Welche Sicherheitsmaßnahme belegt eine RFP-Anforderung?

Ausgangspunkt

Fixieren Sie zuerst die Anforderung im konkreten Vergabeverfahren

Lesen Sie die Sicherheitszeile zusammen mit Begriffsbestimmungen, Leistungsbeschreibung, Antwortanleitung, Wertungsmodell, Nachweisen, Umsetzungsterminen und Vertragsentwurf. Eine identische technische Forderung kann zum Abgabezeitpunkt, vor Betriebsbeginn oder während der gesamten Laufzeit gelten. Diese zeitliche Rolle entscheidet, welchen Ist-Zustand oder welche Verpflichtung die Antwort belegen muss.

Bestimmen Sie anschließend den angebotenen Geltungsbereich. Dazu gehören Bietergesellschaft, Los, Produktfassung, Betriebsform, Regionen, Produktions- und Nebensysteme, Support, Wiederanlauf, Schnittstellen, Datenarten, privilegierte Rollen und relevante Dienstleister. Eine unternehmensweit benannte Maßnahme belegt den konkreten Dienst erst, wenn dieser innerhalb ihrer Population liegt.

Übernehmen Sie einen Standardbegriff nicht ungeprüft. Der Auftraggeber kann eine ISO/IEC-27002-Maßnahme nennen und im nächsten Satz eine eigene Frequenz oder Nachweisform ergänzen. Dann ist die vollständige Forderung maßgeblich. Der Standard hilft bei der Einordnung, nimmt aber die zusätzlichen Bedingungen nicht zurück.

Prüfmodell

Machen Sie aus einer Sammelforderung mehrere Prüfaussagen

Eine Prüfaussage benennt mindestens Akteur, Handlung, Schutzobjekt und erwartetes Ergebnis. Ergänzen Sie die im Vergabetext vorhandenen Bedingungen: betroffene Systeme, Datenklassen, Auslöser, Häufigkeit, Frist, Vollständigkeit, Ausnahme und Nachweis. Fehlt eine Angabe im Original, bleibt sie offen. Eine interne Standardannahme darf nicht als Forderung des Auftraggebers erscheinen.

Achten Sie auf Verknüpfungen und Mengenwörter. „Protokollieren und täglich prüfen“ verlangt zwei verschiedene Ergebnisse. „Alle sicherheitsrelevanten Systeme“ macht die Vollständigkeit der Quellen selbst zum Prüfpunkt. „Innerhalb von 30 Minuten“ beschreibt nicht nur einen Prozess, sondern einen messbaren Zeitraum. Eine Abweichung in einem Teil lässt sich nicht durch gute Ergebnisse in den anderen Teilen ausgleichen.

Führen Sie auch den geforderten Nachweis separat. Ein Auftraggeber kann eine zwölfmonatige Aufbewahrung verlangen und zusätzlich einen Prüfbericht über die wirksame Protokollierung. Die Speicherkonfiguration kann die erste Aussage stützen, jedoch nicht automatisch die zweite. So bleibt erkennbar, ob die Leistung oder nur die gewünschte Belegform offen ist.

Zuordnungsobjekte

Trennen Sie Standard, interne Maßnahme und technische Umsetzung

Drei Ebenen werden in Ausschreibungen leicht vermischt. Ein Standard oder Rahmenwerk beschreibt Anforderungen, Ergebnisse oder empfohlene Maßnahmen. Die interne Sicherheitsmaßnahme legt Ziel, Verantwortlichkeit, Frequenz und erwartete Aufzeichnungen fest. Die Umsetzung bezeichnet die konkreten Systeme, Einstellungen und Abläufe im angebotenen Dienst. Nur die letzten beiden Ebenen können zeigen, was der Bieter im festgelegten Umfang tut.

Das BSI erläutert diesen Unterschied besonders klar: IT-Grundschutz-Anforderungen beschreiben, was geschehen muss oder soll; für das Wie sind geeignete Sicherheitsmaßnahmen festzulegen. Auch NIST trennt den Kontrollkatalog von den Verfahren zur Prüfung der Kontrollen. Eine Referenztabelle kann die inhaltliche Suche beschleunigen. Sie beweist nicht, dass die gefundene Maßnahme eingerichtet wurde oder im maßgeblichen Zeitraum funktioniert hat.

Halten Sie externe Kennung, Fassung und Zuordnungsbegründung neben der internen Maßnahmenkennung fest. Eine Beziehung kann vollständig, teilweise oder nur thematisch sein. NIST weist für seine eigenen Crosswalks darauf hin, dass Zuordnungen nicht stets eins zu eins sind und fachliche Bewertung enthalten. Übernehmen Sie deshalb weder Gleichwertigkeit noch Vollabdeckung aus einer Tabellenzelle.

Beziehungsart

Bilden Sie mehrere Beiträge und geteilte Verantwortung offen ab

Ordnen Sie nicht zwanghaft genau eine Maßnahme zu. Eine vollständige Protokollierungsforderung kann Quelleninventar, Ereigniskonfiguration, Zeitsynchronisation, zentrale Speicherung, Integritätsschutz, Aufbewahrung, tägliche Sichtung und Eskalation benötigen. Jeder Beitrag erhält eine eigene Zeile. Erst die gemeinsame Abdeckung aller Prüfaussagen stützt die Gesamtantwort.

Benennen Sie die Art der Beziehung. Vollständig bedeutet, dass Maßnahme und Nachweis die gesamte Prüfaussage im Angebot abdecken. Teilweise verlangt eine konkrete Angabe zur fehlenden Population, Bedingung oder Zeit. Ein gemeinsamer Beitrag wirkt nur zusammen mit anderen Zeilen. Eine reine Abhängigkeit ermöglicht die Maßnahme, erfüllt aber nicht selbst die Forderung. Referenz, falscher Geltungsbereich und keine Unterstützung sind weitere zulässige Ergebnisse.

Cloud-Leistungen verteilen Pflichten. Der Plattformanbieter kann physische Infrastruktur und Basistechnik absichern. Der Bieter konfiguriert die Anwendung, wertet Ereignisse aus und bearbeitet Feststellungen. Der Kunde verwaltet möglicherweise eigene Nutzerrollen. Der BSI-Auswertungsleitfaden für C5-Berichte verlangt deshalb neben den Maßnahmen und Prüfergebnissen des Anbieters auch die eigenen Nutzerkontrollen. Ordnen Sie jede Handlung der tatsächlich verantwortlichen Partei zu.

Nachweis

Prüfen Sie, welche Ebene ein Nachweis tatsächlich trägt

Eine Richtlinie belegt, dass eine Anforderung beschlossen wurde. Eine Konfigurationsausgabe kann die Einrichtung in einem System zeigen. Betriebsaufzeichnungen belegen durchgeführte Freigaben, Kontrollen oder Reaktionen in einem Zeitraum. Eine Prüfung verbindet Gegenstand, Methode und Ergebnis. Ein externer Bericht bietet unabhängige Aussagekraft, aber nur innerhalb seiner Systemgrenze, Kriterien und Prüfperiode.

Erfassen Sie für jeden Nachweis das geprüfte Objekt, die Fassung, Grundgesamtheit, Auswahlmethode, Stichprobe, Zeitraum, Beobachtungsdatum, Ergebnis, Ausnahmen und verantwortliche Stelle. Das BSI nennt für den IT-Grundschutz-Check Interviews, Vor-Ort-Prüfungen und die Kontrolle von Konfigurationseinstellungen. Die Methode muss zur Aussage passen. Ein Gespräch kann einen Prozess erklären, ersetzt aber keine Systemprüfung, wenn die Frage eine erzwungene Einstellung betrifft.

Prüfen Sie Vollständigkeit ohne Scheingenauigkeit. Bei 80 von 84 erfassten Protokollquellen ist die Quote berechenbar, doch die vier fehlenden Quellen bleiben für eine Alle-Forderung entscheidend. Eine Stichprobe kann innerhalb ihrer Auswahl aussagekräftig sein. Sie belegt nicht ohne Weiteres die gesamte Population. Halten Sie Gegenbelege und offene Feststellungen neben dem positiven Material fest.

Praxisbeispiel

Ordnen Sie die Protokollierungsforderung eines kommunalen Krankenhauses zu

Ein fiktives kommunales Krankenhaus beschafft eine Plattform für Patientenplanung. Die Ausschreibung verlangt, dass sicherheitsrelevante Ereignisse aller Systeme mit administrativen Patientendaten zentral erfasst, gegen unbefugte Veränderung geschützt, zeitlich synchronisiert, zwölf Monate aufbewahrt und werktäglich geprüft werden. Kritische Warnungen sind innerhalb von 30 Minuten zu eskalieren. Zum Angebot gehören Anwendung, Supportzugang, verwaltete Datenbank und eine Wiederanlaufumgebung. Das Krankenhaus betreibt sein Benutzerverzeichnis selbst.

Die Zeile wird in sieben Prüfaussagen geteilt: Quellenabdeckung, Ereignisumfang, Zeitsynchronisation, geschützte Zentralablage, Aufbewahrungsdauer, werktägliche Sichtung und Eskalationsfrist. LOG-02 führt die Protokollquellen und Ereignisarten. CFG-05 überwacht die Zeitquelle. LOG-05 regelt geschützte Speicherung und Aufbewahrung. SOC-04 beschreibt Sichtung, Priorisierung und Eskalation. GOV-09 gleicht das Quelleninventar vierteljährlich mit dem Systembestand ab.

Konfigurationsnachweise und ein aktueller Ereignistest decken Anwendung, Produktionsdatenbank und Supportzugang ab. Die Wiederanlaufumgebung erscheint jedoch nicht im Quelleninventar. Sie verarbeitet nur während einer Übung oder Störung Patientendaten, fällt aber unter das Wort „aller“. Auch das kundenbetriebene Verzeichnis liefert Ereignisse nur über eine vertraglich vorgesehene Schnittstelle; dessen Bereitstellung ist eine Kundenpflicht. Die Zuordnung trennt deshalb den fehlenden Lieferantenumfang von der klar benannten Kundenabhängigkeit.

Die Gesamtantwort bleibt bis zur Sicherheitsprüfung offen. Gute Aufbewahrung und schnelle Eskalation gleichen die fehlende Wiederanlaufquelle nicht aus. Die Zuordnung liefert der Prüfung die betroffene Umgebung, die Maßnahme, den fehlenden Nachweis und den genauen Vergabewortlaut. Sie entscheidet weder über Nachbesserung noch darüber, ob eine Einschränkung im Angebot zulässig ist.

Angebotstext

Leiten Sie die Antwort aus den belegten Zeilen ab

Formulieren Sie die Antwort erst nach fachlicher Prüfung der Zuordnung. Nennen Sie das angebotene System, den erfassten Umfang und das belegte Ergebnis in verständlicher Sprache. Eine interne Maßnahmenkennung erleichtert die Nachprüfung, ersetzt aber nicht die Erklärung. Wird ein Nachweis verlangt, verweisen Sie auf die kontrollierte Anlage, den relevanten Abschnitt oder den freigegebenen Prüfweg.

Passen Sie das Verb an die Nachweisebene an. „Die Richtlinie verlangt“ beschreibt Konzeption. „Die Einstellung erzwingt“ benötigt eine Systembeobachtung. „Die Kontrolle wurde im Zeitraum durchgeführt“ braucht Betriebsaufzeichnungen. „Die Prüfung ergab“ setzt Gegenstand, Methode, Datum und Ergebnis voraus. Vermeiden Sie „vollständig konform“, wenn die Zuordnung nur einzelne Sicherheitsforderungen bewertet.

Begrenzen Sie die Offenlegung. Rohprotokolle, Kontonamen, detaillierte Netzpläne und offene Feststellungen gehören nicht ohne fachliche Freigabe in eine Angebotsanlage. Ein geeigneter Auszug oder eine kontrollierte Einsicht kann den benötigten Beleg liefern. Vertraulichkeit darf jedoch nicht als Ausrede für eine positive Antwort ohne belegbare Grundlage dienen.

• Bezeichnen Sie Dienst, Umgebung und erfasste Population.
• Beschreiben Sie das nachgewiesene Ergebnis statt nur die Standardnummer.
• Nennen Sie Zeitraum und Nachweisart, wenn sie für die Aussage wesentlich sind.
• Übernehmen Sie notwendige Einschränkungen in jedes betroffene Antwortfeld.
• Sperren Sie eine Ja-Antwort, solange ein zwingender Teil unbelegt bleibt.

Pflege

Öffnen Sie betroffene Zuordnungen nach einer Änderung erneut

Jede Zuordnung gilt für einen festgelegten Angebotsstand und einen Prüfzeitpunkt. Ein Nachtrag, eine neue Definition, zusätzliche Schnittstelle, andere Region, Produktfassung, Supportrolle, Wiederanlaufoption, Plattformänderung, Feststellung oder abgelaufene Unterlage kann ihre Aussagekraft verändern. Bewahren Sie den alten Stand mit Begründung auf und ersetzen Sie ihn nicht still.

Nutzen Sie eindeutige Zustände wie Anforderung erfasst, Zuordnung in Prüfung, vollständig belegt, teilweise belegt, Verantwortung offen, Geltungsbereich falsch, Nachweis veraltet, nicht unterstützt, Sicherheitsprüfung erforderlich, Antwort freigegeben und ersetzt. Keiner dieser Zustände besagt von selbst, dass ein Gesamtrisiko angenommen oder eine vergaberechtliche Wertung getroffen wurde.

Bewahren Sie die Zuordnung beim jeweiligen Vergabevorhaben. Eine spätere Sicherheitsabfrage darf sie nur übernehmen, wenn Wortlaut, Leistungsumfang, Population, Zeitpunkt und Nachweisbedarf übereinstimmen. Wiederverwendbar ist die geprüfte Beziehung. Eine alte Ja-Antwort ist es nicht.