1.16 SC-01 Sicherheits- und Compliancefragebogen
Teilnahmewettbewerb zur konzernweiten UCaaS-Lösung
Vergabenummer: 260827
| Verbindlicher NDA-Hinweis: Die Vertraulichkeitsvereinbarung 1.17 einschließlich der Zugangs- und Schutzregeln 1.18 ist zwingend mit dem Teilnahmeantrag in Textform einzureichen. Sie wird nicht bepunktet. |
| Zweck, Abgrenzung und einheitliche Skala |
| Dieses Formblatt bewertet vorhandene und nachgewiesene Kompetenzen in Informationssicherheit, digitaler Souveränität, Betrieb und KI. Es wird kein Sana-spezifisches Lösungskonzept verlangt. Jede nummerierte Frage wird genau einmal bewertet. Die datenschutzrechtliche Mindestprüfung erfolgt ausschließlich in 1.07 und 1.08; diese Angaben werden hier nicht wiederholt oder bepunktet. Die Auswahl Ja/Teilweise/Nein entspricht nur dann 2/1/0 Punkten, wenn Erläuterung und Nachweisreferenz die Angabe tragen. |
1 Angaben zum Bewerber und zur zugrunde gelegten Lösung
| Angabe | Eintragung |
|---|---|
| Bewerber/Bewerbergemeinschaft | Klicken oder tippen Sie hier, um Text einzugeben. |
| Zugrunde gelegte Lösung oder Plattform | Klicken oder tippen Sie hier, um Text einzugeben. |
| Nachweislich verfügbares Betriebsmodell | Klicken oder tippen Sie hier, um Text einzugeben. |
| Verantwortliches Unternehmen für Plattform und Betrieb | Klicken oder tippen Sie hier, um Text einzugeben. |
| Keine gesonderte Bewertung des Betriebsmodells |
| Die Bezeichnung des Betriebsmodells in Abschnitt 1 dient ausschließlich der eindeutigen Zuordnung der nachfolgenden Nachweise. Sie wird nicht selbständig bepunktet. Bewertet werden nur die konkret nummerierten Fragen, insbesondere SC-4.1 bis SC-4.5, SC-9.1 bis SC-9.6 und SC-10.1 bis SC-10.4. |
2 Sicherheitsorganisation und ISMS
| ID | Unterkriterium | Prüffrage | Ja | Nein | Erläuterung/Nachweisreferenz |
|---|---|---|---|---|---|
| SC-2.1 | S-ISMS | Informationssicherheitsmanagementsystem vorhanden und dokumentiert | [ ] | [ ] | Bitte hier eintragen |
| SC-2.2 | S-ISMS | ISO-27001-Zertifizierung oder gleichwertiger Nachweis vorhanden | [ ] | [ ] | Bitte hier eintragen |
| SC-2.3 | S-ISMS | Informationssicherheitsbeauftragte Stelle benannt | [ ] | [ ] | Bitte hier eintragen |
| SC-2.4 | S-ISMS | Security Governance und dokumentierte Sicherheitsrichtlinien etabliert | [ ] | [ ] | Bitte hier eintragen |
| SC-2.5 | S-ISMS | Regelmäßige Risikoanalysen und Sicherheitsüberprüfungen etabliert | [ ] | [ ] | Bitte hier eintragen |
| SC-2.6 | S-ISMS | Unternehmensweites Notfallmanagement und Business Continuity Management sind organisatorisch in das ISMS eingebunden und dokumentiert | [ ] | [ ] | Bitte hier eintragen |
| Veröffentlichter Bewertungshinweis Bewertet wird das Unterkriterium S-ISMS. Es umfasst 6 getrennte Teilaspekte beziehungsweise Fragen aus SC-2.1 bis SC-2.6. Jede Angabe wird nur an dieser Stelle bewertet. Je Teilaspekt werden 0 oder 2 Punkte vergeben: 0 Punkte = keine, widersprüchliche oder nicht belastbare Angabe; 2 Punkte = vollständig erfüllt, klar erläutert und eindeutig nachgewiesen. Die Summe wird proportional in einen Wert von 0 bis 10 Punkten umgerechnet: Summe / 12 × 10. Das Unterkriterium zählt mit 25 % innerhalb des Hauptkriteriums; dieses fließt mit 15 % in die Gesamtwertung ein. Damit beträgt der Anteil des Unterkriteriums an der Gesamtwertung 3.75 %. Doppelbewertungen sind ausgeschlossen. |
3 C5 und Nachweisführung
| Bestätigtes C5-Modell |
| Die gesetzliche C5-Grundanforderung nach § 393 SGB V ist eine nicht bepunktete Mindestanforderung an die später angebotene Cloud-Leistung. Ein produkt- und lösungsspezifischer C5-Nachweis ist mit dem Teilnahmeantrag nicht vorzulegen. Mit dem Erstangebot ist eine vollständige und prüfbare C5-Abdeckungs- und Verantwortungsmatrix vorzulegen. Sie muss sämtliche für die vorgesehene Lösung eingesetzten Cloud-Dienste, Rechenzentrumsleistungen, Cloud-Systeme, Applikationen und technischen Komponenten sowie alle C5-relevanten Hersteller-, Betreiber- und Unterauftragnehmerleistungen einschließlich der Betriebs-, Administrations-, Wartungs-, Entstörungs- und Notfallzugriffe erfassen. Ein einheitliches Gesamttestat eines einzigen Unternehmens ist nicht erforderlich. Ein gesondertes C5-Testat des Auftragnehmers ist nicht allein aufgrund seiner Stellung als Vertragspartner erforderlich. Erbringt der Auftragnehmer selbst C5-relevante Cloud-, Betriebs-, Administrations-, Wartungs- oder Datenverarbeitungsleistungen oder besitzt er entsprechende Zugriffsmöglichkeiten, müssen auch diese Leistungen und Zugriffe vom Geltungsbereich eines aktuellen C5-Testats oder eines gesetzlich zugelassenen gleichwertigen Nachweises umfasst sein. Als gesetzlich gleichwertig gelten nur Nachweise, welche die Voraussetzungen des § 393 Absatz 4 SGB V in Verbindung mit § 1 C5GleichwV erfüllen. Eine Zertifizierung nach ISO/IEC 27001 genügt nur, wenn sie sich auf den betreffenden Cloud-Computing-Dienst bezieht und die zusätzlichen Voraussetzungen des § 1 Absatz 2 und 3 C5GleichwV einschließlich des vollständigen Maßnahmenplans erfüllt sind. Eine Eigenerklärung oder eine allgemeine Unternehmenszertifizierung allein genügt nicht. Spätestens vor Produktivsetzung und während der gesamten Vertragslaufzeit müssen für sämtliche gesetzlich erfassten Bestandteile vollständige und aktuelle Nachweise vorliegen und die im jeweiligen Prüfbericht enthaltenen korrespondierenden Kriterien für Kunden umgesetzt sein. Gesetzlich erfasste, aber nicht abgedeckte Bestandteile dürfen nicht produktiv eingesetzt werden. Nicht C5-relevante Leistungen und Zugriffe sind mit Schutzmaßnahmen, Protokollierung und Verantwortlichkeiten transparent auszuweisen. |
| Bewertung des C5-Themas |
| Die gesetzliche beziehungsweise vertragliche C5-Nachweispflicht und das vorstehende Nachweismodell sind Anforderungen des Verfahrens und werden nicht als Auswahlvorteil bepunktet. Bewertet wird ausschließlich die bereits vorhandene organisatorische Kompetenz zur vollständigen C5-Nachweisführung unter SC-6.1 in Abschnitt 6. |
4.1 Datenhaltung, Verarbeitung und Transparenz
| ID | Unterkriterium | Prüffrage | Ja | Nein | Erläuterung/Nachweisreferenz |
|---|---|---|---|---|---|
| SC-4.1 | D-DAT | Ist eine Datenhaltung ausschließlich in Deutschland nachweislich verfügbar? | [ ] | [ ] | Bitte hier eintragen |
| SC-4.2 | D-DAT | Sind sämtliche Verarbeitungs- und Administrationsvorgänge einschließlich einer etwaigen KI-Verarbeitung ausschließlich innerhalb Deutschlands oder der Europäischen Union nachweislich verfügbar? | [ ] | [ ] | Bitte hier eintragen |
| SC-4.3 | D-DAT | Sind Unterauftragnehmer, Betriebs- und Verarbeitungsstandorte sowie administrative Zugriffspfade vollständig und nachvollziehbar offengelegt? | [ ] | [ ] | Bitte hier eintragen |
| Veröffentlichter Bewertungshinweis Bewertet wird das Unterkriterium D-DAT. Es umfasst 3 getrennte Teilaspekte beziehungsweise Fragen aus SC-4.1 bis SC-4.3. Jede Angabe wird nur an dieser Stelle bewertet. Je Teilaspekt werden 0 oder 2 Punkte vergeben: 0 Punkte = keine, widersprüchliche oder nicht belastbare Angabe; 2 Punkte = vollständig erfüllt, klar erläutert und eindeutig nachgewiesen. Die Summe wird proportional in einen Wert von 0 bis 10 Punkten umgerechnet: Summe / 6 × 10. Das Unterkriterium zählt mit 30 % innerhalb des Hauptkriteriums; dieses fließt mit 15 % in die Gesamtwertung ein. Damit beträgt der Anteil des Unterkriteriums an der Gesamtwertung 4.5 %. Doppelbewertungen sind ausgeschlossen. |
4.2 Cloud-Betriebsmodell und Schlüsselhoheit
| ID | Unterkriterium | Prüffrage | Ja | Nein | Erläuterung/Nachweisreferenz |
|---|---|---|---|---|---|
| SC-4.4 | D-CLOUD | Ist ein Private-Cloud-Betriebsmodell mit dedizierten Kundeninstanzen oder vergleichbarer Isolation und transparenten Betriebsstandorten nachweislich verfügbar? | [ ] | [ ] | Bitte hier eintragen |
| SC-4.5 | D-CLOUD | Wird kundenspezifische Schlüsselhoheit über den vollständigen Schlüssellebenszyklus einschließlich PKI-, KMS- oder HSM-Integration sowie BYOK oder HYOK unterstützt; erfolgt etwaiges Shielding ausschließlich durch Sana? | [ ] | [ ] | Bitte hier eintragen |
| Veröffentlichter Bewertungshinweis Bewertet wird das Unterkriterium D-CLOUD. Es umfasst 2 getrennte Teilaspekte beziehungsweise Fragen aus SC-4.4 und SC-4.5. Jede Angabe wird nur an dieser Stelle bewertet. Je Teilaspekt werden 0 oder 2 Punkte vergeben: 0 Punkte = keine, widersprüchliche oder nicht belastbare Angabe; 2 Punkte = vollständig erfüllt, klar erläutert und eindeutig nachgewiesen. Die Summe wird proportional in einen Wert von 0 bis 10 Punkten umgerechnet: Summe / 4 × 10. Das Unterkriterium zählt mit 25 % innerhalb des Hauptkriteriums; dieses fließt mit 15 % in die Gesamtwertung ein. Damit beträgt der Anteil des Unterkriteriums an der Gesamtwertung 3.75 %. Doppelbewertungen sind ausgeschlossen. |
5 Datenschutz und Auftragsverarbeitung – Abgrenzung
| Nicht bepunktete Datenschutzprüfung |
| Die formale Datenschutzerklärung und die DSGVO-Mindestangaben werden ausschließlich in 1.07 und 1.08 geprüft. Abschnitt 5 enthält daher keine zusätzlichen Fragen und begründet keine Auswahlpunkte. Informationssicherheits-, Betriebs- oder KI-Aspekte werden ausschließlich unter den nachfolgend nummerierten Fragen bewertet. |
6 Regulatorische Kompetenz
| ID | Unterkriterium | Prüffrage | Ja | Nein | Erläuterung/Nachweisreferenz |
|---|---|---|---|---|---|
| SC-6.1 | S-REG | Ist ein etabliertes Verfahren zur vollständigen Zuordnung, Aktualisierung, Prüfung und Bereitstellung von C5- oder gesetzlich zugelassenen gleichwertigen Nachweisen einschließlich der einbezogenen Unterauftragnehmer vorhanden? | [ ] | [ ] | Bitte hier eintragen |
| SC-6.2 | S-REG | Wurde die Umsetzung von Anforderungen aus BSIG, NIS2 oder vergleichbaren europäischen Cybersicherheitsvorgaben in KRITIS-nahen oder sonstigen hochregulierten Betriebsumgebungen nachweisbar begleitet? | [ ] | [ ] | Bitte hier eintragen |
| SC-6.3 | S-REG | Wurden BSI-Grundschutz oder vergleichbare Sicherheitsrahmenwerke nachweisbar angewendet? | [ ] | [ ] | Bitte hier eintragen |
| SC-6.4 | S-REG | Wurden branchenspezifische Sicherheitsanforderungen für Gesundheitswesen oder andere kritische Betriebsumgebungen nachweisbar umgesetzt? | [ ] | [ ] | Bitte hier eintragen |
| Veröffentlichter Bewertungshinweis Bewertet wird das Unterkriterium S-REG. Es umfasst 4 getrennte Teilaspekte beziehungsweise Fragen aus SC-6.1 bis SC-6.4. Jede Angabe wird nur an dieser Stelle bewertet. Je Teilaspekt werden 0 oder 2 Punkte vergeben: 0 Punkte = keine, widersprüchliche oder nicht belastbare Angabe; 2 Punkte = vollständig erfüllt, klar erläutert und eindeutig nachgewiesen. Die Summe wird proportional in einen Wert von 0 bis 10 Punkten umgerechnet: Summe / 8 × 10. Das Unterkriterium zählt mit 20 % innerhalb des Hauptkriteriums; dieses fließt mit 15 % in die Gesamtwertung ein. Damit beträgt der Anteil des Unterkriteriums an der Gesamtwertung 3 %. Doppelbewertungen sind ausgeschlossen. |
7 Technische Sicherheitsmaßnahmen
| ID | Unterkriterium | Prüffrage | Ja | Nein | Erläuterung/Nachweisreferenz |
|---|---|---|---|---|---|
| SC-7.1 | S-TECH | Mehrfaktor-Authentisierung und Single Sign-On nachweislich verfügbar | [ ] | [ ] | Bitte hier eintragen |
| SC-7.2 | S-TECH | Rollenbasierte Berechtigungsverwaltung für organisatorisch getrennte Einheiten nachweislich verfügbar | [ ] | [ ] | Bitte hier eintragen |
| SC-7.3 | S-TECH | Privileged Access Management für administrative Zugriffe nachweislich verfügbar | [ ] | [ ] | Bitte hier eintragen |
| SC-7.4 | S-TECH | Verschlüsselung bei Übertragung und Speicherung nachweislich verfügbar | [ ] | [ ] | Bitte hier eintragen |
| SC-7.5 | S-TECH | Sicherheitsprotokollierung und manipulationsgeschützte Nachweisführung nachweislich verfügbar | [ ] | [ ] | Bitte hier eintragen |
| Veröffentlichter Bewertungshinweis Bewertet wird das Unterkriterium S-TECH. Es umfasst 5 getrennte Teilaspekte beziehungsweise Fragen aus SC-7.1 bis SC-7.5. Jede Angabe wird nur an dieser Stelle bewertet. Je Teilaspekt werden 0 oder 2 Punkte vergeben: 0 Punkte = keine, widersprüchliche oder nicht belastbare Angabe; 2 Punkte = vollständig erfüllt, klar erläutert und eindeutig nachgewiesen. Die erreichten Teilaspektpunkte ergeben bereits einen Wert von 0 bis 10 Punkten. Das Unterkriterium zählt mit 30 % innerhalb des Hauptkriteriums; dieses fließt mit 15 % in die Gesamtwertung ein. Damit beträgt der Anteil des Unterkriteriums an der Gesamtwertung 4.5 %. Doppelbewertungen sind ausgeschlossen. |
8 Security Operations und Incident Response
| ID | Unterkriterium | Prüffrage | Ja | Nein | Erläuterung/Nachweisreferenz |
|---|---|---|---|---|---|
| SC-8.1 | S-SOC | Security Operations Center oder gleichwertige Überwachungsfunktion etabliert | [ ] | [ ] | Bitte hier eintragen |
| SC-8.2 | S-SOC | 24×7 Security Monitoring und SIEM-Anbindung etabliert | [ ] | [ ] | Bitte hier eintragen |
| SC-8.3 | S-SOC | Schwachstellen- und Patchmanagement etabliert | [ ] | [ ] | Bitte hier eintragen |
| SC-8.4 | S-SOC | Regelmäßige Penetrationstests und Nachverfolgung von Feststellungen etabliert | [ ] | [ ] | Bitte hier eintragen |
| SC-8.5 | S-SOC | Dokumentierter Prozess zur Behandlung von Informationssicherheitsvorfällen mit definierten Melde-, Reaktions- und Eskalationswegen etabliert | [ ] | [ ] | Bitte hier eintragen |
| SC-8.6 | S-SOC | Regelmäßige Notfall- und Sicherheitsübungen etabliert | [ ] | [ ] | Bitte hier eintragen |
| Veröffentlichter Bewertungshinweis Bewertet wird das Unterkriterium S-SOC. Es umfasst 6 getrennte Teilaspekte beziehungsweise Fragen aus SC-8.1 bis SC-8.6. Jede Angabe wird nur an dieser Stelle bewertet. Je Teilaspekt werden 0 oder 2 Punkte vergeben: 0 Punkte = keine, widersprüchliche oder nicht belastbare Angabe; 2 Punkte = vollständig erfüllt, klar erläutert und eindeutig nachgewiesen. Die Summe wird proportional in einen Wert von 0 bis 10 Punkten umgerechnet: Summe / 12 × 10. Das Unterkriterium zählt mit 25 % innerhalb des Hauptkriteriums; dieses fließt mit 15 % in die Gesamtwertung ein. Damit beträgt der Anteil des Unterkriteriums an der Gesamtwertung 3.75 %. Doppelbewertungen sind ausgeschlossen. |
9 Betriebs-, Ausfallsicherheit und Service
| ID | Unterkriterium | Prüffrage | Ja | Nein | Erläuterung/Nachweisreferenz |
|---|---|---|---|---|---|
| SC-9.1 | D-BETR | Sind Hochverfügbarkeit und Georedundanz der vorgesehenen Lösung einschließlich des Erhalts der individuellen Endgerätefunktionen im Not- und Ausfallbetrieb nachgewiesen? | [ ] | [ ] | Bitte hier eintragen |
| SC-9.2 | D-BETR | Sind Backup-, Wiederherstellungs- und Wiederanlauffunktionen für den vorgesehenen Lösungsbetrieb nachgewiesen? | [ ] | [ ] | Bitte hier eintragen |
| SC-9.3 | D-BETR | Werden lösungs- und betriebsspezifische Notfall- und Wiederanlauftests regelmäßig durchgeführt und ausgewertet? | [ ] | [ ] | Bitte hier eintragen |
| SC-9.4 | D-BETR | Sind ein Service Desk und eine 24×7-Unterstützung für kritische Störungen des Lösungsbetriebs etabliert? | [ ] | [ ] | Bitte hier eintragen |
| SC-9.5 | D-BETR | Ist ein SLA-basiertes Service-, Eskalations- und Berichtswesen für den Lösungsbetrieb etabliert? | [ ] | [ ] | Bitte hier eintragen |
| SC-9.6 | D-BETR | Ist ein nachvollziehbares Verfahren für Serviceübergang und Betriebsaufnahme der Lösung etabliert? | [ ] | [ ] | Bitte hier eintragen |
| Veröffentlichter Bewertungshinweis Bewertet wird das Unterkriterium D-BETR. Es umfasst 6 getrennte Teilaspekte beziehungsweise Fragen aus SC-9.1 bis SC-9.6. Jede Angabe wird nur an dieser Stelle bewertet. Je Teilaspekt werden 0 oder 2 Punkte vergeben: 0 Punkte = keine, widersprüchliche oder nicht belastbare Angabe; 2 Punkte = vollständig erfüllt, klar erläutert und eindeutig nachgewiesen. Die Summe wird proportional in einen Wert von 0 bis 10 Punkten umgerechnet: Summe / 12 × 10. Das Unterkriterium zählt mit 25 % innerhalb des Hauptkriteriums; dieses fließt mit 15 % in die Gesamtwertung ein. Damit beträgt der Anteil des Unterkriteriums an der Gesamtwertung 3.75 %. Doppelbewertungen sind ausgeschlossen. |
10 Multi-Mandant- oder Multi-Instanz-Fähigkeit
| ID | Unterkriterium | Prüffrage | Ja | Nein | Erläuterung/Nachweisreferenz |
|---|---|---|---|---|---|
| SC-10.1 | D-MULTI | Technische Skalierbarkeit für mindestens 250 organisatorisch getrennte Sana-Einheiten nachgewiesen | [ ] | [ ] | Bitte hier eintragen |
| SC-10.2 | D-MULTI | Organisationsspezifische Administration und Rechtekonzepte nachgewiesen | [ ] | [ ] | Bitte hier eintragen |
| SC-10.3 | D-MULTI | Technische Trennung von Konfiguration, Daten, Auswertungen, Protokollen und etwaiger KI-Verarbeitung je Sana-Einheit nachgewiesen | [ ] | [ ] | Bitte hier eintragen |
| SC-10.4 | D-MULTI | Zentrale konzernweite Administration der organisatorisch getrennten Sana-Einheiten mit eindeutig zugeordneter Betriebsverantwortung nachgewiesen | [ ] | [ ] | Bitte hier eintragen |
| Veröffentlichter Bewertungshinweis Bewertet wird das Unterkriterium D-MULTI. Es umfasst 4 getrennte Teilaspekte beziehungsweise Fragen aus SC-10.1 bis SC-10.4. Jede Angabe wird nur an dieser Stelle bewertet. Je Teilaspekt werden 0 oder 2 Punkte vergeben: 0 Punkte = keine, widersprüchliche oder nicht belastbare Angabe; 2 Punkte = vollständig erfüllt, klar erläutert und eindeutig nachgewiesen. Die Summe wird proportional in einen Wert von 0 bis 10 Punkten umgerechnet: Summe / 8 × 10. Das Unterkriterium zählt mit 20 % innerhalb des Hauptkriteriums; dieses fließt mit 15 % in die Gesamtwertung ein. Damit beträgt der Anteil des Unterkriteriums an der Gesamtwertung 3 %. Doppelbewertungen sind ausgeschlossen. |
11.1 KI-Reifegrad und nachgewiesener Nutzen
| ID | Unterkriterium | Prüffrage | Ja | Nein | Erläuterung/Nachweisreferenz |
|---|---|---|---|---|---|
| SC-11.1 | K-REIFE | Sind Produktivstatus, Reifegrad und nachgewiesener Nutzen der zugrunde gelegten KI-Funktionen nachvollziehbar dargestellt? | [ ] | [ ] | Bitte hier eintragen |
| Veröffentlichter Bewertungshinweis Bewertet wird das Unterkriterium K-REIFE. Es umfasst 1 getrennte Teilaspekte beziehungsweise Fragen aus SC-11.1. Jede Angabe wird nur an dieser Stelle bewertet. Je Teilaspekt werden 0 oder 2 Punkte vergeben: 0 Punkte = keine, widersprüchliche oder nicht belastbare Angabe; 2 Punkte = vollständig erfüllt, klar erläutert und eindeutig nachgewiesen. Die Summe wird proportional in einen Wert von 0 bis 10 Punkten umgerechnet: Summe / 2 × 10. Das Unterkriterium zählt mit 35 % innerhalb des Hauptkriteriums; dieses fließt mit 10 % in die Gesamtwertung ein. Damit beträgt der Anteil des Unterkriteriums an der Gesamtwertung 3.5 %. Doppelbewertungen sind ausgeschlossen. |
11.2 KI-Governance und kontrollierte Datenverwendung
| ID | Unterkriterium | Prüffrage | Ja | Nein | Erläuterung/Nachweisreferenz |
|---|---|---|---|---|---|
| SC-11.2 | K-GOV | Sind dokumentierte KI-Governance, Verantwortlichkeiten und verbindliche KI-Richtlinien vorhanden? | [ ] | [ ] | Bitte hier eintragen |
| SC-11.3 | K-GOV | Sind eingesetzte KI-Modelle, Zwecke, Datenflüsse und Verarbeitungsschritte transparent und fachlich nachvollziehbar dokumentiert? | [ ] | [ ] | Bitte hier eintragen |
| SC-11.4 | K-GOV | Ist nachweislich ausgeschlossen, dass Kundendaten ohne ausdrückliche Freigabe von Sana für das Training fremder oder allgemein bereitgestellter Modelle verwendet werden? | [ ] | [ ] | Bitte hier eintragen |
| Veröffentlichter Bewertungshinweis Bewertet wird das Unterkriterium K-GOV. Es umfasst 3 getrennte Teilaspekte beziehungsweise Fragen aus SC-11.2 bis SC-11.4. Jede Angabe wird nur an dieser Stelle bewertet. Je Teilaspekt werden 0 oder 2 Punkte vergeben: 0 Punkte = keine, widersprüchliche oder nicht belastbare Angabe; 2 Punkte = vollständig erfüllt, klar erläutert und eindeutig nachgewiesen. Die Summe wird proportional in einen Wert von 0 bis 10 Punkten umgerechnet: Summe / 6 × 10. Das Unterkriterium zählt mit 40 % innerhalb des Hauptkriteriums; dieses fließt mit 10 % in die Gesamtwertung ein. Damit beträgt der Anteil des Unterkriteriums an der Gesamtwertung 4 %. Doppelbewertungen sind ausgeschlossen. |
11.3 Steuerbarkeit und technische Integration der KI-Funktionen
| ID | Unterkriterium | Prüffrage | Ja | Nein | Erläuterung/Nachweisreferenz |
|---|---|---|---|---|---|
| SC-11.5 | K-INT | Können KI-Funktionen je Sana-Einheit gezielt freigegeben, deaktiviert und deren Nutzung nachvollziehbar protokolliert werden? | [ ] | [ ] | Bitte hier eintragen |
| SC-11.6 | K-INT | Sind die KI-Funktionen technisch in UCaaS und Contact Center integriert und sind die dafür erforderlichen Schnittstellen, Abhängigkeiten und Weiterentwicklungsprozesse nachvollziehbar dargestellt? | [ ] | [ ] | Bitte hier eintragen |
| Veröffentlichter Bewertungshinweis Bewertet wird das Unterkriterium K-INT. Es umfasst 2 getrennte Teilaspekte beziehungsweise Fragen aus SC-11.5 und SC-11.6. Jede Angabe wird nur an dieser Stelle bewertet. Je Teilaspekt werden 0 oder 2 Punkte vergeben: 0 Punkte = keine, widersprüchliche oder nicht belastbare Angabe; 2 Punkte = vollständig erfüllt, klar erläutert und eindeutig nachgewiesen. Die Summe wird proportional in einen Wert von 0 bis 10 Punkten umgerechnet: Summe / 4 × 10. Das Unterkriterium zählt mit 25 % innerhalb des Hauptkriteriums; dieses fließt mit 10 % in die Gesamtwertung ein. Damit beträgt der Anteil des Unterkriteriums an der Gesamtwertung 2.5 %. Doppelbewertungen sind ausgeschlossen. |
| Berechnung der Hauptkriterien |
| Informationssicherheit: S-ISMS 25 %, S-TECH 30 %, S-SOC 25 %, S-REG 20 %; das Hauptkriterium fließt mit 15 % ein. Digitale Souveränität und Betrieb: D-DAT 30 %, D-CLOUD 25 %, D-BETR 25 %, D-MULTI 20 %; das Hauptkriterium fließt mit 15 % ein. Innovation und KI: K-REIFE 35 %, K-GOV 40 %, K-INT 25 %; das Hauptkriterium fließt mit 10 % ein. Jede Frage wird nur in dem in ihrer Zeile bezeichneten Unterkriterium berücksichtigt. |
12 Erklärung
[ ] Die Angaben sind vollständig und nach bestem Wissen zutreffend.
[ ] Einschränkungen, Abhängigkeiten und nicht selbst erbrachte Leistungen sind offengelegt.
[ ] Benannte Nachweise können auf gesondertes Verlangen innerhalb der gesetzten Frist vorgelegt werden.
| Angabe | Eintragung |
|---|---|
| Unternehmen | Klicken oder tippen Sie hier, um Text einzugeben. |
| Erklärende Person/Funktion | Klicken oder tippen Sie hier, um Text einzugeben. |
| Ort und Datum | Klicken oder tippen Sie hier, um Text einzugeben. |