Interne Audits und Sicherheitsrevisionen für die Informationssicherheit der Zahlstelle Brandenburg-Berlin

Der Auftragsgegenstand umfasst die Planung und Durchführung interner Audits und Sicherheitsrevisionen für einen auf Basis von BSI IT-Grundschutz nach ISO 27001 zertifizierten Informationsverbund und dessen beteiligte Outsourcing-Partner. Der zu prüfende Informationsverbund "Operativer Betrieb der EU-Zahlstelle Brandenburg-Berlin" besteht aus den Organisationseinheiten des Ministeriums für Land- und Ernährungswirtschaft, Umwelt und Verbraucherschutz des Landes Brandenburg (MLEUV) und dem direkt nachgeordneten Landesamt für Ländliche Entwicklung, Landwirtschaft und Flurneuordnung (LELF), die die Fachaufgaben der Bewilligung, Kontrolle, Auszahlung, Verbuchung sowie Verwaltung der Außenstände von Fördergeldern des Europäischen Garantiefonds für die Landwirtschaft (EGFL), des Europäischen Landwirtschaftsfonds für die Entwicklung des ländlichen Raums (ELER) und des Europäischen Meeres-, Fischerei- und Aquakulturfonds (EMFAF) wahrnehmen, sowie den weiteren am Zahlstellenverfahren beteiligten Stellen (Landkreise, Landesforstbetrieb, Investitionsbank und technische Dienstleister), welche als Outsourcing-Partner behandelt werden. Die wesentlichen Prüfungshandlungen sind für die ausgelagerten Bestandteile des Informationsverbunds bei den Outsourcing-Partnern durchzuführen. Mit diesen Einrichtungen wurde eine Übertragung von Zahlstellenaufgaben auf Grundlage von Zuständigkeitsverordnungen, Überleitungsverordnungen oder andere Regelungen vereinbart. Die Outsourcing-Beziehungen werden auf Grundlage eines mit dem Bundesamt für Sicherheit in der Informationstechnik (kurz BSI) abgestimmten Bund-Länder-Schnittstellen-Modells für EU-Zahlstellen im Wesentlichen unterschieden in: 1. Organisatorische Schnittstellen (S-O): Einrichtungen, welche übertragene Aufgaben der Bewilligung und Kontrolle innerhalb der Geschäftsprozesse der Zahlstelle wahrnehmen und zur Aufgabenerfüllung zentrale Zahlstellen-Fachanwendungen innerhalb des Informationsverbundes nutzen, da sie selbst keine zentralen Zahlstellen-Fachanwendungen bereitstellen und keine spezifischen Anwendungsumgebungen betreiben. Dies betrifft in Brandenburg aktuell: - 14 Bewilligungsstellen (Ämter für Landwirtschaft) in den Landkreisen, - den Landesbetrieb Forst (LFB), - die Investitionsbank des Landes Brandenburg (ILB). 2. Technische Schnittstellen (S-T): Einrichtungen des technischen Betriebs der zentralen Zahlstelle-Fachanwendungen und Systeme sowie der Datenhaltung. Dies betrifft in Brandenburg aktuell: - den zentralen Brandenburgischen IT-Dienstleister (ZIT-BB), - die Landesvermessung und Geobasisinformation Brandenburg (LGB) - die init AG für den Betrieb eines Antragsverfahrens. Im Informationsverbund sind eine mittlere dreistellige Anzahl an Personen tätig. Jährlich werden mehrere Millionen Euro in dreistelliger Höhe an EU-, Bundes- und Landesmitteln verwaltet. Die Zahlstellen-Fachanwendungen umfassen im Wesentlichen Client/Server- und Webanwendungen, wofür eine die IT-Systemlandschaft bestehend aus Terminal-, Web-, Applikations- und Datenbankserver zum Einsatz kommt. Die Nutzung erfolgt für Verwaltungseinheiten mittels virtueller Clients über das Landesverwaltungsnetz des Landes Brandenburg. Antragsteller greifen auf die in einer demilitarisierten Zone (DMZ) betriebenen Onlineantragssysteme über das Internet zu. Der Aufragnehmer soll in Abstimmung mit dem Aufraggeber und auf Grundlage der Dokumentation des ISMS, eine mehrjährige Prüfplanung vornehmen und durchführen. Die Planung und Durchführung der Prüfungen erfolgt unter Beteiligung des Informationssicherheitsbeauftragen der EU-Zahlstelle. Ausgehend von Erfahrungswerten sind voraussichtlich pro Jahr vier Prüfungen bei jeweils unterschiedlichen Verfahrensbeteiligten durchzuführen, die flexibel aufrufbar sein sollen. Je Prüfung wird der Arbeitsaufwand in Personentagen (PT) auf ca. 10 PT eingeschätzt. Der Auftragsgegenstand umfasst die Prüfungen die Jahre 2027 bis einschließlich 2030. Der Auftraggeber behält sich mit der Vergabe von optionalen Leistungen vor, bei vorhandenen Kapazitäten des Auftragnehmers, für das Jahr 2026 weitere Prüfungen gemäß des Leistungsverzeichnisses zu beauftragen. Demnach ergibt sich voraussichtlich folgender Arbeitsumfang - 2026: 2 Prüfungen - 20 PT (optional, bei Verfügbarkeit) - 2027: 4 Prüfungen - 40 PT - 2028: 4 Prüfungen - 40 PT - 2029: 4 Prüfungen - 40 PT - 2030: 4 Prüfungen - 40 PT - Gesamt: 18 Prüfungen - 180 PT Die Durchführung der Prüfungen soll entlang der einschlägigen Standards für Audits und Sicherheitsrevisionen nach BSI IT-Grundschutzmethodik stattfinden (BSI Auditierungsschema oder dem Leitfaden für IS-Revisionen auf der Basis von IT-Grundschutz). Der Auftraggeber behält sich vor, den Auftragnehmer im Jahr 2026 optional mit bis zu zwei (2) weiteren Prüfungen für zwei (2) Prüfgegenstände gemäß des Leistungsverzeichnisses zu beauftragen.