Z25-10-2026-0020 Atlassian Confluence und Plug-ins Lizenzverlängerung
| Informationssicherheitsmanagement der Bundesnetzagentur Besondere Bestimmungen zur Wahrung der Informationssicherheit |
Dokumentinformationen
| Sperrvermerk | Offen in der BNetzA und beim Vergabeverfahren (etc.) |
| Dateiname | 2025_Version_0.82-Liz-BesBest_Informationssicherheit.docx |
| Letzte Bearbeitung (Speicherdatum) | 18.09.2025 14:52:00 |
| Aktuelles Datum | 21.10.2026 |
| Seitenzahl | 8 |
| Dokument-Status und –Freigabe | |||
| Status | Datum | Name und Abteilung/Firma | |
| Erstellt | draft | 14.03.2017 | IS-SIB |
| Revision | reviewed | 30.05.2025 | ISM |
| Freigabe | 30.05.2025 | ITS-Sib |
| Änderungsnachweis | ||||
| Versions-Nr. | Status | Bearbeiter | Datum | Änderung / Bemerkung |
| 0.1 | draft | IS17-SIB | 14.03.2017 | Initiale Version |
| ….. | ||||
| 0.82-Liz | reviewed | ITS-Sib; ITS-Siba | 18.09.2025 | Überarbeitung |
Inhaltsverzeichnis
4. Schutz der Vertraulichkeit 6
Grundprinzipien
„Wenn Externe mit der Erbringung von (IT)-Dienstleistungen beauftragt werden … sind Fachkenntnis, Erfahrung, Zuverlässigkeit und Vertrauenswürdigkeit von großer Bedeutung. …. Die Einrichtungen vereinbaren in Verträgen bzw. in Verwaltungsvereinbarungen mit den IT-Dienstleistern und Dritten ein angemessenes Niveau zur Einhaltung der Informationssicherheit (UP BUND 2017 S. 19)“.
Der AN verpflichtet sich zur Einhaltung der Vorgaben für IT-Dienstleister aus dem UP Bund 2017 Kapitel 7. Die Verpflichtung erstreckt sich auch auf weitere Vertragspartner und Subunternehmer.
Die Mindestanforderungen gelten, soweit nicht in Gesetzen (z.B. TKG, BSIG) oder den Vertragsunterlagen an anderer Stelle (z.B. zur Wahrung des Daten- und Geheimschutzes, den BSI Mindeststandards oder den EVB-IT) strengere Vorgaben geregelt sind.
Dem Informationssicherheitsmanagement (ISM) der Bundesnetzagentur wird ermöglicht die Anforderungen zur Informationssicherheit zu überprüfen.
Bei Änderungen des Verfahrens, des Geschäftsprozesses oder der IT-Architektur, die Auswirkungen auf die Schaden-/ Risikobetrachtung, den Schutzbedarf oder die Sicherheitsanforderungen haben könnten, ist unverzüglich das ISM der Bundenetzagentur zu benachrichtigen.
In der folgenden Aufzählung werden die sonstigen Mindestanforderungen definiert:
IT-SiBe / ISB / ISMS
| Anforderung | Beschreibung |
| Benennung eines ISB / IT-SiBe | Der AN benennt für die vereinbarte Leistungserbringung einen Ansprechpartner für Informationssicherheit. Dieser hat informationssicherheitsrelevante Vorkommnisse im Zusammenhang mit der vereinbarten Dienstleistung unverzüglich an die/den zuständige/n IT-SiBe auf Seiten des Auftraggebers zu melden (UP BUND 2017 S. 19). Bei einer Auftragserfüllung durch einen Subunternehmer sind zusätzlich dessen Daten einzutragen. |
Benannter Informationssicherheitsbeauftragter (ISB / IT-SiBe / CISO) / Ansprechpartner für IT-Sicherheitsvorfälle des AN ist:
[Vorname, Name]
[Adresse]
[Telefonnummer]
[E-Mail / Funktionspostfach]
Benannter ISB / IT-SiBe der Bundesnetzagentur ist:
Bernhard Grote-Bautz
Tulpenfeld 4
53113 Bonn
Telefon (Mo bis Fr von 8.00 bis 16.30 Uhr): 0228 14 4137
E-Mail (bei Sicherheitsvorfällen): IT-SIMA@BNETZA.DE
Allgemeine Anforderungen
| Anforderung | Beschreibung |
|---|---|
| Definition der Modalverben MUSS und SOLLTE | MUSS-Regelung: Dieser Ausdruck bedeutet, dass es sich um eine Anforderung handelt, die unbedingt erfüllt werden muss (uneingeschränkte Anforderung). |
| SOLLTE-Regelung: Dieser Ausdruck bedeutet, dass eine Anforderung normalerweise erfüllt werden muss, es aber Gründe geben kann, dies doch nicht zu tun. Dies muss aber sorgfältig abgewogen und stichhaltig begründet werden. Eine Abweichung ist nur mit Zustimmung der AG unter Abwägung der Risiken möglich. | |
| Verbot der privaten Nutzung dienstlicher IT-Systeme | Werden im Rahmen der Vertragsabwicklung dem AN IT-Systeme und Kommunikationsverbindungen durch die AG zur Verfügung gestellt (z.B. APC, SINA WS, Internetzugang, E-Mail), dürfen diese nicht privat genutzt werden. |
| Verbot der Installation und Veränderung von zusätzlicher Hardware / Software | Werden im Rahmen der Vertragsabwicklung dem AN IT-Systeme und Kommunikationsverbindungen durch die AG zur Verfügung gestellt (z.B. APC, SINA WS, Internetzugang, E-Mail), dürfen ohne ausdrückliche, schriftliche Zustimmung der AG keine weiteren (Hardware-) Komponenten und/oder Software etc. angeschlossen bzw. installiert sowie keine Veränderungen und/oder Eingriffe an der Hardware oder Systemsoftware vorgenommen werden. |
| Speichern und Auswerten von Protokoll- und Logdaten | Die AG setzt den BSI Mindeststandard zur Protokollierung und Detektion von Cyber-Angriffen um. Insoweit werden auf allen IT-Systemen des AG Protokoll- und Logdaten gemäß § 5 Abs. 1 Satz 1 Nr. 1 i. V. m. Satz 4 BSIG erhoben und ausgewertet. |
| Fernwartung / (-zugriff) | Im Falle einer Fernwartung -ist die Anlage „Fernwartungs-RL für Ausschreibungen“ zu beachten. Auf Wunsch der AG ist auch nur eine geführte Remote-Unterstützung möglich. |
| Behebung von Sicherheitslücken und Stand der Technik (EOL) | Der AN informiert die AG sobald ihm Umstände bekannt werden, die die Sicherheit des Auftragsgegenstandes gefährden können (Sicherheitslücken, Cyber-Angriffe, drohende EoL Komponenten, Verdacht auf Manipulation innerhalb der Lieferkette o.ä.). Der AN informiert sich über anstehende bzw. bereitstehende Updates, drohende EoL Komponenten (etc.) selbstständig und informiert die AG rechtzeitig hierüber. |
| Lizensierung | Eine gegebenenfalls erforderliche Lizensierung von Produkten SOLLTE auch ohne Internetverbindung zum Produkt ermöglicht werden. |
| Verhalten bei Sicherheitsvorfällen | Im Falle eines Sicherheitsvorfalls wird jegliche Fernwartung /-zugriff und der digitaler Datenaustausch (WebSeiten, E-Mail, Austauschplattformen, Ticketsysteme) umgehend eingestellt und erst im Einvernehmen zwischen den Vertragspartnern wieder freigeschaltet. |
| Sicherheit der Lieferkette | Der AN verpflichtet sich, bezüglich des Vertragsgegenstandes die erforderlichen Maßnahmen zu ergreifen bzw. ergriffen zu haben, um Risiken für die Informationssicherheit auch innerhalb Lieferkette zu minimieren, z. B. durch Etablierung eines Cyber-Supply Chain Risk Managements (C-SCRM). |
Schutz der Vertraulichkeit
| Anforderung | Beschreibung |
|---|---|
| Gesicherte Kommunikation (Transport Layer Security) | Für die Kommunikation über das Internet ist zwingend der BSI Mindeststandard (MST) TLS in der jeweiligen gültigen Fassung vorgeschrieben. Der AN MUSS mindestens TLS 1.2 in Kombination mit Perfect Forward Secrecy (PFS) verwenden. Insbesondere MUSS der AN an seinen IT-Systemen die geforderte TLS-Verschlüsselung erzwingen, damit kein Rückfall auf einen älteren Standard (z.B. TLS 1.1; SSL) stattfinden kann. |
| Allgemeine Vertrau-lichkeit der Unterlagen, Umgang mit personenbezogenen Daten und Betriebs- und Geschäftsgeheimnissen | Soweit die weiteren Vertragsbestandteile nicht ausdrücklich eine abweichende Vorgabe beinhalten, wird der Schutzbedarf in allen Kategorien für den Leistungsgegenstand, die Vertragsunterlagen und die im Rahmen der Auftragsabwicklung ausgetauschten Informationen mit „Hoch“ festgelegt. Der AN speichert Unterlagen mit direkten Bezug zur Fachanwendung unter Berücksichtigung des Schutzbedarfes gemäß dem aktuellen Stand in der Informationssicherheit. Eine Vertraulichkeitsvereinbarung MUSS abgeschlossen werden. |
| Austauschplattformen | Eine Austauschplattform zwischen AN und AG ist nur dann geeignet, wenn sie den o.g. Schutzbedarf abbildet. |
| Unified Communication | Für Videokonferenzen mit Beschäftigten der AG SOLLTE auf deren Plattformen (derzeit WebEx und CMS-Bund) zurückgegriffen werden. |
| Einsatz von KI | Die AG MUSS dem Einsatz von KI ausdrücklich schriftlich zustimmen. |
| Passwörter | Verwendete Passwörter sind gemäß dem aktuellen Stand in der Informationssicherheit zu verwenden. Initial-Passwörter (z.B. bei einer Austauschplattform) müssen umgehend ausgetauscht werden. |
Schutz der Integrität
| Anforderung | Beschreibung |
|---|---|
| Integritätssichernde Maßnahmen für Quellcode und sonstiger Software | Bei einer Übertragung von Software (auch: Updates, Hotfixes) über das Internet SOLLTE als integritätssichernde Maßnahme der Einsatz von Hash-Werten eingesetzt werden. Als Hashwert SOLLTE SHA-256 zum Einsatz kommen. Damit eine Verletzung der Integrität erkannt werden kann, MÜSSEN Hash-Werte erstellt und verglichen werden. |
Unterauftragnehmer
| Anforderung | Beschreibung |
|---|---|
| Vertragspartner und Unterauftragnehmer | Die Beauftragung von Unterauftragnehmern, ist der AG vor Vertragsbeginn und im Übrigen spätestens 4 Wochen vorher mitzuteilen. Die Frist kann nach Rücksprache mit der AG verkürzt werden, sofern dies z.B. zur Aufrechterhaltung des sicheren Betriebs erforderlich ist. Die AG kann der Unterbeauftragung bei begründeten Bedenken widersprechen. |
| Weitere Vertragspartner und Unterauftragsnehmer MÜSSEN die Gewährleistung, der in diesem Dokument aufgeführten Regelungen bestätigen. |
Abkürzungsverzeichnis
| AG | Auftraggeberin |
| AN | Auftragnehmer |
| BNetzA | Bundesnetzagentur |
| BSI | Bundesamt für Sicherheit in der Informationstechnik |
| ISB / IT-SiBe | Informationssicherheitsbeauftragter / IT-Sicherheitsbeauftragter |
| ISM | Informationssicherheitsmanagement |
| ISMS | Informationssicherheitsmanagementsystem |
| RL | Richtlinie |
| UP BUND 2017 | Umsetzungsplan Bund 2017 |