Allgemein
Die in diesem Dokument beschriebenen Bedingungen legen die Sicherheitsverpflichtungen für die vom Anbieter erbrachten Dienstleistungen fest. Werden im Rahmen dieser Dienstleistung personenbezogene Daten verarbeitet, umfassen diese Sicherheitsverpflichtungen die technischen und organisatorischen Maßnahmen (TOM), die der Anbieter als Auftragsverarbeiter personenbezogener Daten mindestens ergreifen muss, um die Sicherheit der im Rahmen dieses Vertrags erstellten, erhobenen, empfangenen oder anderweitig erlangten personenbezogenen Daten zu gewährleisten.
Im Falle eines Widerspruchs oder einer Unstimmigkeit zwischen den Bestimmungen des DPA und diesen Sicherheitsverpflichtungen haben diese Sicherheitsverpflichtungen Vorrang.
Abschnitt 1: Definitionen
Für die Zwecke dieses Dokuments:
„Vereinbarung“ bezeichnet die Vereinbarung (einschließlich aller Anhänge, Anlagen und Änderungen), der diese Informationssicherheitsbedingungen beigefügt sind.
„DSGVO“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Regelung des Datenverkehrs.
„Begünstigteninformationen“ bezeichnet sämtliche Informationen, Daten, Aufzeichnungen, Software, Hardware, Ausrüstung, Medien und personenbezogene Daten, die vom Begünstigten, von Mitarbeitern oder Beauftragten des Begünstigten oder von Dritten dem Lieferanten gemäß der Vereinbarung zur Verfügung gestellt oder zugänglich gemacht werden.
„Persönliche Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.
„Besondere Kategorien personenbezogener Daten“ sind personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, die Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten, die zum Zweck der eindeutigen Identifizierung einer natürlichen Person verarbeitet werden, Gesundheitsdaten oder Daten über das Sexualleben oder die sexuelle Orientierung einer natürlichen Person hervorgehen.
„Datenschutz“ bedeutet den Schutz personenbezogener Daten, insbesondere vor unberechtigtem Zugriff, unbefugter Nutzung, Verarbeitung oder widerrechtlicher Aneignung.
„Sicherheitsverpflichtungen“ bezeichnet jene Prozesse, technischen und organisatorischen Maßnahmen, die dazu dienen, Daten, einschließlich der Informationen über Begünstigte, vor versehentlicher oder unbefugter Zerstörung oder versehentlichem Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff sowie vor allen anderen unbefugten Formen der Verarbeitung gemäß diesem Dokument zu schützen.
„Lieferant“ bezeichnet eine Stelle, die im Auftrag des Begünstigten eine Dienstleistung erbringt, welche Daten, einschließlich Informationen über den Begünstigten, verarbeitet oder speichert. Bei der Verarbeitung personenbezogener Daten ist der Lieferant ein Auftragsverarbeiter (im Sinne der DSGVO oder anderer anwendbarer Gesetze).
„Subunternehmer/Berater“ bezeichnet jeden Lieferanten, der vom Lieferanten mit der Unterstützung bei der Verarbeitung oder dem Hosting von Daten, einschließlich Begünstigteninformationen, beauftragt wird (z. B. ein Daten-Subprozessor).
Abschnitt 2: Risikobewertung und Behandlung
Allgemeines: Regelmäßige Durchführung eines Informationsrisikomanagements für wichtige Aspekte des Dienstes auf rigorose und konsequente Weise unter Verwendung einer strukturierten Methodik.
Der Lieferant wird:
- Der Lieferant ist verantwortlich für die Identifizierung von Sicherheitsrisiken, einschließlich Risiken im Geschäftsbetrieb des Lieferanten sowie Risiken, die der Lieferant in seiner eigenen Lieferkette im Zusammenhang mit dem für den Begünstigten erbrachten Auftrag/der Dienstleistung identifiziert, und ergreift die notwendigen Maßnahmen zur Kontrolle und Minderung dieser Risiken.
- Verantwortlich für die Ermittlung und Bewertung grenzüberschreitender/mehrerer Rechtsordnungen und Vorschriften, einschließlich solcher in Bezug auf Datenschutz, Datensicherheit, Verschlüsselungsexport und Meldung von Datenschutzverletzungen
Abschnitt 3: Sicherheits- und Datenschutzrichtlinien
Allgemeines: Entwicklung und Verbreitung umfassender und genehmigter Richtlinien zur Informationssicherheit und zum Datenschutz an alle Personen, die Zugriff auf Begünstigteninformationen und Systeme im Zusammenhang mit dieser Vereinbarung haben.
Der Lieferant wird:
- Setzen Sie bewährte Verfahren in Bezug auf Informationssicherheit und Datenschutz um.
- Verfügen über formale Richtlinien für Informationssicherheit und Datenschutz, die von der Geschäftsleitung genehmigt wurden und allen Mitarbeitern sowie allen beteiligten externen Parteien zugänglich sind.
- Im Rahmen des Informationssicherheits- und Datenschutzprogramms ist eine allgemeine Schulung zum Thema Sicherheit und Datenschutz durchzuführen.
Abschnitt 4: Organisation der Informationssicherheit
Allgemein: Bereitstellung einer Top-Down-Managementstruktur und eines Mechanismus zur Koordinierung von Sicherheitsaktivitäten und zur Unterstützung des Programms/Ansatzes für Informationssicherheit und Datenschutz.
Der Lieferant wird Folgendes nachweisen können:
- Die Verantwortlichkeiten für Informationssicherheit und Datenschutz innerhalb der Organisation des Lieferanten müssen klar definiert sein.
- Sie müssen über die erforderliche Expertise im Bereich Informationssicherheit und Datenschutz verfügen, um die in diesen Sicherheitsverpflichtungen festgelegten Sicherheitsmaßnahmen umzusetzen. Diese Ressource(n) arbeiten bei Bedarf mit dem Sicherheitspersonal des Begünstigten zusammen.
- Der Lieferant wird den Begünstigten rechtzeitig über jegliche Änderungen bei seinen wichtigsten Subunternehmern, wie z. B. den Hosting-Dienstleistern, informieren.
Sofern aus dem Vertrag nichts anderes hervorgeht, bedarf die Nutzung von Unterauftragnehmern durch den Lieferanten der vorherigen schriftlichen Zustimmung des Begünstigten
Abschnitt 5: Vermögensverwaltung und Vertraulichkeitskontrollen
Allgemeines: Die Vertraulichkeitsverpflichtungen für Informationen im Zusammenhang mit dieser Vereinbarung sind zu dokumentieren und zu vereinbaren. Außerdem ist ein angemessenes Schutzniveau festzulegen, um eine unbefugte Offenlegung zu verhindern.
- Sämtliche Verpflichtungen im Zusammenhang mit Vertraulichkeits- oder Geheimhaltungsvereinbarungen werden identifiziert, erfüllt und regelmäßig überprüft.
Der Lieferant wird:
- Informationen des Begünstigten, die als Geschäfts- oder Berufsgeheimnisse gelten könnten, dürfen nicht offengelegt oder verwendet werden, es sei denn, dies ist für die Erfüllung des ihm übertragenen Auftrags gemäß diesem Vertrag erforderlich und erfolgt mit Zustimmung des Begünstigten.
- Der Lieferant erhebt, verarbeitet, speichert oder handhabt Begünstigteninformationen ausschließlich zum Zweck der Erfüllung seiner Verpflichtungen aus diesem Vertrag. Dementsprechend wird der Lieferant Begünstigteninformationen ohne die vorherige schriftliche Zustimmung des Begünstigten weder verkaufen, weitergeben noch anderweitig übertragen oder offenlegen.
- Besondere Kategorien personenbezogener Daten dürfen nicht erhoben, verarbeitet, gespeichert oder anderweitig gehandhabt werden, es sei denn, dies ist im Vertrag mit dem Begünstigten ausdrücklich vorgeschrieben.
- Gehen Sie beim Umgang mit Begünstigteninformationen sorgfältig vor.
- Gewährleisten Sie die Sicherheit, Integrität und Konsistenz der vom Lieferanten verarbeiteten Begünstigteninformationen, unabhängig davon, ob es sich um Papier- oder elektronische Daten handelt.
- Es ist untersagt, Begünstigteninformationen in Datendateien, auf Papier oder anderen physischen Datenträgern so zu kopieren oder zu reproduzieren, dass eine unbefugte Entfernung von Eigentümerinformationen oder Klassifizierungen möglich ist.
- Alle mit dem Vertrag in Zusammenhang stehenden Begünstigteninformationen sind auf Verlangen des Begünstigten unverzüglich nach Ablauf oder Kündigung des Vertrags zurückzugeben oder zu vernichten, es sei denn, die Aufbewahrung der Begünstigteninformationen ist aus rechtlichen oder regulatorischen Gründen erforderlich; in diesem Fall gilt Punkt i) unten. Wurden die Begünstigteninformationen verschlüsselt, übergibt der Lieferant alle zur Entschlüsselung erforderlichen Verschlüsselungsschlüssel. Ist eine Rückgabe nicht möglich, die Vernichtung jedoch alternativ, verfügt der Lieferant über ein Verfahren zur sicheren Vernichtung von Datenträgern mit Begünstigteninformationen – z. B. Schreddern von Papierdokumenten oder physische Zerstörung (Datenträgerbereinigung) von Festplatten.
- Alle Begünstigteninformationen, die aus rechtlichen oder regulatorischen Gründen aufbewahrt werden müssen ( z. B. zur Aufrechterhaltung von Verpflichtungen, Datenaufbewahrung), sind so lange sicher zu speichern, wie es rechtlich oder regulatorisch erforderlich ist, und dürfen nur für die in diesem Zusammenhang erforderlichen Zwecke verwendet werden.
- Es sollten Richtlinien zur Regelung der Aufbewahrung von Sicherungskopien vorhanden sein.
Abschnitt 6: Personalsicherheit
Allgemein: Sicherstellen, dass sich die Mitarbeiter in einer Weise verhalten, die die Informationssicherheits- und Datenschutzrichtlinien und -strategien unterstützt, und dass beim Umgang mit personenbezogenen Daten ein angemessener Schutz gewährleistet ist.
Der Lieferant wird:
- Stellen Sie sicher, dass sämtliche Begünstigteninformationen nur Mitarbeitern, Subunternehmern und Beratern zugänglich gemacht werden, die ein berechtigtes geschäftliches Interesse am Zugriff auf die Begünstigteninformationen haben.
- Sicherstellen, dass alle Mitarbeiter des Lieferanten, Subunternehmer und Berater ausreichend geschult werden und klare Anweisungen erhalten, um die Anforderungen bei der Erbringung der vereinbarten Dienstleistungen für den Begünstigten zu erfüllen, insbesondere im Hinblick auf den Umfang der Verarbeitung personenbezogener Daten.
- Stellen Sie sicher, dass alle Mitarbeiter, Unterauftragnehmer und Berater des Lieferanten, die Aufgaben für den Begünstigten ausführen, über die Vertraulichkeitsverpflichtungen des Lieferanten gemäß dieser Vereinbarung sowie über die zulässige Nutzung von Informationen, Einrichtungen und Systemen des Begünstigten informiert sind und entsprechende Vereinbarungen unterzeichnet haben.
- Die Weitergabe von Begünstigteninformationen erfolgt ausschließlich an autorisierte Personen.
- Ergreifen Sie wirksame und angemessene Disziplinarmaßnahmen gegen Personen, die ohne Genehmigung auf personenbezogene Daten zugreifen.
- Der Auftragnehmer ist jederzeit in der Lage, die Namen und Kontaktdaten (wie Telefonnummer und E-Mail-Adresse) aller seiner Mitarbeiter, Berater, Subunternehmer und sonstigen Personen, die unter seiner Verantwortung Dienstleistungen im Rahmen dieses Vertrags erbringen, zu bestätigen und zu bescheinigen. Diese Informationen dürfen vom Auftragnehmer ausschließlich im Rahmen von Prüfungen als Referenz zur Überprüfung der Gültigkeit der erteilten Zugriffsrechte auf die IT-Systeme oder Räumlichkeiten des Auftragnehmers verwendet werden.
- Halten Sie eine aktuelle Liste mit den Identifikationsdaten der Systemadministratoren (z. B. Name, Nachname, Funktion oder Organisationsbereich) und den ihnen zugewiesenen Aufgaben bereit und stellen Sie diese dem Begünstigten auf Anfrage im Falle einer Prüfung unverzüglich zur Verfügung.
- Der Begünstigte ist verpflichtet, den Begünstigten unverzüglich über alle Änderungen in Bezug auf sein Schlüsselpersonal zu informieren, das an dem Auftrag mitarbeitet oder Teil der Vereinbarung ist, einschließlich der Funktion als Ansprechpartner für den Begünstigten.
- Dem Begünstigten ist es gestattet, Teile der Personalinformationen des Lieferanten an Dritte weiterzugeben, wenn diese Dritten im Auftrag des Begünstigten einen Dienst betreiben, auf den der Lieferant Zugriff benötigt.
- Der Begünstigte ist berechtigt, von den Mitarbeitern, Beratern, Unterauftragnehmern und anderen Vertretern des Lieferanten individuelle Zusagen zu verlangen und zu erhalten, in denen bestätigt wird, dass die betreffende Person bestimmte Verpflichtungen verstanden hat und die Nutzung der Systeme und Einrichtungen akzeptiert hat und einhalten wird.
Abschnitt 7: Physische und Umweltsicherheit
Allgemein: Schutz der IT-Einrichtungen, -Geräte und -Dienste vor böswilligen Angriffen, versehentlichen Beschädigungen, Naturgefahren und unbefugtem physischen Zugriff, um sicherzustellen, dass kritische Geräte bei Bedarf verfügbar sind und wichtige Dienste nicht durch Verlust oder Beschädigung von Geräten oder Einrichtungen unterbrochen werden.
Betriebsgelände des Lieferanten
Der Lieferant wird:
- Alle anwendbaren Gesetze und Vorschriften, insbesondere Datenschutzgesetze und -vorschriften, sind zu beachten. Es ist sicherzustellen, dass bei der Durchführung des Auftrags im Rahmen dieser Vereinbarung alle erforderlichen Genehmigungen von den zuständigen Behörden eingeholt werden.
- Um die Sicherheit von Begünstigteninformationen oder -vermögen zu gewährleisten, wenn diese in den Räumlichkeiten des Lieferanten, seines Unterauftragnehmers und/oder Beraters verarbeitet oder gespeichert werden, sind folgende Bestimmungen einzuhalten:
- Stellen Sie sicher, dass in allen Rechenzentren, die Begünstigteninformationen, Anwendungen und Infrastruktur hosten, ein angemessener physischer und umwelttechnischer Schutz gemäß den geltenden Gesetzen, Vorschriften und branchenüblichen Best Practices vorhanden ist.
- Sorgen Sie für angemessene Perimeter- und Zugangskontrollen gemäß den geltenden Normen und lokalen Vorschriften, um sicherzustellen, dass nur autorisiertes Personal Zugang erhält.
- Die Verhinderung des Zugangs unbefugter Personen zu den Datenverarbeitungsanlagen, auf denen Daten von Leistungsempfängern verarbeitet oder verwendet werden, erfolgt durch:
- Schutz und Beschränkung von Zugriffswegen.
- Festlegung von Zugriffsberechtigungsverfahren für Mitarbeiter und Dritte, einschließlich der entsprechenden Dokumentation.
- Sämtliche Zugriffe auf die Rechenzentren, in denen die Daten der Begünstigten gespeichert sind, werden protokolliert und überwacht.
- Einrichtung von Sicherheitsbereichen in Rechenzentren, z. B. für Telefone und PCs.
- Vorschriften und Beschränkungen für Schlüsselkarten.
- Die Anmeldeinformationen müssen individuell sein.
- Vorausgesetzt, dass die Zugänge zu den Datenverarbeitungseinrichtungen (den Räumen, in denen die Computerhardware und die dazugehörige Ausrüstung untergebracht sind) abschließbar sind.
- Die Rechenzentren, in denen die Daten der Leistungsempfänger gespeichert werden, sind durch ein Alarmsystem und weitere geeignete Sicherheitsmaßnahmen gesichert.
- Stellen Sie sicher, dass alle Begünstigteninformationen vor Diebstahl, Manipulation oder Zerstörung geschützt sind.
Grundstück des Begünstigten
Der Lieferant wird (falls zutreffend):
- Der Lieferant ist verpflichtet, sicherzustellen, dass alle Mitarbeiter und Subunternehmer die Sicherheitsvorkehrungen des Begünstigten kennen und einhalten, solange sie Arbeiten auf dessen Gelände ausführen. Der Lieferant ist dafür verantwortlich, sich selbst, seine Mitarbeiter und seine Subunternehmer regelmäßig über die jeweils geltenden Sicherheitsbestimmungen auf dem Gelände des Begünstigten zu informieren.
- Der Zutritt zum Gelände und Eigentum des Begünstigten unterliegt den geltenden Regeln:
- Bei der Erbringung von Dienstleistungen durch den Lieferanten im Rahmen dieses Vertrags sind die örtlichen Vorschriften für die Räumlichkeiten des Begünstigten zu beachten.
- Bei Arbeiten auf dem Gelände des Begünstigten müssen die Mitarbeiter des Lieferanten jederzeit einen Ausweis oder einen Besucherausweis sichtbar mit sich führen.
- Die Antragsverfahren und die Voraussetzungen für den Zutritt zu den Räumlichkeiten des Begünstigten werden vom Begünstigten festgelegt und sind, sofern keine anderen Vereinbarungen getroffen wurden, gemäß den Verfahren des Begünstigten zu handhaben.
- Nach Abschluss des Auftrags im Rahmen dieser Vereinbarung oder wenn das Personal des Lieferanten anderen Aufgaben zugeteilt wird, wird der Lieferant den Begünstigten unverzüglich über die Änderung informieren und die Schlüssel, Schlüsselkarten, Zertifikate, Besucherausweise und alle anderen ausgehändigten Materialien zurückgeben oder deren Verteilung ändern.
- Der Verlust von Schlüsseln oder Schlüsselkarten des Begünstigten ist dem Begünstigten unverzüglich gemäß den im Vertrag festgelegten Anweisungen oder, falls nichts anderes vereinbart ist, gemäß den allgemeinen Zugangsrechtsverfahren des Begünstigten zu melden.
- Im Falle der Nichteinhaltung des Vertrags durch den Lieferanten ist der Begünstigte berechtigt, dem Begünstigten mit sofortiger Wirkung den Zutritt zu seinen Räumlichkeiten zu verweigern und die unverzügliche Rückgabe aller ausgehändigten Schlüssel, Schlüsselkarten usw. zu verlangen.
Abschnitt 8: Kommunikations- und Betriebsmanagement
Allgemein: Kritische und sensible Begünstigteninformationen sind zu schützen, wenn sie vom Lieferanten verarbeitet oder zwischen Begünstigten und Lieferanten übermittelt werden.
Der Lieferant wird:
- Stellen Sie für alle Standorte, an denen Daten von Leistungsempfängern verarbeitet werden, angemessene Informationssicherheits- und Datenschutzmaßnahmen gemäß den geltenden Gesetzen, Verordnungen und branchenüblichen Best Practices sicher. Dies umfasst unter anderem: Sicherheitsadministrationsroutinen, Zugriffskontrolle, Malware-Schutz, Vorfallserkennung, Protokollverwaltung, Schwachstellenscans, Penetrationstests, Notfallwiederherstellung, Schlüsselverwaltung, Netzwerksicherheitsmanagement, moderne Firewalls und physischen Schutz der IT-Ressourcen.
- Es sind geeignete Maßnahmen zu ergreifen, um die Systemadministratoren zu überwachen und sicherzustellen, dass sie gemäß den erhaltenen Anweisungen handeln. Dies wird erreicht durch:
- Individuelle Ernennung von Systemadministratoren.
- Ergreifung geeigneter Maßnahmen zur Erfassung der Zugriffsprotokolle der Systemadministratoren und deren sichere, korrekte und unveränderte Aufbewahrung für mindestens sechs Monate.
- Für Systemadministratoren mit potenzieller Zugriffsfähigkeit auf hochsensible Begünstigteninformationen, einschließlich besonderer Kategorien personenbezogener Daten, sind alle zwei Monate Prüfungen der Aktivitäten der Administratoren durchzuführen, um die Einhaltung der ihnen zugewiesenen Aufgaben, der Anweisungen des Begünstigten oder seines Stellvertreters sowie der geltenden Gesetze zu beurteilen.
- Informationen über den Begünstigten, einschließlich besonderer Kategorien personenbezogener Daten, sind streng vertraulich zu behandeln und sowohl während der Übertragung als auch im Ruhezustand mit modernsten Verschlüsselungsmethoden zu schützen.
- Es dürfen keine Dienstleistungen oder Software bereitgestellt werden, die für die Verarbeitung von Begünstigteninformationen oder Systemen schädlich sind.
- Verfügen Sie über einen formalen und klar definierten Änderungsmanagementprozess einschließlich Sicherheitspatch-Management, der mindestens ein formales „Request for Change“-Verfahren (RFC), eine strukturierte Methode zum Testen von Änderungen vor deren Einführung in die Produktion, ein formales Genehmigungsverfahren für vorgeschlagene Änderungen, die Kommunikation von Änderungen an alle relevanten Personen und Stakeholder sowie eine definierte Reihe von Verfahren zur Behebung von fehlgeschlagenen Änderungen und unvorhergesehenen Ereignissen umfasst.
- Die Datenübertragung von Begünstigteninformationen muss sicher erfolgen (z. B. durch starke Ende-zu-Ende-Verschlüsselung während der Übertragung oder durch die Verwendung von Kommunikationsverbindungen, denen der Begünstigte vertraut). Ausnahmen von dieser Regel bedürfen der schriftlichen Einwilligung des Begünstigten.
- Vermeiden Sie die Speicherung von Begünstigteninformationen auf mobilen Speichermedien für Transportzwecke und auf Laptops oder anderen mobilen Geräten oder verwenden Sie ausschließlich Geräte mit starker Verschlüsselung.
- Soweit möglich, werden sämtliche Datenübertragungen, einschließlich der Informationen über die Leistungsempfänger, protokolliert, um eine Überwachung zu ermöglichen.
- Der Zugriff auf die Begünstigteninformationen ist ausschließlich den für den Auftrag zuständigen Mitarbeitern des Lieferanten gestattet. Sollte ein Mitarbeiter des Lieferanten unbefugten Zugriff auf die Begünstigteninformationen erlangen, ist dies dem Begünstigten unverzüglich zu melden.
- Stellen Sie sicher, dass die Speicherung von Begünstigteninformationen ausreichend getrennt erfolgt, um eine versehentliche Vermischung mit Daten anderer Kunden auf verschiedenen Datenträgern zu vermeiden, und dass der Dienst Ausfallsicherheit bietet; dies gilt auch für Datensicherungen. Darüber hinaus muss der Anbieter geeignete Maßnahmen ergreifen, um sicherzustellen, dass personenbezogene Daten, die für unterschiedliche Zwecke erhoben werden, getrennt verarbeitet werden können. Dies wird erreicht durch:
- Der Zugriff auf personenbezogene Daten ist durch Anwendungssicherheit auf die jeweiligen Benutzer beschränkt.
- Module innerhalb der Datenbank des Lieferanten trennen, welche personenbezogenen Daten für welchen Zweck verwendet werden (d. h. nach Funktionalität und Funktion).
- Auf Datenbankebene werden personenbezogene Daten in verschiedenen normalisierten Tabellen gespeichert, die nach Modul oder Funktion getrennt sind.
- Stellen Sie sicher, dass Schnittstellen, Stapelverarbeitungsprozesse und Berichte nur für bestimmte Zwecke und Funktionen konzipiert sind, damit personenbezogene Daten, die für bestimmte Zwecke erhoben werden, separat verarbeitet werden.
- Stellen Sie sicher, dass Sicherungskopien der im Auftrag des Begünstigten verarbeiteten Begünstigteninformationen erstellt werden und dass diese Sicherungskopien wiederherstellbar sind, wenn die Begünstigteninformationen in der Umgebung des Lieferanten verarbeitet werden.
- Es ist sicherzustellen, dass Sicherungskopien mit der gleichen Vertraulichkeit behandelt werden wie die ursprünglichen Begünstigteninformationen.
- Um eine mögliche gleichzeitige Zerstörung sowohl der Originaldaten als auch der Sicherungskopie im Katastrophenfall zu verhindern, müssen die Sicherungskopien getrennt von den Originaldaten der Begünstigten aufbewahrt werden.
- Es ist sicherzustellen, dass die täglichen Backups mindestens 180 Tage lang aufbewahrt werden, sofern im Vertrag nichts anderes festgelegt ist.
- Sicherstellen, dass die vom Lieferanten betriebenen und mit seinem Auftrag im Rahmen dieser Vereinbarung in Zusammenhang stehenden Systeme und Netzwerke einheitlich und präzise konfiguriert sind und die genehmigten Sicherheitseinstellungen angewendet werden, um sicherzustellen, dass die Systeme und Netzwerke wie vorgesehen funktionieren, bei Bedarf verfügbar sind und keine unnötigen technischen Details preisgeben.
- Es muss sichergestellt werden, dass die für die im Vertrag festgelegten Funktionen genutzte Umgebung so überwacht wird, dass alle Ereignisse, die gegen die Informationssicherheit der Begünstigten und/oder die IT-Sicherheit verstoßen, erkannt und nachvollzogen werden können.
- Die erforderlichen Prüfprotokolle sind gemäß geltendem Recht oder wie im Vertrag anderweitig festgelegt zu führen.
- Auf Anfrage des Begünstigten sind Prüfprotokolle und Sicherheitsereignisprotokolle bereitzustellen, die sich auf die Begünstigteninformationen auswirken.
Abschnitt 9: Zugangskontrolle
Allgemein: Nur autorisierte Personen erhalten Zugang zu Geschäftsanwendungen, Informationssystemen, Netzwerken und Computergeräten. Dadurch wird die Verantwortlichkeit der einzelnen Personen sichergestellt und den autorisierten Benutzern Zugriffsrechte eingeräumt, die zwar ausreichen, um ihnen die Erfüllung ihrer Aufgaben zu ermöglichen, ihnen aber nicht erlauben, ihre Befugnisse zu überschreiten.
Authentifizierung
Der Lieferant wird:
- Der Zugriff auf Informationen, Funktionen oder Räumlichkeiten des Begünstigten ist nur in dem Umfang zulässig, wie er in den schriftlich zwischen dem Begünstigten und dem Lieferanten vereinbarten Verpflichtungen festgelegt ist und nach der erforderlichen Genehmigung.
- Stellen Sie sicher, dass für alle im Rahmen dieser Vereinbarung genutzten IT-Dienste eine strenge Passwortrichtlinie gilt.
- Gewähren Sie Fernzugriff mit Zwei-Faktor-Authentifizierung für den IT-Administrator und für jeden Benutzer, der auf Begünstigteninformationen zugreift.
- Zugriffsrechte nach mehreren fehlgeschlagenen Anmeldeversuchen automatisch sperren oder nach einigen fehlgeschlagenen Anmeldeversuchen ein Captcha einreichen.
- Protokollieren Sie erfolgreiche und erfolglose Anmeldeversuche und stellen Sie diese Protokolle zur Überwachung und Nachverfolgung zur Verfügung.
- Automatische Abmeldung von Benutzer-IDs, die über einen längeren Zeitraum nicht verwendet wurden.
Genehmigung
Der Lieferant wird:
- Es sollte eine Autorisierungsrichtlinie für den Zugriff und die Eingabe von Begünstigteninformationen in die Dienste sowie für das Lesen, Ändern und Löschen gespeicherter Begünstigteninformationen vorliegen.
- Stellen Sie sicher, dass der Zugriff auf bestimmte Funktionen auf Rollen und/oder Attributen basiert, die jedem Benutzerkonto individuell zugewiesen werden.
Benutzerverwaltung für die IT-Ressourcen des Lieferanten
Der Lieferant wird:
- Stellen Sie sicher, dass der Umfang des Zugriffs stets dem Prinzip der „minimalen Berechtigung“ folgt.
- Führen Sie Aufzeichnungen über jede Änderung der Zugriffsrechte und bewahren Sie diese Aufzeichnungen mindestens 18 Monate ab dem Tag der Änderung der Zugriffsrechte auf.
- Auf Anfrage ist eine aktuelle Liste aller Personen bereitzustellen, die Zugriff auf Begünstigteninformationen oder Funktionen haben und deren Zugriffsrechte vom Lieferanten kontrolliert werden.
- Verfügen Sie über ein dokumentiertes Verfahren und stellen Sie sicher, dass der Zugriff auf Begünstigteninformationen oder Funktionen individuell kontrolliert wird und dass alle Aktivitäten gemäß geltendem Recht und den Best Practices der Branche protokolliert werden.
- Halten Sie Ereignisprotokolle im Zusammenhang mit der Benutzerverwaltung des Zugriffs auf Begünstigteninformationen für den Begünstigten bereit.
- Stellen Sie sicher, dass alle Zugriffsrechte in Bezug auf Begünstigteninformationen oder Funktionen mindestens alle sechs Monate überprüft werden.
- Stellen Sie sicher, dass alle Benutzerkennungen persönlich sind und nur von der/den benannten Person(en) verwendet werden.
- Besitzen Sie ein Verfahren zur Kontrolle der Administratorzugriffsrechte.
- Sie sind dafür verantwortlich, dass jeder Zugriff auf die im Rahmen dieser Vereinbarung genutzten IT-Ressourcen auf sichere Weise erfolgt.
- Der Begünstigte ist jederzeit berechtigt, die Zugriffsrechte auf die Begünstigteninformationen zu widerrufen oder einen Widerruf einzuleiten, falls der Lieferant diesen Sicherheitsverpflichtungen oder der Vereinbarung nicht nachkommt oder aus einem anderen legitimen Grund.
Benutzerverwaltung für die IT-Ressourcen des Begünstigten
- Zugriffsrechte auf die IT-Ressourcen des Begünstigten werden nur denjenigen Mitarbeitern des Lieferanten gewährt, die gemäß der Vereinbarung für die Erbringung der Dienstleistungen eingesetzt sind.
- Die Zugriffsrechte auf die IT-Ressourcen des Begünstigten werden dem Personal des Lieferanten gemäß den Verfahren des Begünstigten gewährt und entzogen.
- Die Methoden für den Fernzugriff auf die Umgebung des Begünstigten werden in der Vereinbarung festgelegt. Andere Formen des Fernzugriffs auf die Geräte oder Dienste des Begünstigten sind nicht zulässig.
Spezifische Anwendungskontrollen in Bezug auf personenbezogene Daten
Der Lieferant stellt den korrekten Zugriff auf personenbezogene Daten sicher, indem er:
- Schutzmaßnahmen für die in Anwendungen eingegebenen personenbezogenen Daten sowie für das Lesen, Ändern und Löschen gespeicherter personenbezogener Daten.
- Geeignete Maßnahmen ergreifen, um sicherzustellen, dass überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben oder entfernt wurden.
- Bereitstellung einer Überwachungsmöglichkeit hinsichtlich Personen, die personenbezogene Daten löschen, hinzufügen oder ändern.
- Ermöglichung der Überprüfung und Feststellung, ob und von wem personenbezogene Daten in die Datenverarbeitungssysteme eingegeben, geändert oder daraus gelöscht wurden
Abschnitt 10: Beschaffung, Entwicklung und Wartung von Informationssystemen
Allgemein: Sicherstellen, dass Informationssicherheitsverpflichtungen als integraler Bestandteil der Geschäftsverpflichtungen behandelt, bei der Beschaffung, Entwicklung und Wartung von Systemen umfassend berücksichtigt und genehmigt werden.
Der Lieferant wird:
- Nutzen Sie eine strukturierte und anerkannte Systementwicklungsmethodik, um die erforderlichen Informationssicherheits- und Datenschutzfunktionen während der Entwicklung in die Systeme zu integrieren.
- Anforderung und Anwendung der vom Begünstigten genehmigten Systementwicklungsmethodik, falls Systeme oder Anwendungen direkt für den Begünstigten entwickelt werden.
- Stellen Sie sicher, dass in die Anwendungen, die zur Bereitstellung von IT-Dienstleistungen für den Begünstigten verwendet werden, einschließlich selbst entwickelter Anwendungen, geeignete Kontrollmechanismen integriert sind, um eine korrekte Verarbeitung zu gewährleisten. Diese Kontrollmechanismen umfassen Authentifizierung, Sitzungsverwaltung, Zugriffskontrolle und -autorisierung, Eingabevalidierung, Ausgabecodierung/-maskierung, Kryptografie, Fehlerbehandlung, Protokollierung, Datenschutz, Kommunikationssicherheit und Sicherheitskonfiguration.
- Verwenden Sie geeignete Verschlüsselungstechniken zum Schutz von als vertraulich und streng vertraulich eingestuften Begünstigteninformationen (wo eine Verschlüsselung nicht möglich ist, müssen geeignete kompensatorische Kontrollen implementiert werden, um das Risiko einer unbefugten Offenlegung zu verringern).
- Sie sind dafür verantwortlich, dass ein geeignetes Schlüsselmanagement vorhanden ist, um die Anwendung autorisierter Verschlüsselungstechniken zu unterstützen.
- Die Verwendung von Kryptographie wird durch Verfahren und Protokolle für die Erzeugung, Änderung, den Widerruf, die Vernichtung, die Verteilung, die Zertifizierung, die Speicherung, die Verwendung und die Archivierung kryptographischer Schlüssel unterstützt, um den Schutz der Schlüssel vor Veränderung und unbefugter Offenlegung zu gewährleisten.
- Änderungen an bestehenden Systemen müssen einem formalen Prozess der Dokumentation, Spezifikation, Prüfung und Qualitätskontrolle sowie einer gesteuerten Implementierung folgen.
- Stellen Sie sicher, dass Verifizierungstests durchgeführt werden, sobald größere Änderungen an der Anwendung vorgenommen werden, und dass diese Verifizierungstests auch Sicherheitstests der Anwendung umfassen.
- Bei der Verwendung von Live-Informationen aus einer Produktionsumgebung zu Testzwecken im Rahmen der Systementwicklung ist sicherzustellen, dass die Informationen nach Möglichkeit anonymisiert werden (d. h. nicht mit einer Person oder einem Benutzer in Verbindung gebracht werden können). Die Anonymisierung personenbezogener Daten muss ein einseitiger Prozess sein, d. h. es darf nicht möglich sein, die ursprünglichen personenbezogenen Daten aus anonymisierten personenbezogenen Daten auf irgendeine Weise wiederherzustellen. Falls anonymisierte Testinformationen nicht verwendet werden können, sind die Anweisungen des Begünstigten bei der Verarbeitung der Testinformationen zu befolgen. Die Entnahme von Informationen zu Testzwecken aus einer Produktionsumgebung bedarf stets der vorherigen schriftlichen Zustimmung des Begünstigten.
- Falls dies vom Begünstigten vor Unterzeichnung des Vertrags verlangt wird, ist dem Begünstigten der Zugang zu jeglichem Quellcode zu gewährleisten, der als Leistung oder Ergebnis im Rahmen des Vertrags entwickelt oder gepflegt wird, und zwar durch eine Treuhandvereinbarung mit einer vertrauenswürdigen externen Partei (z. B. einer Anwaltskanzlei oder einer Handelskammer).
Abschnitt 11: Management von Informationssicherheitsvorfällen
Allgemein: Sicherheitsvorfälle schnell und effektiv erkennen und beheben, ihre Auswirkungen minimieren und das Risiko ähnlicher Vorfälle in der Zukunft verringern.
Der Lieferant wird:
- Informationen zu Vorfällen bereitstellen.
- Dokumentieren Sie jeden festgestellten Sicherheitsvorfall, die durchgeführten Datenwiederherstellungsmaßnahmen und die Identifizierung der Person, die diese durchgeführt hat.
- Alle schwerwiegenden Vorfälle, einschließlich Betrugsfälle, die den Begünstigten, seine Mitarbeiter, Kunden oder Geschäftspartner betreffen könnten, sind unverzüglich zu melden. Der Lieferant wird in Absprache mit dem Begünstigten alle notwendigen Maßnahmen ergreifen, um den möglichen Schaden solcher Vorfälle zu minimieren.
- Arbeiten Sie mit dem Begünstigten bei der Bearbeitung eines solchen Vorfalls gemäß dem vorstehenden Absatz zusammen und geben Sie dem Begünstigten einen umfassenden Einblick in die Ursache und die Folgen des Vorfalls.
- Erstellen Sie einen schriftlichen Bericht, in dem die Ursache des Vorfalls, die Folgen des Vorfalls und die ergriffenen Maßnahmen zur Vermeidung ähnlicher Ereignisse dargelegt werden.
- Melden Sie unverzüglich jede Anfrage Dritter, einschließlich Regierungsbeamter oder Datenschutzbehörden, auf Zugriff auf Begünstigteninformationen, einschließlich personenbezogener Daten.
Gewährung von Unterstützung und angemessener Hilfe für den Begünstigten im Falle eines Rechtsstreits, der die Verwendung von Begünstigteninformationen erfordert (z. B. Anfragen im Rahmen der elektronischen Beweissicherung oder forensische Untersuchungen).
Abschnitt 12: Geschäftskontinuitätsmanagement
Allgemein: Vorbereitung auf Störungen unter normalen Umständen und in Notfällen. Unterstützung bei der Abstimmung der Ziele zur Geschäftskontinuität, um die Widerstandsfähigkeit gegenüber Störungen zu gewährleisten und die Auswirkungen auf den Begünstigten im Falle einer Katastrophe oder eines Notfalls zu minimieren.
Der Lieferant wird:
- Die Fähigkeit zur Aufrechterhaltung des Betriebs und die Ausreichendheit der Ressourcen im Falle von Störungen unter normalen Umständen und in Notfällen sicherstellen.
- Entwickeln Sie gegebenenfalls Maßnahmen zur Aufrechterhaltung des Geschäftsbetriebs, einschließlich der Planung der Geschäftskontinuität, in Übereinstimmung mit der Vereinbarung und den bewährten Sicherheitspraktiken.
- Führen Sie Risikobewertungen durch, um Ereignisse zu identifizieren, die das Potenzial haben, Geschäftsprozesse zu unterbrechen, und treffen Sie in angemessenem Umfang umfassende Kontinuitätsmaßnahmen, um die Auswirkungen solcher Ereignisse zu minimieren.
- Jegliches erhebliche Risiko der Abhängigkeit von Schlüsselpersonal (z. B. durch Wissenstransfer an andere Mitarbeiter) sollte minimiert werden, um die Kontinuität zu gewährleisten.
- Die Maßnahmen zur Sicherstellung der Leistungserbringung sollten regelmäßig überprüft werden, sofern solche Maßnahmen eingeführt wurden.
- Es muss sichergestellt werden, dass ein Testplan vorliegt, der detailliert beschreibt, wie und wann jedes Element der Aufrechterhaltungsmaßnahmen getestet wird und wurde. Der Lieferant hat die Nachweise der durchgeführten Tests aufzubewahren und dem Begünstigten auf Anfrage zur Verfügung zu stellen, um zu belegen, dass der Betrieb/die Dienstleistungen innerhalb der vereinbarten Fristen wiederaufgenommen werden können.
Stellen Sie sicher, dass die im Notfallplan festgelegten Kontinuitätsvereinbarungen für alle zusätzlichen Subunternehmer bestehen.
Abschnitt 13: Einhaltung
Allgemein: Zur Verwaltung eines Compliance-Programms, das die Wirksamkeit der im Vertrag definierten Kontrollen gewährleisten soll.
Der Lieferant wird:
- Stellen Sie sicher, dass alle Mitarbeiter des Lieferanten sowie Subunternehmer und Berater und deren Mitarbeiter diese Sicherheitsverpflichtungen und alle zusätzlichen im Vertrag festgelegten Sicherheitsverpflichtungen einhalten.
- Dem Begünstigten ist jährlich eine Benachrichtigung über die Einhaltung dieser Sicherheitsverpflichtungen zuzustellen, einschließlich aller aufgetretenen Vorfälle, die Risiken für die Daten des Begünstigten bergen.
- Der Begünstigte stimmt zu, dass er, falls der Lieferant diesen Sicherheitsverpflichtungen oder anderen im Vertrag festgelegten Sicherheitsverpflichtungen nicht nachkommt und diese Nichteinhaltung nicht innerhalb von 30 Tagen nach Erhalt einer schriftlichen Mitteilung behoben wird, den Vertrag oder eine darauf basierende Bestellung nach weiterer Benachrichtigung des Lieferanten ohne Strafzahlung teilweise oder vollständig kündigen kann.
- Der Begünstigte ist befugt, Audits durchzuführen, um die Einhaltung dieser Sicherheitsverpflichtungen und aller im Vertrag festgelegten zusätzlichen Sicherheitsverpflichtungen durch den Lieferanten zu überprüfen, einschließlich der Beauftragung eines unabhängigen Dritten.
- Alternativ zu d): Der Lieferant kann die Einhaltung dieser Sicherheitsverpflichtungen nachweisen, indem er dem Begünstigten unabhängige Prüfberichte von Drittanbietern zur Verfügung stellt.
- Prozesse aufrechterhalten, um regelmäßig die Wirksamkeit der in diesen Sicherheitsverpflichtungen festgelegten technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung von Begünstigteninformationen zu testen, zu bewerten und zu beurteilen.