[Seite 1]
Informationssicherheitsanforderungen an Auftragnehmer der Unternehmensgruppe Stadtwerke Bielefeld (bestehend aus: Stadtwerke Bielefeld GmbH, moBiel GmbH, BBF Biele- felder Bäder und Freizeit GmbH, BITel Gesellschaft für Telekommunikation mbH, Bielefelder Netz GmbH, Interargem GmbH, MVA Bielefeld-Herford GmbH und Enertec Hameln GmbH)
Letzte Änderung: 21.07.2026
1 Generelle Verantwortlichkeit
Der Auftragnehmer trägt die Verantwortung dafür, dass er sämtliche durch den Auftraggeber in diesem Dokument festgelegten Anforderungen und Vorgaben einhält. Hierzu zählt insbe- sondere seine Verpflichtung, im Rahmen seiner Leistungserbringung für die Unternehmen der Unternehmensgruppe Stadtwerke Bielefeld (SWB-Gruppe) die jeweils gültigen rechtlichen Vorgaben sowie die jeweils aktuellen Standards zur Informationssicherheit zu beachten und angemessen zu berücksichtigen.
Ziel dieser Verpflichtung ist es sicherzustellen, dass der Auftragnehmer Produkte liefert und Dienstleistungen erbringt, die die Integrität, die Vertraulichkeit, die Verfügbarkeit, die Authen- tizität und die Belastbarkeit aller im Kontext der Leistungserbringung und des Schutzes des eigenen Unternehmens relevanten, schutzbedürftigen Informationen und Systeme des Auf- traggebers (nachfolgend „Schutzziele“ genannt) nicht beeinträchtigen.
2 Gewährleistung eines dem Leistungsgegenstand angemessenen In- formationssicherheitsniveaus
Der Auftragnehmer ist verpflichtet, alle im Kontext der Leistungserbringung für den Auftragge- ber relevanten Informationen und Systeme nach dem jeweils aktuellen Stand der Technik ge- gen unberechtigten Zugriff, Veränderung, Zerstörung und sonstigen Missbrauch zu sichern, um die Leistungserbringung sicherzustellen.
Dabei trifft der Auftragnehmer geeignete und angemessene technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau hinsichtlich der Schutzziele zu gewährleisten.
Organisatorische und technische Vorkehrungen sind angemessen, wenn der dafür erforderli- che Aufwand nicht außer Verhältnis zum Risiko des Nichterreichens der Schutzziele steht.
Der Auftragnehmer verfolgt dabei einen kontinuierlichen Verbesserungsprozess, d. h. er über- prüft ständig alle Einflussparameter mit dem Ziel, sein Sicherheitsniveau zu verbessern.
2.1 Grundlegende Anforderungen an die Informationssicherheit
• Je nach Art und Schutzbedarf der Informationen bzw. der Bedeutung der Leistungen des Auftragnehmers für den Geschäftsbetrieb des Auftraggebers kann der Auftraggeber vom Auftragnehmer ein besonderes Maß an Sicherungsmaßnahmen sowie einen geeigneten Nachweis über ein angemessenes Informationssicherheitsniveau im Betrieb des Auftrag- nehmers verlangen, insbesondere durch Vorlage geeigneter Zertifikate1. • Der Auftragnehmer sichert unabhängig von vorgenannten Nachweisen zu, dass
1 z.B. ISO/IEC 27001, IT-Grundschutz, ISIS12 etc.
[Seite 2]
o in seiner Organisation alle erforderlichen Rollen, Verantwortlichkeiten und Kompeten- zen mit Bezug zur Informationssicherheit festgelegt und bekannt sind, o bezüglich der Zugangssteuerung in seiner Organisation mindestens folgende Maßnah- men etabliert sind:
▪ Dokumentierte Freigabeprozesse für Berechtigungen auf Systeme und Informatio- nen ▪ Prozesse zur zeitnahen Löschung von Zugriffsrechten bei Austritt oder Abteilungs- wechsel ▪ Angemessene Authentisierungsverfahren mit angemessener Passwortkomplexität und -gültigkeit und höheren Anforderungen an administrative Zugänge ▪ Automatische Bildschirmsperre nach Inaktivität ▪ Jederzeitige (auch spätere) eindeutige Nachvollziehbarkeit der Identität der Person, die zu einem bestimmten Zeitpunkt einen Zugang genutzt hat.
o alle im Rahmen der Leistungserbringung eingesetzten Beschäftigten bezüglich der zu beachtenden Aspekte der Informationssicherheit sensibilisiert und unterwiesen wurden und entsprechende Lernzielkontrollen den Erfolg der Maßnahmen bestätigten.
o alle im Rahmen der Leistungserbringung eingesetzten Beschäftigten eine Verpflich- tungserklärung zur Einhaltung der Vorgaben zur Informationssicherheit und zur Wah- rung der Vertraulichkeit unterzeichnet haben, die, soweit gesetzlich zulässig, auch über das Ende ihres Beschäftigungsverhältnisses hinaus fortbesteht.
o angemessene und ausreichende Vorkehrungen zur physischen Sicherheit aller für die Leistungserbringung erforderlichen, schutzbedürftigen Informationen und Systeme ge- troffen wurden (sowohl bei stationärer Verarbeitung als auch beim Transport), insbe- sondere hinsichtlich ▪ elementarer Gefährdungen (Feuer, Wasser, Blitz, Sturm, Katastrophen etc.), ▪ höherer Gewalt (Temperatur, Feuchte, Korrosion, sonstige Umwelteinflüsse etc.), ▪ technischem Versagen (Ausfall Versorgungseinrichtungen etc.) und ▪ vorsätzlichen Handlungen (Einbruch, Sabotage, Diebstahl etc.).
o der Zutritt zu Bereichen mit schutzbedürftigen Informationen oder Systemen jeweils nur auf einen autorisierten, besonders vertrauenswürdigen Personenkreis beschränkt ist.
o nicht mehr benötigte schutzbedürftige Informationen und Datenträger in einer Form ge- löscht bzw. vernichtet werden, dass ausgeschlossen ist, dass gelöschte bzw. vernich- tete Daten von Dritten unautorisiert wiederhergestellt werden können.
o angemessene DV-technische Sicherheitsmaßnahmen zum Schutz aller für die Leis- tungserbringung erforderlichen, schutzbedürftigen Informationen und Systeme getrof- fen wurden, insbesondere durch ▪ den Einsatz von geeigneten Firewalls und aktueller Virenschutz-Software ▪ den Einsatz ausschließlich von der Organisation geprüfter und freigegebener Hard- und Software ▪ aktuelles Patch-Management ▪ geeignete System-Härtung
Seite 2 von 7
Informationssicherheitsanforderungen Auftragnehmer der Unternehmensgruppe Stadtwerke Bielefeld
Lieferung und zugehörige Dienstleistung
[Seite 3]
▪ angemessene Authentisierungs-Maßnahmen ▪ geprüfte Datensicherungs- und Wiederherstellungs-Mechanismen
o ein Inventar- / Wertverzeichnis aller schutzbedürftigen Informationen und Systeme, die für die Leistungserbringung relevant sind, vorliegt und in der Organisation bekannt ist.
• Der Auftragnehmer hat dem Auftraggeber jegliche Abweichungen von den in diesem Do- kument vereinbarten Sicherheitsanforderungen unverzüglich in Textform zu melden.
• Schwachstellen Management
Der Auftragnehmer hat alle Aspekte seiner Leistungserbringung einer kontinuierlichen Prü- fung auf Schwachstellen zu unterziehen und so schnell wie möglich auf neu erkannte Schwachstellen zu reagieren.
Hierzu sichtet er kontinuierlich Quellen für Sicherheitsempfehlungen und bewertet diese hinsichtlich der gegenüber dem Auftraggeber zu erbringenden Leistungen.
Der Umfang der Prüfung hat jede potenzielle Schwachstelle zu umfassen, die Einfluss auf die Schutzziele sowohl des Auftraggebers als auch des Auftragnehmers hat oder haben kann.
• Meldungen zu Sicherheitsvorfällen
Der Auftragnehmer ist verpflichtet, Sicherheitsvorfälle in seiner Organisation, die Einfluss auf die Schutzziele des Auftragnehmers haben oder haben können, unverzüglich per E- Mail an den Auftraggeber (Kontakt: cert@stadtwerke-bielefeld.de) zu melden. Die Meldung muss mindestens Art und Zeitpunkt des Vorfalls, betroffene Systeme, betroffene Informa- tionen/Daten, bekannte oder vermutete Auswirkungen auf die Schutzziele, bereits ergrif- fene Sofortmaßnahmen, geplante weitere Maßnahmen sowie einen fachlich zuständigen Ansprechpartner enthalten. Der Auftragnehmer hat den Auftraggeber fortlaufend über we- sentliche neue Erkenntnisse und den Stand der Abhilfemaßnahmen zu informieren.
• Audit
Der Auftraggeber ist berechtigt, sich jederzeit vor und während der Leistungserbringung in angemessener Weise die Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in der Vereinbarung festgelegten Verpflich- tungen seitens des Auftragnehmers nachweisen zu lassen.
Der Auftragnehmer ermöglicht hierzu dem Auftraggeber auf Verlangen, sich auch vor Ort von der Einhaltung der Verpflichtungen und Zusicherungen zu überzeugen. Der Auftrag- nehmer hat die Untersuchungen des Auftraggebers unentgeltlich zu unterstützen und Mit- wirkungsleistungen, wie Auskünfte oder Einsichtnahme in die gespeicherten Informationen und Daten, zu erbringen, soweit dies für das Audit erforderlich ist.
Seite 3 von 7
Informationssicherheitsanforderungen Auftragnehmer der Unternehmensgruppe Stadtwerke Bielefeld
Lieferung und zugehörige Dienstleistung
[Seite 4]
Der Auftraggeber ist berechtigt, sich nach rechtzeitiger Anmeldung maximal einmal pro Jahr während der üblichen Geschäftszeiten in einem Zeitraum von bis zu zwei Stunden und, soweit möglich und zumutbar, ohne Störung der betrieblichen Abläufe auch in den Betriebsstätten des Auftragnehmers einschließlich der IT-Systeme von der Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen zu überzeugen.
Der Auftraggeber ist berechtigt, die Audits durch ein externes, gegenüber Dritten zur Ver- schwiegenheit verpflichtetes und qualifiziertes Unternehmen durchführen zu lassen. Hier- bei darf es sich jedoch nicht um einen Mitwettbewerber im Rahmen der Leistungserbrin- gung handeln. Gesetzliche Kontroll- und Auskunftsrechte des Auftraggebers werden hier- durch weder eingeschränkt noch ausgeschlossen.
Der Auftraggeber übermittelt dem Auftragnehmer zeitnah den Auditbericht.
Der Auftragnehmer erhält anschließend Gelegenheit, Stellung zu festgestellten Unregel- mäßigkeiten zu nehmen und geeignete Vorschläge zum weiteren Umgang zu unterbreiten. Falls der Auftraggeber diesen Vorschlägen nicht zustimmt, ist der Auftragnehmer zur Nachbesserung verpflichtet.
Der Umfang des Audits bezieht sich ausschließlich auf für die Auftragserbringung relevante Dienste und Systeme. Die Überprüfung von Systemen anderer Kunden des Auftragneh- mers ist ausgeschlossen.
• Fernzugang
Fernzugänge zu Netzwerken des Auftraggebers werden ausschließlich vom Auftraggeber gesteuert und sind nur unter folgenden Bedingungen gestattet:
o Der Auftragnehmer stellt sicher, dass bei Fernzugängen die Schutzziele im Umgang mit den (materiellen und immateriellen) Vermögenswerten des Auftraggebers jederzeit ge- währleistet sind. Dies beinhaltet auch die nachträgliche Verwendung von Informationen, von denen der Auftragnehmer, während eines Fernzugriffes Kenntnis erlangt hat. Der Auftragnehmer ist für alle Aktionen und Vorgänge, die unter Verwendung der ihm zur Verfügung gestellten Benutzerkonten mit Fernzugangsfunktion ausgelöst oder durch- geführt werden, verantwortlich. o Grundsätzlich hat der Auftragnehmer jedem Nutzer ein eigenes Benutzerkonto zur Ver- fügung zu stellen. Ausnahmen von dieser Regel sind begründet vorab mit dem Auftrag- geber abzustimmen. o Wird vom Auftragnehmer ein Nutzerkonto nicht mehr benötigt, ist der Auftraggeber um- gehend darüber zu informieren, so dass das entsprechende Konto gesperrt werden kann. o Der Auftragnehmer hat Nutzerkonten mit Fernzugangsfunktion regelmäßig zu überprü- fen und den Auftraggeber über eventuell notwendige Änderungen zu informieren.
• Einsatz kryptographischer Absicherungen
Der Auftragnehmer stellt sicher, dass eine kryptographische Absicherung der Kommuni- kation und Ablage überall dort erfolgt, wo es gemäß dem Stand der Technik und des not-
Seite 4 von 7
Informationssicherheitsanforderungen Auftragnehmer der Unternehmensgruppe Stadtwerke Bielefeld
Lieferung und zugehörige Dienstleistung
[Seite 5]
wendigen Schutzniveaus erforderlich ist. Der Einsatz der kryptographischen Absicherung der Kommunikation ist insbesondere dann notwendig, wenn Informationen mit hohem Schutzbedarf (z.B. Steuerungsdaten der Kritischen Infrastruktur oder vertrauliche Daten) über öffentliche oder als nicht ausreichend sicher anzusehende Netzwerke übertragen werden.
Der Auftragnehmer ist verpflichtet, von ihm im Rahmen der Leistungserbringung einge- setzte Kryptographielösungen in seinem Schwachstellen-Management (s.o.) zu berück- sichtigen und hinsichtlich ihres Sicherheitsniveaus zu bewerten. Bei seinen Einschätzun- gen hat er sich an der BSI TR-02102 Kryptographische Verfahren: Empfehlungen und Schlüssellängen zu orientieren.
• Sicherheit in Auslagerungsprozessen
Beabsichtigt der Auftragnehmer, Teile der Betriebsleistung oder anderer Dienstleistungen für den Auftraggeber an Subunternehmen auszulagern, stellt er sicher, dass die in diesem Dokument beschriebenen Sicherheitsanforderungen in den Vereinbarungen mit den Sub- unternehmen berücksichtigt sind. Der Auftragnehmer bleibt für die Einhaltung der Informa- tionssicherheitsanforderungen durch eingesetzte Subunternehmen verantwortlich. Er hat sicherzustellen, dass der Auftraggeber oder ein von ihm beauftragter Dritter die Einhaltung der Anforderungen auch bei Subunternehmen überprüfen kann, soweit dies für die Leis- tungserbringung relevant ist und berechtigte Interessen Dritter gewahrt bleiben. Die von den Subunternehmen zu erfüllenden Sicherheitsanforderungen sind so zu definie- ren, dass die Sicherheitsstandards für die Daten und Leistungen des Auftraggebers jeder- zeit eingehalten werden und der Auftragnehmer seine eigenen Sicherheitsverpflichtungen gegenüber dem Auftraggeber vollständig erfüllen kann. Eine transparente Darstellung der durchgehenden Lieferkette einschließlich aller Subunternehmen ist dem Auftraggeber vor Auftragserteilung nachzuweisen.
Alle vom Auftragnehmer beabsichtigten Auslagerungen von Betriebs- oder Dienstleistun- gen an Subunternehmer bedürfen der vorherigen Zustimmung des Auftraggebers.
2.2 Erweiterte Anforderungen bei Leistungen mit Bezug zu IT-, OT-Systemen, Soft- ware und vernetzten Komponenten
Erbringt der Auftragnehmer eine der folgenden Leistungen für den Auftraggeber:
• Bereitstellung einer SaaS-/Cloud-Software oder -Lösung • Entwicklung von Software und IT- sowie OT-Systemen • Betrieb von Software oder IT- und OT-Systemen • Bereitstellung von vernetzbaren IT- und OT-Systemen und Komponenten • Fernwartung von IT- oder OT-Systemen
so muss zwingend die Checkliste Freigabecheckliste Informationssicherheit SWB-Gruppe, Version 2.4 in ausgefüllter und durch den Auftraggeber akzeptierter Form vorliegen. Die Checkliste wird im Rahmen oder im Vorfeld des Ausschreibungs- und Beauftragungsprozes- ses zusammen mit einer Verschwiegenheitserklärung (NDA) an die potenziellen Auftragneh- mer übermittelt. Seite 5 von 7
Informationssicherheitsanforderungen Auftragnehmer der Unternehmensgruppe Stadtwerke Bielefeld
Lieferung und zugehörige Dienstleistung
[Seite 6]
Darüber hinaus gelten folgende generelle Anforderungen für die in Ziffer 2.2 genannten Arten der Leistungserbringung:
• Aktualität der Software
Der Auftragnehmer stellt sicher, dass alle in Ziffer 2.2 genannten Leistungen zum Zeitpunkt der Abnahme dem aktuellen Herstellerstand entsprechen. Der Patchstand darf grundsätz- lich nicht älter als 12 Monate sein. Für Systeme mit erhöhtem Schutzbedarf, direkter Inter- netanbindung oder sicherheitskritischer Funktion kann der Auftraggeber einen maximalen Rückstand von 3 bis 6 Monaten verlangen.
Der Auftragnehmer verpflichtet sich, für alle im Rahmen der Leistungserbringung bereitge- stellten Hard‑ und Softwarekomponenten während des gesamten vorgesehenen Produkt- lebenszyklus Sicherheitsupdates, Patches und sonstige sicherheitsrelevante Korrekturen bereitzustellen. Dies gilt mindestens bis zum vom Hersteller veröffentlichten Ende des Pro- duktlebenszyklus (End of Support / End of Life).
Der Auftragnehmer informiert den Auftraggeber unverzüglich über bekannte Sicherheitslü- cken sowie verfügbare Sicherheitsupdates und stellt diese innerhalb angemessener Fris- ten bereit. Der Wegfall der Unterstützung durch Vorlieferanten oder Hersteller entbindet den Auftragnehmer nicht von seiner Verpflichtung, die vereinbarten Sicherheitsanforderun- gen und die sichere Nutzbarkeit der gelieferten Leistung aufrechtzuerhalten.
Beabsichtigt der Auftragnehmer die Einstellung des Supports oder die Erklärung eines End-of-Life-Zustands, so hat er den Auftraggeber mindestens 24 Monate im Voraus schrift- lich zu informieren und geeignete Ersatz‑, Migrations- oder Weiterbetriebsmaßnahmen aufzuzeigen, die einen weiterhin sicheren Betrieb gewährleisten.
• Patchmanagement und End of Life
Falls der Drittanbieter eines Betriebssystems oder einer anderen Komponente (Software, Datenbanken, Anwendungen etc.), die entweder im Leistungsumfang des Auftragnehmers inkludiert ist oder vom Auftragnehmer für seine Leistungserbringung vorausgesetzt wurde, das Ende des Lifecycles verkündet, ist vom Auftragnehmer sicherzustellen, dass die An- forderungen des Auftraggebers weiterhin erfüllt werden (z.B. weitere Funktionsfähigkeit der Systeme, keine Einschränkungen der Leistungserbringung des Auftraggebers etc.).
In Fällen, in denen der Auftragnehmer nur Anwendungen und / oder andere Funktionalitä- ten liefert und der Auftraggeber oder sonstige Drittanbieter in seinem Namen für das Up- date-Management auf den darunterliegenden Schichten wie Betriebssystem verantwortlich ist, gewährleistet der Auftragnehmer eine kontinuierliche Funktionsfähigkeit seiner gelie- ferten Leistung auch bei Patches der ggf. darunterliegenden Systemplattform.
• Unerwünschte Funktionen
Der Auftragnehmer sichert zu, dass die im Rahmen der Leistungserbringung gegebenen- falls eingesetzte Hard- und Software frei von Funktionen ist, die die Schutzziele gefährden, beispielsweise durch Funktionen
Seite 6 von 7
Informationssicherheitsanforderungen Auftragnehmer der Unternehmensgruppe Stadtwerke Bielefeld
Lieferung und zugehörige Dienstleistung
[Seite 7]
• zum unerwünschten Absetzen/Ausleiten von Daten • zur unerwünschten Veränderung/Manipulation von Daten oder der Ablauflogik oder • zum unerwünschten Einleiten von Daten oder unerwünschte Funktionserweiterungen
„Unerwünscht“ in diesem Sinne ist eine Funktion, die weder vom Auftraggeber gefordert noch vom Auftragnehmer unter konkreter Beschreibung der Funktion und ihrer Auswirkun- gen angeboten, noch im Einzelfall vom Auftraggeber ausdrücklich autorisiert („opt-in“) wurde.
• Einsatz von KI-Funktionen und KI-Anwendungen
Umfasst der in Ziffer 2.2 genannte Leistungsumfang den direkten Einsatz von KI-Lösun- gen (KI-Funktionen oder KI-Anwendungen), so ist dies transparent durch den Auftrag- nehmer gegenüber dem Auftraggeber darzustellen.
Der Auftragnehmer hat für alle im Leistungsumfang enthaltenen KI-Funktionen oder KI- Anwendungen eine dokumentierte Risikobewertung durchzuführen und dem Auftragge- ber auf Anfrage vorzulegen. Die Bewertung muss mindestens die verarbeiteten Datenar- ten, den Grad der autonomen Entscheidungsfindung, bestehende Systemzugriffe, die Auswirkungen fehlerhafter Ergebnisse berücksichtigen. Der Auftragnehmer hat geeignete technische und organisatorische Maßnahmen zur Begrenzung identifizierter Risiken nachzuweisen. Änderungen, die zu einer erhöhten Risikoeinstufung führen können, sind dem Auftraggeber unverzüglich anzuzeigen und bedürfen einer erneuten Bewertung.
3 Schlussbestimmungen
Ist eine der genannten Regelungen unwirksam oder unvollständig, so bleiben die weiteren Regelungen hiervon im Übrigen wirksam. An die Stelle der unwirksamen Regelung tritt die gesetzliche Regelung.
Sämtliche mit diesem Dokument in Zusammenhang stehenden finanziellen Aufwände des Auf- tragnehmers werden nicht gesondert vergütet, sondern sind mit Zahlung der Vergütung nach dem Hauptvertrag abgegolten.
Änderungen dieses Dokuments, des Verarbeitungsgegenstandes oder Verfahrensänderun- gen sind nur einvernehmlich möglich und bedürfen der Schriftform.
Seite 7 von 7
Informationssicherheitsanforderungen Auftragnehmer der Unternehmensgruppe Stadtwerke Bielefeld
Lieferung und zugehörige Dienstleistung