Eine Entscheidung über eine Sicherheitskontrolllücke klärt, ob ein bestimmtes Angebot eine Anforderung tragen kann, obwohl die verlangte Kontrolle im angebotenen Geltungsbereich heute nicht vollständig belegt ist. Das Arbeitsergebnis `security_control_gap_decision` bindet Vergabe, Los, Bieterkonstellation, Lösung, Betriebsgrenze, Datenarten, Rollen, Dokumentstand und Prüfzeitpunkt. Es hält Klausel, Schutzziel, Bedrohung, Parameter, Erfüllungszeitpunkt, Nachweispflicht, Ist-Kontrolle, Prüfresultat, Restlücke, Abhilfe, mögliche kompensierende Kontrolle, Restrisiko, vergaberechtlich vorgesehenen Weg, Antwortwortlaut, Freigaben und Verfall fest. Es erteilt kein Sicherheitsattest, akzeptiert kein Risiko, scannt kein System und ersetzt weder Rechtsprüfung noch Bieterfrage, Offenlegung oder Angebotsfreigabe.
Eine einzelne Ja-Nein-Zelle verdeckt oft fünf verschiedene Befunde. Die Richtlinie existiert, aber die technische Umsetzung fehlt. Die Kontrolle läuft, deckt jedoch nur ein anderes Produkt oder eine andere Region ab. Das Verfahren ist implementiert, wurde nach einer Architekturänderung aber nicht erneut geprüft. Die Lücke soll vor Betriebsbeginn geschlossen werden, obwohl das Lastenheft den Nachweis bereits mit dem Angebot verlangt. Oder ein Team nennt eine manuelle Ersatzmaßnahme kompensierend, ohne Gleichwertigkeit und Wirksamkeit zu belegen. Wer daraus vorschnell Ja macht, kann eine nicht erfüllbare Sicherheitszusage abgeben. Ein pauschales Nein verschenkt dagegen Verfahren, in denen ein gleichwertiges Ergebnis oder eine fristgerechte, ausdrücklich zugelassene Abhilfe möglich wäre.
Entscheidend ist nicht der Name der Kontrolle, sondern das geforderte Schutzziel im genauen Angebotsumfang. Ordnen Sie zuerst Klausel, Wertungswirkung, Parameter und maßgeblichen Termin ein. Prüfen Sie danach Entwurf, Implementierung, Betrieb und Wirksamkeit der tatsächlich angebotenen Lösung. Ein tragfähiges Ergebnis folgt nur aus einem belegten Pfad: Die aktuelle Kontrolle erfüllt alles, eine freigegebene Abhilfe erreicht die zulässige Frist samt Prüfung, oder eine bewertete Ersatzkontrolle liefert vergleichbaren Schutz und darf im Verfahren angeboten werden. Eine interne Risikoakzeptanz ändert keine Vergabeunterlage. Der Agent strukturiert Quellen und Widersprüche. Informationssicherheit, Commercial und gegebenenfalls Recht verantworten die Entscheidung.
Bedeutung der Vorgabe
Ordnen Sie die Sicherheitsvorgabe dem richtigen Ereignis zu
Lesen Sie nicht nur die Zeile im Sicherheitsfragebogen. Suchen Sie dieselbe Vorgabe in Leistungsbeschreibung, Begriffsverzeichnis, Bewertungsmatrix, Umsetzungskalender, Nachweisliste und Vertragsentwurf. Dort zeigt sich, ob die Kontrolle bereits zum Angebot bestehen muss, Punkte bringt, erst zur Abnahme getestet wird oder während der gesamten Laufzeit geschuldet ist. Halten Sie die vom Auftraggeber genannte Folge einer Nichterfüllung fest. Der Kontrolltermin und der Nachweistermin können auseinanderfallen. Ein Konzept kann heute gewertet werden, obwohl der produktive Betrieb erst später geprüft wird.
Übernehmen Sie jeden einschränkenden Parameter. Bei einer Protokollierung können das privilegierte Aktionen, Aufbewahrungsdauer, Unveränderbarkeit, Zeitsynchronität, Region, Suchbarkeit, Export, Alarmierung und Löschberechtigung sein. Ein allgemeines Ja zu Audit Logging beantwortet keine Forderung nach 365 Tagen unveränderbarer Protokolle in der EU. Gleiches gilt für Authentisierung, Verschlüsselung oder Wiederanlauf. Erst die Parameter machen sichtbar, ob eine andere technische Umsetzung dasselbe Ergebnis erreicht oder am eigentlichen Ziel vorbeigeht.
Die Vergabegrundlage begrenzt den Lösungsraum. § 121 GWB verlangt eine möglichst eindeutige Leistungsbeschreibung mit den notwendigen Funktions- oder Leistungsanforderungen. § 31 VgV regelt unter anderem funktionale Anforderungen und bestimmte Verweise mit dem Zusatz „oder gleichwertig“. § 57 VgV nennt Ausschlussgründe, darunter unzulässige Änderungen an Vergabeunterlagen und nicht zugelassene Nebenangebote. Daraus folgt keine pauschale Lösung für jede Security-Klausel. Prüfen Sie die konkrete Verfahrensart, Unterlage und Rechtslage. Bei offenem Bedeutungs- oder Zulässigkeitsproblem bleibt die Entscheidung bei `clarification_required` oder `legal_review_required`.
| Rolle | Entscheidende Frage | Typischer Fehlschluss |
|---|---|---|
| Eignungsanforderung | Muss der festgelegte Bieter sie schon erfüllen? | Eine spätere Abhilfe wird unterstellt |
| Muss-Leistung | Welche Eigenschaft wird mit dem Angebot zugesagt? | Planung wird als Gegenwart gemeldet |
| Zuschlagskriterium | Welche belegte Qualität beeinflusst die Punkte? | Ein Punktverlust wird zum Ausschluss erklärt |
| Umsetzungsmeilenstein | Was muss bis zu welchem Test bereit sein? | Angebotsfrist und Kontrollfrist werden vermischt |
| Vertragsbedingung | Welche dauerhafte Pflicht und Rechtsfolge entsteht? | Betriebsaufwand und Rechtsfolge fehlen |
| Due Diligence | Welche Aussage und Evidenz dürfen offengelegt werden? | Offenlegung gilt als Abnahme |
Belastbarer Ist-Stand
Prüfen Sie die Kontrolle im angebotenen Betriebsbereich
Beschreiben Sie zuerst die Angebotsgrenze: Rechtsträger, Dienst und Edition, Hosting, Mandantenmodell, Region, relevante Datenarten, Schnittstellen, privilegierte Rollen, Kundenpflichten, Subdienstleister und Leistungsphase. Danach wird jede Evidenz auf diese Grenze geprüft. Ein allgemeiner Auditbericht kann wertvoll sein, wenn Systemgrenze, Zeitraum, Kriterien und Ausnahmen tatsächlich zur Behauptung passen. Er trägt nicht automatisch eine andere Region oder eine erst nach dem Prüfzeitraum eingeführte Komponente.
Unterscheiden Sie vier Nachweisschichten. Das Design beschreibt den vorgesehenen Mechanismus. Implementierungsbelege zeigen, dass er im festgelegten Scope eingerichtet ist. Betriebsbelege zeigen wiederholte Ausführung über den relevanten Zeitraum. Ein Assessment untersucht, ob das Schutzziel erreicht wird. NIST SP 800-53A bietet dafür anpassbare Bewertungsverfahren im Rahmen eines Risikomanagements. Die Publikation ist weder ein Zertifikat des Bieters noch automatisch die im Verfahren verlangte Prüfmethode. Speichern Sie Prüfgegenstand, Methode, Prüfer, Datum, Ergebnis, Einschränkungen und offene Findings.
Der Zustandswert darf Wissenslücken nicht kaschieren. `implemented_verified` verlangt aktuelle, scopegleiche Evidenz. `implemented_scope_mismatch` markiert eine bestehende Kontrolle im falschen Bereich. `partially_implemented` hält fehlende Parameter oder Populationen fest. `not_implemented` ist eindeutig. `planned_unapproved` bleibt Absicht ohne Befugnis. `remediation_approved` beschreibt einen freigegebenen Zukunftspfad. `compensating_candidate` ist eine ungeprüfte Ersatzidee, `compensating_validated` ein bewerteter und freigegebener Schutzvergleich. Bei `evidence_missing` ist keine positive Aussage zulässig, auch wenn der Control Owner die Funktionsweise erwartet.
| Schicht | Erforderlicher Datensatz | Allein nicht bewiesen |
|---|---|---|
| Design | Richtlinie, Architekturentscheidung, Parameter und Owner | Produktive Umsetzung |
| Implementierung | Konfigurations- oder Bereitstellungsbeleg im festen Scope | Dauerhafter Betrieb |
| Betrieb | Zeitbezogene Logs, Kontrollen oder Stichproben | Wirksamkeit gegen die Bedrohung |
| Assessment | Objekt, Methode, Prüfer, Datum, Ergebnis und Findings | Unveränderte Zukunft nach Scope-Wechsel |
| Externe Assurance | Berichtsgrenze, Zeitraum, Kriterien, Urteil und Ausnahmen | Nicht enthaltene Systeme und Parameter |
Wege zur Erfüllung
Verwechseln Sie Abhilfe, Kompensation und Ausnahme nicht
Eine Abhilfe verändert die bisherige Kontrolle. Planen Sie vom geforderten Abnahmeresultat rückwärts: freigegebenes Design, technische Umsetzung, sichere Konfiguration, Migration, Dokumentation, Schulung, Assessment, Schließung von Findings, Betriebsfreigabe und gegebenenfalls Kundenabnahme. Jeder Schritt erhält Owner, Vorgänger, Beleg, frühestes und spätestes Ende, Negativpfad und Abbruchdatum. Ein Backlog-Eintrag erfüllt diese Anforderungen nicht. Ein interner Test genügt ebenfalls nicht, wenn die Unterlagen einen unabhängigen Bericht oder eine Abnahme verlangen.
Eine kompensierende Kontrolle nutzt einen anderen Mechanismus, um vergleichbaren Schutz zu liefern. Die NIST-Definition spricht von einer Management-, Betriebs- oder technischen Maßnahme, die anstelle einer empfohlenen Baseline-Kontrolle eingesetzt wird und gleichwertigen oder vergleichbaren Schutz bietet. Für die Bid-Entscheidung müssen Ziel, Asset, Bedrohung, Abdeckung, Stärke, Ausfallart und neue Abhängigkeiten verglichen werden. Danach folgen ein passendes Assessment, dokumentiertes Restrisiko und die zuständige Freigabe. Ein längeres Passwort ersetzt keine phishingresistente Anmeldung. Häufigere Backups ersetzen kein unveränderbares Ereignisprotokoll.
Eine Ausnahme betrifft dagegen die Zustimmung des Auftraggebers zu einer Abweichung, Einschränkung oder späteren Leistung. Die interne Risikoannahme kann diese Zustimmung nicht ersetzen. Auch eine gesetzliche Gleichwertigkeitsregel muss zur konkreten Normreferenz oder Funktionsanforderung passen und verlangt gegebenenfalls einen Nachweis im Angebot. Dokumentieren Sie, ob Nebenangebote, Abweichungen oder Erläuterungen zugelassen sind und wo sie stehen müssen. Eine Bieterfrage braucht die offizielle Route und eine gesonderte Kontaktfreigabe. Verbergen Sie niemals eine Abweichung hinter einem uneingeschränkten Ja.
| Weg | Mindestbeleg | Grenze |
|---|---|---|
| Aktuelle Kontrolle | Scopegleicher Betrieb und Wirksamkeitsprüfung | Kein offener Pflichtparameter |
| Freigegebene Abhilfe | Ressourcen, kritischer Pfad, Negativpfad und Abschlussprüfung | Rechtzeitig zum erlaubten Ereignis |
| Kompensierende Kontrolle | Schutzvergleich, Assessment und Restrisikofreigabe | Anderes Mittel muss zulässig sein |
| Gleichwertige Lösung | Genaue Rechts- und Unterlagengrundlage samt Beweis | Keine allgemeine Änderungsbefugnis |
| Auftraggeberausnahme | Zulässiger Offenlegungsweg und ausdrückliche Annahme | Interne Zustimmung reicht nicht |
| No Bid | Wesentliche unerfüllte Vorgabe ohne tragfähigen Weg | Vertriebswunsch ändert keinen Befund |
Entscheidung und Aussage
Geben Sie Befund und Angebotsaussage gemeinsam frei
Ein Ampelwert reicht nicht. `bid_supported_by_current_control` gilt nur bei vollständigem, aktuellem Nachweis. `bid_supported_by_approved_remediation` setzt voraus, dass spätere Erfüllung zulässig ist und der freigegebene Pfad rechtzeitig bis zur verlangten Prüfung reicht. `bid_supported_by_validated_compensating_control` verlangt sowohl vergleichbaren Schutz als auch einen zulässigen Vergabeweg. Offene Arbeit bleibt als `security_review_required`, `clarification_required` oder `buyer_exception_required` sichtbar. `no_bid_security_gap`, `source_conflict`, `legal_review_required` und `authority_missing` verhindern eine unbelegte Freigabe.
Speichern Sie den genauen Antwortsatz neben der Entscheidung. Ein Ja bezieht sich auf die angebotene Umgebung und den belegten Zeitstand oder auf eine ausdrücklich zugelassene künftige Erfüllung. Eine geforderte Matrix bestimmt, an welcher Stelle Einschränkung oder Erläuterung bewertet wird. Zugleich wird die öffentlich freigegebene Beschreibung von geschützter Evidenz getrennt. Rohprotokolle, technische Schwachstellenberichte, Zugangsdaten, kundenbezogene Daten und detailreiche interne Pläne werden nur bei Erforderlichkeit, passender Vertraulichkeit und Empfängerbefugnis geteilt.
Abhilfe oder Ersatzkontrolle verändern häufig mehr als die Security-Zeile. Sie können Betriebskosten, Implementierungsaufwand, Abnahme, SLA, Kundenpflichten, Gewährleistung und Haftung berühren. Gleichen Sie Sicherheitsfragebogen, technische Antwort, Datenanlagen, Umsetzungsplan, Preisblatt, Annahmen und Vertrag ab. Informationssicherheit verantwortet Control Assessment und Restrisiko. Produkt und Delivery bestätigen die Umsetzbarkeit. Commercial entscheidet über Aufwand und Verfolgungsrisiko. Die Rechtsprüfung behandelt Vergabekonformität, Antwortwortlaut und Vertragswirkung.
| Feldgruppe | Pflichtinhalt | Nutzen für den Agenten |
|---|---|---|
| Identität | Verfahren, Los, Bieter, Angebot und Umgebungsfingerprint | Verhindert Evidenztransfer über Grenzen |
| Anforderung | Klausel, Fassung, Parameter, Rolle, Ereignis und Nachweis | Hält die Auftraggeberbedeutung prüfbar |
| Kontrollstand | Zustandsklasse, Evidenz, Assessment und Gegenbelege | Trennt Überzeugung von Beweis |
| Lösungsweg | Abhilfe, Kompensation, Gleichwertigkeit oder Ausnahme | Prüft nur den tatsächlich vorgeschlagenen Weg |
| Entscheidung | Ergebnis, Begründung, Wortlaut, Freigaben und nächste Aktion | Erlaubt eine begrenzte Empfehlung |
| Verfall | Nachtrag, Testfehler, Verzögerung, Scope- oder Vertragswechsel | Erzwingt Prüfung vor Wiederverwendung |
Fallbeispiel und Agentengrenze
Beispiel: Auditprotokolle sollen 365 Tage unveränderbar bleiben
Eine fiktive Kommune beschafft einen Fallmanagementdienst. Das Lastenheft verlangt ab Betriebsbeginn 365 Tage Aufbewahrung aller privilegierten Zugriffe in einem unveränderbaren EU-Archiv. Es nennt außerdem tägliche Vollständigkeitsprüfung, siebenjährige Speicherung der Prüfberichte und einen Export innerhalb von vier Stunden. Im Angebot wird der Lösungsweg bewertet; die Abnahme testet Archivierung, Sperre, Suche und Export. Die Abgabefrist liegt am 30. September 2026, die Abnahme am 15. März 2027. Alle Angaben sind erfunden und beziehen sich auf keine laufende Vergabe und keine Zephior-Infrastruktur.
Der angebotene Dienst hält Online-Protokolle heute 90 Tage. Eine bereits unterstützte EU-Archivschnittstelle kann Objekte mit einer zeitgebundenen Schreibsperre speichern. Für diesen Dienst fehlen jedoch ein geprüfter Vollständigkeitsabgleich, ein Wiederherstellungstest und die Freigabe der Berechtigungsgrenze. Das Team darf die Schnittstelle daher zunächst nur als `compensating_candidate` führen. Security und Delivery genehmigen einen Testplan für Vollständigkeit, Sperre, Suche, Export und Wiederherstellung. Erst nach bestandenem Assessment, bestätigtem Restrisiko, kalkulierten Speicherkosten und passender Angebotsdarstellung kann der Zustand `compensating_validated` und das Ergebnis `bid_supported_by_validated_compensating_control` werden.
Der strukturierte Datensatz enthält Verfahrens- und Loskennung, Quellenfassungen, Angebotsfingerprint, Logquellen, Aufbewahrungsparameter, Schutzobjekt, Evidenztermine, Kontrollzustand, Verweise auf geschützte Belege, Restlücke, Testplan, Schutzvergleich, Restrisiko, Vergabegrundlage, Kostenfolge, Wortlaut, Freigaben, nächste erlaubte Handlung und Verfallsereignisse. Ein Agent darf Klauseln finden, freigegebene Control Summaries vergleichen, Scope-Lücken erkennen, Termine berechnen, Antworten gegeneinander prüfen und eine interne Entscheidung oder autorisierte Bieterfrage vorbereiten. Er darf keine Systeme testen, Logs abrufen, Geheimnisse sehen, Risiko annehmen, eine Ausnahme zusagen, die Vergabestelle kontaktieren oder das Angebot einreichen.
Woran gute Arbeit erkennbar ist
Konkrete Ergebnisse für Ausschreibung trotz Sicherheitskontrolllücke
- Vergabe, Los, Bieter, Angebotslösung, Betriebsmodell und Prüfzeitpunkt bilden eine feste Entscheidungsgrenze.
- Die maßgebliche Klausel, ihre Fassung, Wertungsrolle, Parameter, Nachweise und Termine besitzen genaue Fundstellen.
- Schutzziel, relevante Assets, Identitäten, Datenflüsse und Bedrohung werden benannt, ohne geschützte Einzelheiten offenzulegen.
- Kontrolldesign, technische Umsetzung, laufender Betrieb und geprüfte Wirksamkeit bleiben vier getrennte Aussagen.
- Abweichende Gesellschaft, Produktedition, Umgebung, Region, Mandantengruppe oder Administratorrolle erscheinen als Scope-Lücke.
- Eine Abhilfe enthält Freigabe, Verantwortliche, Abhängigkeiten, Terminspanne, Abnahmetest, Negativpfad und Stoppdatum.
- Eine kompensierende Kontrolle trägt nur mit einem Vergleich des Schutzes, einer Prüfung und einer benannten Risikoentscheidung.
- Gleichwertigkeit, Nebenangebot, Abweichung, spätere Erfüllung oder Bieterfrage werden nur mit belegter Verfahrensgrundlage genutzt.
- Der Sicherheitsbefund stimmt mit Technik, Umsetzung, Preis, SLA, Vertrag und allen zugehörigen Antworten überein.
- Ein Agent erhält prüfbare Zustände und erlaubte Folgehandlungen, aber keine Geheimnisse oder ausnutzbaren Schwachstellendetails.
Betriebsmodell
So wird die Arbeit ausgeführt
- 01
Angebotsgrenze festschreiben
Erfassen Sie Vergabestelle, Verfahren, Los, Bieter, angebotenen Dienst, Betriebsmodell, Datenklassen, privilegierte Rollen, relevante Dritte, Dokumentfassungen und Prüfzeit.
- 02
Anforderung auslegen
Übernehmen Sie Klausel und Begriffe, Muss- oder Wertungscharakter, verlangten Nachweis, betroffenen Scope und tatsächlichen Erfüllungszeitpunkt.
- 03
Schutzziel präzisieren
Beschreiben Sie Asset, Bedrohung, Sicherheitswirkung, Messparameter und erwartete Assurance, bevor technische Mittel verglichen werden.
- 04
Ist-Kontrolle prüfen
Vergleichen Sie Design, konfigurierte Reichweite, Betriebsbelege und Assessments mit der Angebotsumgebung; notieren Sie Datum, Prüfer, Grenzen und Gegenbelege.
- 05
Restlücke klassifizieren
Trennen Sie fehlende Umsetzung, Teilabdeckung, Scope-Fehler, unzureichenden Nachweis, gescheiterten Test, ungeprüfte Planung und externe Abhängigkeit.
- 06
Jeden Weg einzeln testen
Bewerten Sie aktuelle Erfüllung, freigegebene Abhilfe, vergleichbare Kompensation, zulässige Gleichwertigkeit, Bieterfrage und Ausnahme nicht als austauschbare Optionen.
- 07
Angebot vollständig abgleichen
Übertragen Sie Folgen auf Architektur, Umsetzung, Kosten, Abnahme, Leistungswerte, Gewährleistung, Haftung, Nachweislieferung und andere Antworten.
- 08
Wortlaut mit Risiko freigeben
Legen Sie die genaue externe Aussage und ihre Evidenzgrenze den zuständigen Security-, Produkt-, Delivery-, Commercial- und Rechtsfreigaben vor.
- 09
Entscheidung aktiv verfallen lassen
Öffnen Sie sie nach Nachtrag, Scope-Wechsel, fehlgeschlagenem Test, verzögerter Abhilfe, verändertem Datenfluss, Drittanbieterwechsel oder Vertragsänderung erneut.
Bewertung
Fragen, die den Entscheid verändern
- Welche Fundstelle regelt diese Sicherheitsanforderung für das konkrete Los und Angebot?
- Handelt es sich um Eignung, Muss-Leistung, Wertung, Umsetzungsmeilenstein, Vertragsbedingung oder reine Due Diligence?
- Zu welchem Ereignis muss die Kontrolle wirken und wann ist welcher Nachweis vorzulegen?
- Welches Asset und welche Bedrohung liegen hinter dem Begriff, und welche Parameter sind verbindlich?
- Welche Gesellschaft, Produktfassung, Region, Umgebung, Mandanten, Datenwege und Rollen deckt die Evidenz ab?
- Belegt das Material nur eine Vorgabe und Implementierung oder auch Betrieb und Wirksamkeit?
- Erreicht eine freigegebene Abhilfe den geforderten Test auch im realistischen Negativpfad vor der zulässigen Frist?
- Liefert die vorgeschlagene Ersatzkontrolle für denselben Scope vergleichbaren Schutz und wer hat das geprüft?
- Erlauben die Unterlagen eine gleichwertige Lösung, ein Nebenangebot, eine erklärte Abweichung, spätere Erfüllung oder Bieterfrage?
- Welche Restrisiken, Zusatzkosten, Betriebsaufwände und Vertragsfolgen bleiben und wer darf sie übernehmen?
- Welcher externe Satz ist heute belegbar und welches Ereignis macht seine Freigabe ungültig?
Fehlermuster
Wo Teams die Kontrolle verlieren
Ein konzernweiter Nachweis wird einem Dienst zugerechnet, der außerhalb des geprüften Bereichs liegt.
Eine Richtlinie oder ein Kontrolldesign gilt fälschlich als implementierte und wirksame Maßnahme.
Nach einer Änderung von Architektur, Rollen oder Datenfluss wird ein historisches Testergebnis weiterverwendet.
Ein geplantes Remediation-Ticket erscheint im Angebot als heutige Erfüllung oder sicherer Fertigstellungstermin.
Ein Workaround heißt kompensierende Kontrolle, obwohl Schutzziel, Vergleich und Wirksamkeit ungeprüft sind.
Interne Risikoakzeptanz wird mit der Zustimmung des Auftraggebers zu einer Abweichung verwechselt.
Eine Gleichwertigkeitsregel für Normen wird ohne Prüfung auf eine ausdrücklich vorgeschriebene Methode übertragen.
Die Matrix sagt bedingungslos Ja, während eine einschränkende Erklärung in einem unbeachteten Anhang steht.
Evidenz legt interne Architektur, Sicherheitslücken, Zugangsdaten, Kundendaten oder geschützte Prüfdetails unnötig offen.
Der Security-Befund widerspricht Leistungsbeschreibung, Umsetzung, SLA, Kalkulation oder Vertragsentwurf.
Ein Agent akzeptiert Risiko, veranlasst eine Maßnahme, kontaktiert die Vergabestelle oder reicht ohne Vollmacht ein.
Messung
Das fertige Ergebnis messen
Gemessen wird der abgeschlossene Prozess inklusive Review-Aufwand und Ausnahmen. Reines Output-Volumen beweist noch keine bessere Arbeitsweise.
- Sicherheitsanforderungen mit fester Quelle, Schutzziel, Angebots-Scope und Erfüllungsereignis
- Ist-Aussagen mit aktuellen, scopegleichen Betriebs- und Wirksamkeitsnachweisen
- Kontrolllücken nach Umsetzung, Reichweite, Betrieb, Effektivität oder Evidenzmangel klassifiziert
- Abhilfepfade mit Budgetfreigabe, Abhängigkeiten, spätestem Termin und Abschlussprüfung
- kompensierende Kontrollen mit Schutzvergleich, Assessment, Restrisiko und benannter Freigabe
- Gleichwertigkeits- und Ausnahmewege mit genauer Grundlage in Unterlagen oder Recht
- positive Bid-Entscheidungen über Security, Technik, Delivery, Commercial und Vertrag abgeglichen
- bedingte Entscheidungen vor Ablauf ihrer Evidenz oder Annahmen erneut geprüft
- geschützte Nachweise auf Erforderlichkeit, Empfänger und Freigabe kontrolliert
- unbelegte Security-Zusagen, verdeckte Abweichungen, unbefugte Risikoentscheidungen und Einreichungen; Zielwert null
Fragen
Häufige Fragen
Dürfen wir Ja sagen, wenn die Abhilfe vor Go-live fertig wird?
Nur wenn die Unterlagen eine spätere Erfüllung zulassen, der genehmigte Pfad Implementierung und geforderte Prüfung rechtzeitig erreicht, auch der Negativpfad tragfähig ist und die zuständigen Personen den genauen Wortlaut freigeben.
Ist jeder Workaround eine kompensierende Kontrolle?
Nein. Die Alternative muss dasselbe Schutzziel im festen Scope mit vergleichbarem Schutz erreichen, geprüft und mit dokumentiertem Restrisiko freigegeben sein. Auch der Vergabeweg für ein anderes Mittel muss passen.
Macht interne Risikoakzeptanz das Angebot konform?
Nein. Sie regelt nur die Risikoverantwortung des Anbieters. Sie ändert keine Mussanforderung und beweist weder die Zulässigkeit einer Abweichung noch deren Annahme durch den Auftraggeber.
Schließt ein Sicherheitszertifikat die konkrete Lücke?
Nur soweit Scope, Zeitraum, Kriterien und Ergebnis genau zur Anforderung passen. Ein Zertifikat kann eine Aussage stützen, beweist aber nicht automatisch jeden Kontrollparameter und jede Angebotsumgebung.
Welche Entscheidung darf ein KI-Agent treffen?
Er darf eine zitierte, scopegebundene Empfehlung erstellen und bei fehlender Evidenz oder Befugnis anhalten. Menschen genehmigen Risiko, Aussage, Abhilfe, geschützte Offenlegung, Kontakt und Einreichung.
Quellen
Primärquellen
- NIST SP 800-53A Revision 5 zur Prüfung von Sicherheits- und Datenschutzkontrollen National Institute of Standards and Technology
- NIST-Glossar zur kompensierenden Sicherheitskontrolle National Institute of Standards and Technology
- Richtlinie 2014/24/EU, konsolidierte Fassung, Artikel 42, 44 und 56 EUR-Lex
- § 121 GWB, Leistungsbeschreibung Bundesministerium der Justiz und Bundesamt für Justiz
- § 31 VgV, Leistungsbeschreibung Bundesministerium der Justiz und Bundesamt für Justiz
- § 57 VgV, Ausschluss von Angeboten Bundesministerium der Justiz und Bundesamt für Justiz
Über den Autor
Tony Kim
Tony schreibt über angewandte AI, verlässliches Product Engineering und Systeme, die komplexe Response-Arbeit kontrollierbar machen.
Zelius
Gemanagte Ausschreibungsintelligenz und Bid-Ausführung für Teams, die das Geschäftsergebnis suchen.
Anbieter, Gründerinnen und Gründer sowie Vertriebsteams für öffentliche und private Chancen. Ausgangspunkt sind der bestehende Ablauf, seine Grenzen und die vorhandenen Nachweise.