[Seite 1]
HINWEISE ZUM AUSFÜLLEN DES ANHANGS 3.1 – Anforderungskatalog
Grundsätzliches
Ziel des Anforderungskatalogs ist es, ein nachvollziehbares und strukturiertes Bild des beim Dienstleister etablierten Informationssicherheits-Managementsystems (ISMS) sowie des entsprechenden Sicherheitsniveaus zu gewinnen. Grundlage hierfür ist die beim Dienstleister bestehende schriftlich fixierte Ordnung (z.B. Richtlinien, Handbücher, Prozessbeschreibungen).
Nachfolgend finden Sie ergänzende Hinweise zur Einstufung und Bearbeitung der einzelnen Anforderungen.
Relevanz der Anforderungen:
Die Relevanzeinstufung in Spalte G erfolgt durch die Helaba. Es werden nur solche Anforderungen als relevant gekennzeichnet, die im Zusammenhang mit den ausgeschriebenen Dienstleistungen stehen. Der konkrete Leistungsumfang ergibt sich zum einen aus dem Vertrag bzw. der darin enthaltenen Leistungsbeschreibung, zum anderen aus dem Deckblatt des Anforderungskatalogs. Der Fokus der Betrachtung liegt auf den Bereichen, Systemen, Komponenten etc., für die nicht die Helaba, sondern der Dienstleister selbst die Verantwortung trägt.
Eine Änderung der Relevanzeinstufung ist nur in begründeten Ausnahmefällen vorzunehmen, etwa wenn die Anforderung auf Grund von Besonderheiten in Ihrem Unternehmen nicht anwendbar ist. In diesen Fällen bitten wir Sie, eine kurze Begründung für die abweichende Relevanzeinstufung in Spalte H anzugeben.
Erfüllungsgrad der Anforderungen:
Der Erfüllungsgrad in Spalte I ist in den Ausprägungen „erfüllt“, „teilweise erfüllt“ oder „nicht erfüllt“ anzugeben:
Erfüllt: Die Anforderung ist vollständig erfüllt. Bitte geben Sie zur Nachvollziehbarkeit die entsprechenden Referenzdokumente aus Ihrer schriftlich fixierten Ordnung in Spalte L an.
Teilweise erfüllt: Die Anforderung ist in Teilen erfüllt. Bitte definieren Sie in Spalte J die erfüllten und nicht erfüllten Aspekte der Anforderung. Bitte geben sie darüber hinaus für die erfüllten Aspekte ebenfalls die entsprechenden Referenzdokumente in Spalte L an.
Nicht erfüllt: Die Anforderung ist derzeit nicht erfüllt. Bitte geben Sie in Spalte J eine kurze Begründung an. Weitere Angaben sind in diesem Fall nicht erforderlich.
Die Nichterfüllung einzelner Anforderungen bedeutet nicht automatisch, dass diese künftig zwingend umzusetzen sind. Im Einzelfall kann eine Umsetzung einzelner Anforderungen aus Sicherheitsgründen jedoch geboten sein. Dies würde in Abstimmung mit der Helaba erfolgen.
Referenzdokumente:
Der Dienstleister ordnet Anforderungen mit den Erfüllungsgraden „vollständig erfüllt“ und „teilweise erfüllt“ seiner schriftlich fixierten Ordnung zu und gibt in Spalte L die „Referenzdokumente des Auftragnehmers“ an, die die Abdeckung der jeweiligen Vorgabe gewährleisten.
Bitte berücksichtigen Sie, dass Ihre ISO 27001-Zertifizierung nicht als Referenzdokument herangezogen werden kann, da sie die zugrunde liegenden Richtlinien und Prozesse nicht ersetzt.