhängigkeiten auf. Dies umfasst auch verwendete OpenSource-Komponenten. Eine solche Liste ist zu pflegen. | |||
| Software Bill of Materials |
[Seite 3]
| 4.1.6 Regelungen zum Softwarelifecycle | Dieser Aspekt dient dazu zu prüfen, ob der gesamte Lebenszyklus von der betroffenen Software durch Prozesse geregelt – von der Entwicklung über den Test bis zur Außerbetriebnahme. Dies umfasst auch, dass über den gesamten Lebenszyklus Sicherheitsupdates garantiert werden. | ||||
|---|---|---|---|---|---|
| 4.1.7 | Datenschutz- und Sicherheitsmaßnahmen müssen regelmäßig auf Wirksamkeit und Aktualität hin geprüft werden. Dies kann durch interne Audits, Schwachstellenanalysen oder externe Prüfungen erfolgen. Die Prüfergebnisse sind entsprechend zu dokumentieren. | ||||
| Regelmäßige Kontrolle der | |||||
| Schutzmaßnahmen im | |||||
| Kontext des Datenschutzes | |||||
| und der | |||||
| Informationssicherheit | |||||
| 4.1.8 Sub-Dienstleisterbeteiligung, für konkrete Dienstleistung und/oder Fernwartung (jeweils Anlage erstellen) | 4.1.8 | Alle Subdienstleister, auch für Fernwartung, sind vollständig zu dokumentieren. Der Auftragsverarbeiter bleibt verantwortlich für deren Datenschutzkonformität. Verträge und technische Schutzmaßnahmen müssen vorliegen. | |||
| Sub-Dienstleisterbeteiligung, | |||||
| für konkrete Dienstleistung | |||||
| und/oder Fernwartung | |||||
| (jeweils Anlage erstellen) | |||||
| 4.2 Organisatorische Sicherheit | |||||
| Kriterium | Erläuterung | ||||
| 4.2.1 Regelungen zur Nutzung der Infrastruktur des Unternehmens | 4.2.1 | Es müssen klare Vorgaben zur Nutzung der IT- Infrastruktur und etwaige Richtlinien für die Organisationen existieren. Dazu zählen zum Beispiel Regelungen zum Umgang mit IT- Geräten, Regelungen zum Remotesupport (Durchführung von Fernwartungen/Fernzugriff, um Problem zu lösen beziehungsweise Updates einzuspielen) und deren Administration und Regelung zur Protokollauswertung. Wenn dem Auftragnehmer seitens der Stadt Köln personenbezogene städtische Kennungen zum Zugriff auf etwaige IT-Ressourcen bereitgestellt werden, hat dieser sicherzustellen, dass nur die berechtigte Person die jeweilige Kennung nutzt. | |||
| Regelungen zur Nutzung der | |||||
| Infrastruktur des | |||||
| Unternehmens | |||||
| 4.2.2 Regelungen zur Internet- Nutzung | Es sind Richtlinien zum sicheren und verantwortungsvollen Umgang mit dem Internet zu erstellen. Sie enthalten Vorgaben zu der privaten Nutzung des Internets oder zu freigegeben Webseiten. |
[Seite 4]
| 4.2.3 Regelungen zur E-Mail- Nutzung | Diese Vorgaben definieren den sicheren E-Mail- Verkehr, insbesondere bei vertraulichen oder personenbezogenen Daten. Diese umfassen klare Formale Vorgaben für E-Mails und Regelungen zur privaten Nutzung. | ||||
|---|---|---|---|---|---|
| 4.2.4 Regelungen zum mobilen Arbeiten | Für Homeoffice und mobiles Arbeiten gelten verbindliche Sicherheitsanforderungen zum Beispiel hinsichtlich der Verschlüsselung von Kommunikationsverbindungen. Diese Vorgaben sind schriftlich zu fixieren. | ||||
| 4.2.5 | Die Einführung, Änderung und Außerbetriebnahme von Hard- und Software erfolgt nach schriftlich definiertem Prozess, welcher auch Tests und eine Sicherheitsüberprüfung umfasst. | ||||
| Regelung Hardware- | |||||
| /Softwareeinführung, - | |||||
| nutzung, -änderung | |||||
| (Inbetriebnahmeprozesse) | |||||
| 4.2.6 Beschreibung Serverlandschaft | 4.2.6 | Die Serverlandschaft ist vollständig dokumentiert, inklusive Standorte, Virtualisierungen und Sicherheitszonen. Zudem sind die relevanten Verantwortlichkeiten darzustellen. | |||
| Beschreibung | |||||
| Serverlandschaft | |||||
| 4.2.7 Stellenbeschreibungen zum Beispiel für Administratoren mit Sonderrechten | Es sind für die einzelnen Rollen, wie Administratoren mit Sonderrechten, bedarfsgerechte Stellenbeschreibungen angefertigt wurden. Diese umfassen zum Beispiel Aufgaben, Verantwortlichkeiten und Vertretungsregelungen festlegen. | ||||
| 4.2.8 Regelungen zur Datenlöschung | Ein Verfahren zur sicheren und nachvollziehbaren Löschung personenbezogener Daten muss auf Basis des individuellen Schutzbedarfes definiert werden. Dieses muss den Vorgaben aus Art. 17 DSGVO entsprechen. | ||||
| 4.2.9 Regelungen zur Datenträgerentsorgung | Datenträger (zum Beispiel Papier und digitale Speichermedien) müssen nach einem definierten Prozess entsorgt werden. Physische Vernichtung oder zertifizierte Entsorgungsdienstleister sind zu nutzen und dies ist zu dokumentieren. | ||||
| 4.3 Technische Sicherheit | |||||
| Kriterium | Erläuterung |
[Seite 5]
| 4.3.1 Datenübermittlung (intern/extern, Verschlüsselung, VPN, Signatur) | Datenübertragungen erfolgen ausschließlich verschlüsselt mit Verfahren nach dem Stand der Technik. VPN-Verbindungen und digitale Signaturen sind verpflichtend einzusetzen, sofern technisch möglich und dem Schutzbedarf entsprechend. Dies ist alles schriftlich zu dokumentieren. | ||||
|---|---|---|---|---|---|
| 4.3.2 Berechtigungsmanagement/Z ugriffsregelungen | Es ist ein Berechtigungsmanagement mit personenbezogenen Kennungen zu etablieren. Die Rechtevergabe erfolgt nach dem Need-to- know-Prinzip in einem definierten Prozess. | ||||
| 4.3.3 Regelung Passwort- Verwendung | Passwortrichtlinien, welche sich an den Vorgaben des BSI orientieren, schreiben Komplexität, Länge und Erneuerung vor. Der sichere Umgang mit Passwörtern ist verbindlich geregelt. | ||||
| 4.3.4 Multifaktor-Authentifizierung | Eine Multifaktor-Authentifizierung, welche neben einem Passwort noch einen zweiten Faktor zu Authentifizierung nutzt, wird bei administrativen und sensiblen Zugängen eingesetzt. | ||||
| 4.3.5 Protokollierung für die gesamte IT-Umgebung | Sicherheitsrelevante Ereignisse und Systemaktivitäten (zum Beispiel Störungen oder unberechtigte Zugriffe) werden zentral protokolliert. Logs sind gegen Manipulation geschützt und automatisch auf Unregelmäßigkeiten überprüft. | ||||
| 4.3.6 Intrusion-Detection-Systeme (IDS) | IDS-Systeme erkennen unautorisierte Zugriffe oder Auffälligkeiten im Netzwerk. IDS-Systeme und eine automatische Alarmierung/Behebung für etwaige Auffälligkeiten wurde implementiert. | ||||
| 4.3.7 | Technische und organisatorische Maßnahmen gewährleisten die Trennung von Daten verschiedener Mandanten. Dies ist entsprechend dokumentiert. | ||||
| Trennungskontrolle | |||||
| (Mandantenfähigkeit, | |||||
| Sandbox) | |||||
| 4.3.8 Datensicherung (Verfügbarkeit, Belastbarkeit) | 4.3.8 | Regelmäßige Backups und Wiederherstellungstests gewährleisten Datenverfügbarkeit. Backups sind verschlüsselt und an sicheren Orten gespeichert. Zudem wird deren Funktionsfähigkeit regelmäßig getestet. | |||
| Datensicherung | |||||
| (Verfügbarkeit, Belastbarkeit) | |||||
| 4.4 Physische Sicherheit | |||||
| Kriterium | Erläuterung |
[Seite 6]
| 4.4.1 Verhaltensregelung Pfortendienst und Gebäudesicherung | Ein Pförtnerdienst trägt wesentlich zur physischen Sicherheit bei. Die Arbeitsbedingungen sind auf die Aufgabenwahrnehmung auszurichten. Eine verbindliche Aufgabenbeschreibung regelt Zuständigkeiten im Zusammenspiel mit weiteren Schutzmaßnahmen (z. B. Gebäudesicherung, Alarmanlage, Zutrittskontrolle). | |||
|---|---|---|---|---|
| 4.4.2 | Zutrittsrechte werden nach Funktion und Erforderlichkeit vergeben. Es werden elektronische Systeme, wie Karten oder Chips, eingesetzt. | |||
| Zugangsregelung/personenbe | ||||
| zogene | ||||
| Zugangsberechtigungen für | ||||
| externe und interne | ||||
| Mitarbeitende | ||||
| 4.4.3 | Serverräume oder Archive haben besondere Zutrittsbedingungen. Nur autorisierte Personen erhalten Zugang. Zutritte werden protokolliert und regelmäßig kontrolliert. | |||
| Regelung für Räume mit | ||||
| speziellen | ||||
| Zutrittsvoraussetzungen | ||||
| 4.4.4 Regelung für Büro und Besprechungsräume | 4.4.4 | Für Büro- und Besprechungsräume gelten Clean-Desk- und Sichtschutzrichtlinien. Akten und Datenträger müssen gesichert aufbewahrt werden. Vertrauliche Gespräche sind in abgrenzten Räumen zu führen. | ||
| Regelung für Büro und | ||||
| Besprechungsräume | ||||
| 4.4.5 Regelungen für Überwachungseinrichtungen | Video- oder Zutrittsüberwachung ist dokumentiert, zweckgebunden und rechtskonform. Betroffene sind informiert, und Speicherfristen sind geregelt. Zugriffe auf Aufnahmen sind beschränkt. | |||
| 4.4.6 Schließanlage/Schlüsselmana gement | Ausgabe, Rückgabe und Verwaltung von Schlüsseln oder Zutrittsmedien sind dokumentiert. Verlust und Sperrungen sind geregelt. | |||
| 4.4.7 Berücksichtigung von Brandschutzmaßnahmen | Es wurde eine Brandschutzkonzept für alle Räumlichkeiten entwickelt. Feuerlöscher, Rauchmelder und Brandabschnitte sind vorhanden, welche regelmäßig auf ihre Funktionsfähigkeit geprüft werden. | |||
| 4.4.8 | Notstrom- oder USV-Systeme sichern den Betrieb bei Stromausfällen. Regelmäßige Tests und Wartungen gewährleisten Funktionalität. | |||
| Berücksichtigung der | ||||
| Stromversorgung | ||||
| 4.5 Notfall- und Krisenmanagement |
[Seite 7]
| Kriterium | Erläuterung | ||||
|---|---|---|---|---|---|
| 4.5.1 Implementiertes Business Continuity Management | 4.5.1 | Das BCM stellt sicher, dass kritische Geschäftsprozesse auch im Notfall fortgeführt werden können. Es beinhaltet Verantwortlichkeiten, Notfallhandbücher und Kommunikationswege. Regelmäßige Prüfungen sichern die Aktualität. | |||
| Implementiertes Business | |||||
| Continuity Management | |||||
| 4.5.2 Meldewege für Datenschutz- /Sicherheitsvorfälle | Prozesse zur Meldung und Behandlung von Datenschutz- oder IT-Sicherheitsvorfällen sind dokumentiert. Beschäftigte wissen, an wen sie sich im Vorfallfall wenden müssen. Alle Vorfälle werden bewertet und nachverfolgt. | ||||
| 4.5.3 Regelmäßige Notfallübungen | Notfall- und Wiederanlaufpläne werden regelmäßig in Übungen getestet. Ergebnisse werden dokumentiert und zur Verbesserung genutzt. | ||||
| 4.5.4 Dokumentierte Wiederanlaufpläne | Schriftliche Wiederanlaufpläne legen Verfahren zur Wiederherstellung von IT-Systemen nach Störungen fest. Zuständigkeiten, Prioritäten und Wiederanlaufzeiten sind klar definiert. Pläne werden regelmäßig überprüft. |
Kriterien dynamischer Verbesserungsprozess Im Rahmen der Checkliste wird nach der Implementierung eines dynamischen Verbesserungsprozesses gefragt. Dies bezüglich können Sie sich an der folgenden Erläuterung orientieren:
Die Informationssicherheit ist als kontinuierlicher Verbesserungsprozess (Continuous Improvement) nach dem PDCA-Zyklus (Plan–Do–Check–Act) zu gestalten. Auf dieser Grundlage sind bestehende Sicherheitsmaßnahmen regelmäßig zu evaluieren und fortzuentwickeln, um ihre Wirksamkeit und Aktualität sicherzustellen. Dabei sind Veränderungen in Technik, Organisation, Rechtslage und Bedrohungslage zu berücksichtigen. Durch eine kontinuierliche Analyse der aktuellen Bedrohungssituation sind erforderliche Schutzmaßnahmen abzuleiten und umzusetzen, um den Schutzbedarf der verarbeiteten Daten dauerhaft zu gewährleisten. Die Wirksamkeit der implementierten Maßnahmen ist regelmäßig durch Penetrationstests, interne Revisionen oder andere geeignete Prüfverfahren zu überprüfen und zu bewerten.
[Seite 8]
Kriterien KI-Nutzung
| Kriterium | Erläuterung | ||||
|---|---|---|---|---|---|
| 6.1 Transparenz und Rückverfolgbarkeit | 6.1 | Transparenz und Rückverfolgbarkeit sind zentrale Anforderungen beim Einsatz von KI- Systemen, um Vertrauen und Nachvollziehbarkeit zu gewährleisten. Durch klare Dokumentation der verwendeten Datenquellen, sowie die Protokollierung aller Verarbeitungsschritte, kann jederzeit überprüft werden, wie Ergebnisse zustande gekommen sind und auf welcher Datenbasis sie beruhen. | |||
| Transparenz und | |||||
| Rückverfolgbarkeit | |||||
| 6.2 Zweckbindung und technische Geschlossenheit | Die Zweckbindung stellt sicher, dass KI-Systeme Daten ausschließlich im Rahmen des definierten Verarbeitungszwecks nutzen und keine anderweitige Verwendung erfolgt. Technische Geschlossenheit bedeutet, dass durch Schutzmaßnahmen, wie Zugriffskontrollen, Authentifizierung, Verschlüsselung und regelmäßige Prüfungen verhindert wird, dass Unbefugte Daten einsehen, weitergeben oder das System manipulieren können. So bleibt die Verarbeitung sicher, transparent und nachvollziehbar. |