Formblatt zu den datenschutzrechtlichen und informationssicherheitstechnischen Voraussetzungen
Bewerber / Bieter:
Auftragsnummer: 2026-008-EK
Auftraggeber: Klinikum der Stadt Ludwigshafen am Rhein gGmbH
Leistung: Radionuklidlabor
Die nachstehenden Mindestanforderungen werden erfüllt, wenn diese die Anforderungen an den Betrieb kritischer Infrastrukturen, der Zertifizierung nach ISO 27001 und sämtlichen gesetzlichen Verpflichtungen zum Datenschutz und der Informationssicherheit genügen.
| Anforderung | Erfüllt | Bemerkung/Erläuterung | |
|---|---|---|---|
| Ja | Nein | ||
| 1. Allgemeine Maßnahmen | |||
| Wie viele Beschäftigte umfasst das Unternehmen? | Anzugeben sind nur diejenigen Beschäftigten, die mit der Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten befasst sind. Anzahl Beschäftigte: | ||
| Ist ein Datenschutz- und/oder ein Informationssicherheitsbeauftragter bestellt? (sofern eine gesetzliche Verpflichtung zur Bestellung besteht, handelt es sich um eine Mindestanforderung) | [ ] | [ ] | Bitte Name(n) und Kontaktdaten angeben: |
| Die Mitarbeiter sind nachweislich auf das Datengeheimnis verpflichtet. (Mindestanforderung) | [ ] | [ ] | Bitte Verpflichtungsmuster beilegen. |
| Die Mitarbeiter werden laufend in die Anforderungen des Datenschutzes und der Informationssicherheit eingewiesen. (Mindestanforderung) | [ ] | [ ] | Nachweise liegen vor? [ ] Ja [ ] Nein |
| Besteht ein Testat über eine gesetzeskonforme Umsetzung des Datenschutzes und/oder der Informationssicherheit im Unternehmen? | [ ] | [ ] | Welche Stelle hat das Testat ausgestellt? Auf welcher Normengrundlage wurde das Testat ausgestellt? Beruht das Testat auf einem externen Audit? [ ] Ja [ ] Nein Wie lang ist das Zertifikat noch gültig? |
| Welche Unternehmensbereiche umfasst das Zertifikat? | Bitte Kopie beifügen. | ||
| Es gibt ein Datenschutzkonzept bzw. ein Datenschutzhandbuch zur Regelung und Umsetzung des Datenschutzes im Unternehmen. (Mindestanforderung) | [ ] | [ ] | Ist der Datenschutz ggf. durch andere Verfahrensanweisungen geregelt? [ ] Ja [ ] Nein Welche? [ ] Liegt bei [ ] Steht zur Einsichtnahme zur Verfügung |
| Es ein IT-Sicherheitshandbuch oder bestehen sonstige Regelungen für die technischen und organisatorischen Maßnahmen zum Datenschutz. (Mindestanforderung) | [ ] | [ ] | [ ] Liegt bei [ ] Steht zur Einsichtnahme zur Verfügung |
| 2. Unterauftragnehmer | |||
| Werden Unterauftragnehmer eingesetzt? | [ ] | [ ] | Wenn ja, welche? |
| Werden Unteraufragnehmern dieselben Verpflichtungen auferlegt, die zwischen dem Auftraggeber und dem Auftragnehmer festgelegt sind? (Mindestanforderung) | [ ] | [ ] | |
| Auch mit Wartungs- und Pflegedienstleistungsunternehmen bestehen die erforderlichen datenschutzrechtlichen Vereinbarungen bzw. Verpflichtungen. (Mindestanforderung) | [ ] | [ ] | Bitte beschreiben Sie kurz in welcher Art diese bestehen |
| 3. Technische und organisatorische Maßnahmen | |||
| 3.1 Zutrittskontrolle | |||
| Sind Gelände und Gebäude außerhalb der Betriebszeit gesichert? | [ ] | [ ] | [ ] Wachpersonal [ ] Bewegungsmelder/Alarmanlage [ ] Videoüberwachung [ ] Sonstiges: |
| Zu- und Ausgänge sind gesichert. (Mindestanforderung) | [ ] | [ ] | Gebäudeeingangstüren [ ] Ja [ ] Nein Fluchttüren/Notausgänge [ ] Ja [ ] Nein Entfällt Lüftungsöffnungen [ ] Ja [ ] Nein [ ] Entfällt Feuerleitern und -treppen [ ] Ja [ ] Nein [ ] Entfällt |
| Besteht eine Regelung/Verfahren zur Besucherführung? | [ ] | [ ] | [ ] Empfang [ ] Besucherbuch [ ] Besucherausweis [ ] Persönliche Besucherführung [ ] Sonstiges: |
| Fremdpersonal, z.B. Wartungs- und Servicepersonal, wird beaufsichtigt. (Mindestanforderung) | [ ] | [ ] | |
| Zutrittssicherungen sind eingerichtet. (Mindestanforderung) | [ ] | [ ] | [ ] Zutrittskontrollsystem [ ] mit [ ] ohne Sicherheitszonen [ ] Zentrales Schließsystem [ ] Sicherheitsschlösser [ ] Sonstiges: |
| Sicherheitsbereiche sind definiert, z.B. Serverraum, TK-Anlage, Archive, Netzwerkverteiler. (Mindestanforderung) | [ ] | [ ] | Welche? |
| Diese Sicherheitsbereiche sind gegen unbefugten Zutritt besonders geschützt. (Mindestanforderung) | [ ] | [ ] | Bitte beschreiben Sie kurz wie der Zutrittsschutz erfolgt. (Art des Schutzes?) |
| Die Zutrittsberechtigungen zu diesen Sicherheitsbereichen sind geregelt und dokumentiert (Mindestanforderung) | [ ] | [ ] | |
| Werden zu diesen Sicherheitsbereichen Anwesenheitsaufzeichnungen geführt? | [ ] | [ ] | In welcher Form? |
| Sind sonstige Schutzmaßnahmen eingerichtet? | [ ] | [ ] | [ ] Pförtner [ ] Wachdienst [ ] Alarmanlage [ ] Sonstiges: |
| 3.2 Zugangskontrolle | |||
| Nebenstehende Maßnahmen zur Zugangskontrolle zum Desktop und zu den vernetzten Systemen sind eingerichtet. (Mindestanforderung) | [ ] | [ ] | [ ] Userkennung [ ] Sicheres Passwort [ ] Passwortwiederholungssperre nach Fehlversuchen [ ] Andere Verfahren: |
| Für alle Zugriffsebenen (Netz, Server, Anwendungen) bestehen Passwortregeln zur Gewährleistung eines sicheren und vertraulichen Passworts. (Mindestanforderung) | [ ] | [ ] | |
| Wird die Einhaltung dieser Regeln auf allen Ebenen bei der Eingabe automatisiert kontrolliert? | [ ] | [ ] | |
| Eine zeitgesteuerte passwortgeschützte Pausenschaltung (Bildschirmschoner) ist eingerichtet. (Mindestanforderung) | [ ] | [ ] | |
| Die Systeme sind durch nebenstehende Maßnahmen gegen unbefugtes Eindringen geschützt. (Mindestanforderung) | [ ] | [ ] | [ ] Firewall [ ] Virenscanner [ ] Schnittstellenschutz (Netzwerkschalt schränke, Schutz nicht benötigter Netzwerksteckdosen etc.) In welcher Form? |
| Sind Protokollierungen/ Überwachungsmaßnahmen sind eingerichtet. (Mindestanforderungen) | [ ] | [ ] | [ ] Testung, Freigabe und Einrichtung von Verfahren [ ] Einrichtung von Benutzern und Rechten [ ] Systemänderungen [ ] Zugriffe und Zugriffsversuche [ ] Systemüberwachung [ ] Protokollierung der Administratortätigkeiten [ ] An- und Abmeldung an Datenverarbeitungsverfahren |
| Protokolldaten werden revisionssicher und zugriffsgeschützt gespeichert (z.B. durch Syslog-Server). (Mindestanforderung) | [ ] | [ ] | |
| Die Protokolldaten werden zeitnah und regelmäßig auf sicherheitsrelevante Aktionen und Vorgänge überprüft (Mindestanforderung) | [ ] | [ ] | [ ] Automatisiert [ ] Manuell Durch wen? |
| Ein zuverlässiger und aktueller Internetschutz ist eingerichtet (Mindestanforderung) | [ ] | [ ] | [ ] Firewall [ ] Virenscanner |
| Es bestehen Regelungen zur sicheren E-Mail- und Internetnutzung (Mindestanforderung) | [ ] | [ ] | Art und Inhalt der Regelungen? |
| 3.3 Zugriffskontrolle | |||
| Es besteht ein dokumentiertes Berechtigungskonzept, das sicherstellt, dass jeder Mitarbeiter nur über die Zugriffsbefugnisse verfügt, die er zur Aufgabenerledigung benötigt (Mindestanforderung). | [ ] | [ ] | In welcher Form? Soweit erforderlich auch differenziert nach [ ] Leseberechtigung [ ] Schreibberechtigung [ ] Sonstigen Berechtigungen, ggf. welche |
| Die Urlaubsvertretung ist mit entsprechender Rechtegestaltung geregelt (Mindestanforderung). | [ ] | [ ] | |
| Die festgelegten Berechtigungen und deren Veränderungen sind nachvollziehbar dokumentiert und werden regelmäßig überprüft (Mindestanforderung). | [ ] | [ ] | In welcher Form? |
| Eine Rechteverwaltung ist eingerichtet, die bei einer Veränderung des Aufgabengebiets eine zeitnahe Aufhebung nicht mehr benötigter Rechte sicherstellt (Mindestanforderung). | [ ] | [ ] | In welcher Form? |
| 3.4 Weitergabekontrolle | |||
| Daten werden bei ihrer Übertragung vor unbefugter Kenntnisnahme geschützt (Mindestanforderung). | [ ] | [ ] | [ ] Verschlüsselung [ ] Sichere Verbindungen, z.B. VPN [ ] Sonstige Maßnahmen: |
| Datenübermittlungen werden nachvollziehbar protokolliert und kontrolliert (Mindestanforderung). | [ ] | [ ] | Wie und in welcher Form? |
| Bei Datenträgertransporten werden die erforderlichen Sicherheitsvorkehrungen beachtet (Mindestanforderung). | [ ] | [ ] | [ ] Verschlüsselung der Daten [ ] Sicherheitsbehälter [ ] Übergabeprotokolle, Lieferscheine [ ] Sicherer Versand, nur eigene oder geprüfte Kuriere [ ] Vollständigkeitskontrollen [ ] Ein- und Ausgangsbücher [ ] Sonstiges: |
| Schnittstellen von PCs und externe Laufwerke (mobile Festplatten, USB-Sticks etc.) werden gegen Missbrauch geschützt (Mindestanforderung). | [ ] | [ ] | [ ] Sperrung unbefugter Geräte [ ] Protokollierung der Nutzung der Geräte [ ] Verschlüsselung der mobilen Datenträger [ ] Überwachung/Protokollierung des Datenstroms an USB-Schnittstellen [ ] Sicherheitsrichtlinien [ ] Sonstiges: |
| Die sichere Nutzung mobiler Datenträger ist geregelt (Mindestanforderung). | [ ] | [ ] | Wie und in welcher Form? |
| Eine sichere Löschung, Vernichtung und Entsorgung von Datenträgern gewährleistet(Mindestanforderung) . | [ ] | [ ] | Wie sind die Löschung, Vernichtung und Entsorgung geregelt? |
| Ist die Löschung/Vernichtung von Datenträgern an ein Dienstleistungsunternehmen vergeben? | [ ] | [ ] | |
| Besteht hierzu ein Vertrag/Auftrag nach den Vorgaben des Art. 28 DSGVO? | [ ] | [ ] | |
| Die sichere und vertrauliche Außerbetriebnahme von Geräten mit Datenträgern (z.B. Server, Multifunktionsgeräte etc.) sind geregelt (Mindestanforderung). | [ ] | [ ] | Art und Inhalt der Regelungen: |
| Bei Fernwartung erfolgt der Zugriff auf die Kundendaten und Kundensysteme nur über sichere Leitungen (Mindestanforderung). | [ ] | [ ] | Wie sind die Leitungen gesichert? [ ] VPN [ ] Verschlüsselung [ ] Sonstiges: Ist dies auch bei einem Zugriff von anderen Stellen aus der Fall, z.B. im Home-Office-Betrieb? [ ] Ja [ ] Nein |
| Bei Fernwartung ist eine sichere Identifizierung/Authentifizierung gewährleistet (Mindestanforderung). | [ ] | [ ] | Bitte das Verfahren kurz beschreiben: |
| Bei Fernwartung werden die Leitungen durch geeignete Sicherheitseinrichtungen, z.B. Protokollierung und Protokollauswertung, überwacht (Mindestanforderung). | [ ] | [ ] | Art der Maßnahmen: |
| 3.5 Eingabekontrolle | |||
| Die Einwahlvorgänge in Kundensysteme werden nachvollziehbar protokolliert und überwacht (Mindestanforderung). | [ ] | [ ] | In welcher Form? |
| Die Benutzung von Datenverarbeitungssystemen und die Eingabe von Daten protokolliert (Mindestanforderung). | [ ] | [ ] | Protokollierung der Dateibenutzung: [ ] Ja [ ] Nein Protokollierung von Eingaben und Veränderungen: [ ] Datenfeldbezogen [ ] Datensatzbezogen [ ] Dateibezogen [ ] Keine Protokollierung |
| 3.6 Auftragskontrolle | |||
| Wird die Durchführung des Kundenauftrags/der Serviceaktion nachvollziehbar überwacht, um eine auftragskonforme Erledigung zu gewährleisten? | [ ] | [ ] | In welcher Form? |
| Geeignete Protokollierungs- und Auswertungsmechanismen sind eingerichtet, um unzulässige Zugriffe auf Kundensysteme und Kundendaten zu überwachen (Mindestanforderung). | [ ] | [ ] | In welcher Form? |
| Bei einer Vergabe von Serviceaufträgen (z.B. IT-Service) werden die Vorgaben des Art. 28 DSGVO beachtet (Mindestanforderung). | [ ] | [ ] | [ ] Auswahl des Auftragnehmers [ ] Überprüfung der technischen und organisatorischen Maßnahmen beim Auftragnehmer [ ] Abschluss eines Vertrages gemäß Art. 28 DSGVO [ ] Regelmäßige Überprüfung des Auftragnehmers |
| 3.7 Verfügbarkeitskontrolle | |||
| Kundendaten sind durch geeignete Sicherungsverfahren vor Zerstörung und Verlust geschützt (Mindestanforderung). | [ ] | [ ] | z.B.: [ ] Gespiegelter Datenbestand [ ] Regelmäßige Sicherungskopien/ Backup-Lösung [ ] Sonstiges Gibt es ein Sicherungskonzept, in dem die Art und Weise einer regelmäßigen Sicherung und die Rekonstruktion der Daten festgelegt ist? [ ] Ja [ ] Nein |
| Sicherungsbestände werden sicher verwahrt (Mindestanforderung). | [ ] | [ ] | In welcher Weise (z.B. Tresor der Güteklasse S120P für Papierdokumente oder S120D bzw. S120DIS für Datenträger nach Brandprüfung gemäß ECB:S/EN 1047-1)? |
| Besteht ein geregeltes Verfahren zur Datenträgerverwaltung mit einer Nachweisführung über Eingang, Ausgang, Versand und Bestand von Datenträgern? | [ ] | [ ] | |
| Maßnahmen zur Sicherung des Serverraums und der IT-Infrastruktur sind eingerichtet (Mindestanforderung). | [ ] | [ ] | [ ] Unterbrechungsfreie Stromversorgung mit Überspannungsschutz [ ] Klimaanlage mit Überwachung der Funktionen [ ] Branderkennung [ ] Brandschutz, Feuerlöscheinrichtungen [ ] Automatischer Shutdown (Notabschaltung) der Systeme [ ] Automatische Stromabschaltung [ ] Rechenzentrum ISO 27001 zertifiziert Sonstiges: |
| Es gibt ein Notfallhandbuch mit Alarmierungs- und Wiederanlaufplan (Mindestanforderung). | [ ] | [ ] | |
| Das Notfallhandbuch ist transportabel und schnell erreichbar, z.B. auf einem mobilen Datenträger, oder sicher ausgelagert (Mindestanforderung). | [ ] | [ ] | |
| 3.8 Datentrennung | |||
| Die Daten der verschiedenen Kunden sind in geeigneter Weise voneinander getrennt, um eine getrennte Verarbeitung zu gewährleisten (Mindestanforderung). | [ ] | [ ] | Art der Trennung: Logische Trennung auf [ ] Betriebssystemebene [ ] Anwendungsebene [ ] Mandantentrennung [ ] Physikalische Trennung |
| Test- und Entwicklungssysteme sind von Produktivsystemen getrennt? | [ ] | [ ] | |
| Es wird sichergestellt, dass Produktivdaten nicht im Test- und Entwicklungssystem genutzt werden (Mindestanforderung). | [ ] | [ ] |
Wir erklären:
[ ] Sofern unsere derzeitigen Maßnahmen zum Datenschutz und Informationssicherheit die vorgenannten Mindestanforderungen nicht erfüllt, bestätigen wir, dass wir uns im Fall der Auftragserteilung verpflichten, die Mindestanforderungen, insbesondere zur Aufrechterhaltung der Zertifizierung der Auftraggeber nach ISO 27001, innerhalb von maximal sechs Monaten nach Zuschlagserteilung einzuführen und umzusetzen.
[ ] Im Fall der Auftragserteilung verpflichten wir uns, unsere Maßnahmen zum Datenschutz und zur Informationssicherheit bei künftigen Änderungen der gesetzlichen Anforderungen in angemessener Zeit derart anzupassen, dass die dann geltenden gesetzlichen Anforderungen sowie insbesondere die Anforderungen an den Betrieb kritischer Infrastrukturen, darunter sämtliche Maßnahmen zur Aufrechterhaltung der Zertifizierung der Auftraggeber nach ISO 27001, erfüllt werden.
Bemerkungen des Bewerbers:
Anlagen:
Ort, Datum
Person des Erklärenden (Vor- und Zuname, Funktion)