IT-Sicherheitskonzept für Hochwassernachrichten- und -alarmdienst (HWNAD)

Das Informationssicherheitskonzept umfasst den HWNAD des Landeshochwasserzentrums und verfolgt die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Grundlage sind der BSI-Standard 200-2 und die Sicherheitsvorgaben des LfULG. Externe Outsourcing-Partner werden nicht detailliert betrachtet; die eigenständige Erstellung eines Datenschutzkonzepts ist nicht Bestandteil der Leistung.

Den aktuell betriebenen Informationsverbund einschließlich bestehender Sicherheitsdefizite und kurzfristig notwendiger Maßnahmen untersuchen. Die Zielarchitektur der HWIMS-Modernisierung einschließlich der Anforderungen an Architektur, Entwicklung, Migration und Betrieb einbeziehen. Parallelbetrieb, Datenmigration, temporäre Schnittstellen, Test- und Betriebsumgebungen sowie übernommene Berechtigungen der Übergangs- und Migrationsphase betrachten. Erkenntnisse, die laufende Architektur-, Entwicklungs-, Beschaffungs- oder Betriebsentscheidungen beeinflussen können, unverzüglich mitteilen.

Den Geschäftsprozess, Informationsverbund, Anwendungen, IT-Systeme, Kommunikationsverbindungen, Netze, Abhängigkeiten, Schnittstellen und wesentliche Teilprozesse vollständig erfassen. Vorhandene Dokumentationen als Arbeitsgrundlage nutzen, wesentliche sicherheitsrelevante Angaben aber durch geeignete Erhebungen, Interviews und, soweit erforderlich und möglich, Einsichtnahmen in System- und Betriebsumgebungen validieren. Abweichungen, fehlende Informationen und nicht validierbare Annahmen transparent dokumentieren. Schutzbedarfe nachvollziehbar aus Geschäftsprozessen und dokumentierten Schadensszenarien ableiten und die Schutzbedarfsvererbung auf unterstützende Anwendungen, IT-Systeme, Kommunikationsverbindungen, Netze und sonstige relevante Zielobjekte festhalten.

Den Informationsverbund und die relevanten Zielobjekte nach der zum Bearbeitungszeitpunkt geltenden BSI-Grundschutzmethodik modellieren. Einen nachvollziehbaren IT-Grundschutz-Check durchführen und je betroffenem Zielobjekt Umsetzungsstatus, Nachweis oder Begründung, Abweichung und abgeleitete Maßnahme dokumentieren. Die nach BSI-Methodik erforderliche Risikoanalyse durchführen und betroffene Zielobjekte, Gefährdungsszenarien, Schadensauswirkungen, Eintrittsbewertung, Risikobehandlung und Restrisiken festhalten.

Sofortmaßnahmen für bestehende Risiken sowie Sicherheitsanforderungen für Architektur und Entwicklung der HWIMS-Modernisierung ableiten. Maßnahmen vor dem produktiven Go-live sowie organisatorische und technische Maßnahmen für den dauerhaften Regelbetrieb und die Fortschreibung des Informationssicherheitskonzepts benennen. Je wesentlicher Maßnahme Ausgangsbefund, Zielzustand, Priorität, Abhängigkeiten, soweit möglich Verantwortungszuordnung und zeitliche Einordnung dokumentieren.

Das Informationssicherheitskonzept, die abschließende Dokumentation, die Strukturanalyse, die Schutzbedarfsfeststellungen, die Modellierung des Informationsverbunds, die Nachweise und Tabellenwerke zum IT-Grundschutz-Check, gegebenenfalls die Risikoanalyse, den priorisierten Realisierungs- und Maßnahmenplan und weitere für die Nachvollziehbarkeit erforderliche Arbeitsartefakte liefern. Die Ergebnisse für angrenzende Steuerungs- und Nachweiszwecke des LfULG weiterverwendbar strukturieren. Informationsflüsse, Schnittstellen, Rollen und Berechtigungen, Protokollierungs- und Auditierungsanforderungen, externe Abhängigkeiten sowie Sicherungs-, Wiederanlauf- und Betriebsprozesse gesondert dokumentieren.

Alle Schritte, Annahmen, Entscheidungen und wesentlichen Bewertungsgrundlagen fortlaufend, nachvollziehbar und versioniert dokumentieren. Zwischenergebnisse fachlich prüf- und weiterverwendbar übergeben. Die Ergebnisse digital in bearbeitbaren Formaten wie Microsoft Word oder Excel oder gleichwertig sowie zusätzlich als PDF vorlegen. Verdichtete Ergebnisdokumente ohne die zugrunde liegenden strukturierten Arbeitsartefakte reichen nicht aus.

Enge Zusammenarbeit mit dem Auftraggeber organisieren, regelmäßig Zwischenstände und relevante Zwischenergebnisse mitteilen und Sachverhalte mit kurzfristigem Handlungsbedarf unverzüglich melden. Einen verantwortlichen Ansprechpartner beim Auftragnehmer benennen. Die Meilensteine Kick-off und Festlegung des Informationsverbunds, Review der Strukturanalyse, Review der Schutzbedarfsfeststellung, Abstimmung von Modellierung und IT-Grundschutz-Check, Vorstellung der wesentlichen Risiken und Maßnahmen sowie Abschlussreview des Konzepts einhalten. Die im Angebot genannten Meilensteine und Termine mit Zuschlagserteilung verbindlich einhalten. Alle zum Einsatz vorgesehenen Beschäftigten nach Zuschlag die geforderte Verpflichtungserklärung abgeben lassen.

Die wirtschaftliche und finanzielle Leistungsfähigkeit ist durch eine vollständig ausgefüllte Eigenerklärung nachzuweisen. Zusätzlich ist eine Kurzvorstellung des Unternehmens mit der Entwicklung der Mitarbeiterzahl und des Umsatzes der letzten drei Jahre vorzulegen.

Mindestens zwei verbindlich vorgesehene Mitarbeitende müssen jeweils über eine Zertifizierung als BSI-Grundschutz-Berater oder eine vergleichbare Qualifikation, mindestens fünf Jahre BSI-Grundschutz-Praxiserfahrung und die Begleitung von mindestens drei vergleichbaren Referenzprojekten verfügen. Für die Mitarbeitenden sind Personalprofile mit beruflichem Werdegang, Position, Schwerpunkten, Qualifikationen sowie Dauer und Inhalt der BSI-Grundschutzpraxis vorzulegen.

Im Angebot muss nachvollziehbar dargestellt werden, wie der reale Informationsverbund validiert, die BSI-Grundschutzmethodik angewendet, Ist-Zustand, Zielarchitektur und Migrationsphase bearbeitet sowie Erkenntnisse in die HWIMS-Modernisierung zurückgespielt werden. Ebenfalls darzulegen ist, wie Risiken, Ergebnisse und Maßnahmen für den späteren Betrieb und die Fortschreibung nutzbar bleiben.

Das Angebot muss geeignete Maßnahmen zur Qualitätssicherung und zum Projektmanagement sowie eine klare, aktuelle Projektplanung mit Projektphasen und Meilensteinen enthalten. Projektleitung, Stellvertretung, Projektmitarbeitende und ein verantwortlicher Ansprechpartner sind zu benennen. Die Personalprofile müssen den gesamten Auftragsgegenstand abdecken.

Die Eintragung im Handels- oder Berufsregister ist zu erklären. Das ausgefüllte Formular Angaben Abfrage Wettbewerbsregister ist mit den geforderten Unternehmens-, Register- und Personenangaben vorzulegen.

Erforderlich sind Erklärungen zur Wettbewerbsfähigkeit, zur Einhaltung der steuerlichen sowie arbeits-, tarif- und sozialrechtlichen Pflichten, zur Zahlung des allgemeinen Mindestlohns und zur Betriebshaftpflichtversicherung. Erforderliche Erklärungen zu EU-Ausschlussgründen sind abzugeben; bei Beteiligung von Nachunternehmern gilt dies auch für einen Subunternehmereinsatz von mehr als 10 Prozent des Auftragswerts.

Bei einer Bietergemeinschaft sind alle Mitglieder, der bevollmächtigte Vertreter, die Gesamtschuldnerhaftung, die Mitgliederunterschriften und die Aufteilung der Leistungen anzugeben. Bei Nachunternehmern müssen Art und Umfang der übertragenen Leistungen sowie deren Namen und zustellfähige Anschriften angegeben werden. Werden Eignungsmerkmale übertragen, ist die entsprechende Verpflichtungserklärung bereits mit dem Angebot vorzulegen.