Einführung eines unternehmensweiten PPS- und Ressourcenmanagementtools

Bitte geben Sie als Eigenerklärung an, ob Sie Teile des Gesamtauftrages als Unteraufträge an Nachunternehmer zu vergeben beabsichtigen. Nachunternehmer haben eine Verpflichtungserklärung beizufügen, nach der sie zur Erbringung der Leistungen im Auftragsfall bereit sind. Beabsichtigt der Bieter, Teile der Leistung von Nachunternehmern ausführen zu lassen, muss er Art und Umfang der jeweiligen Leistungen angeben.

Nachweis DIN EN ISO 9001 oder gleichwertig - bitte beifügen! Sofern Ihr Unternehmen über einen gültigen Nachweis über die Anwendung und/oder Zertifizierung eines Qualitätssicherungssystems nach DIN EN ISO 9001 oder gleichwertig verfügen, ist dieser als Anlage beizufügen. Alternativ bestätigen Sie, dass ein eigenes Qualitätsmanagementsystem in Ihrem Unternehmen etabliert ist. Erstellen sie bitte dafür eine max. 2-seitige Eigenerklärung, in der sie ausführen welche Maßnahmen zur qualitativen Sicherung der Arbeitsprozesse in Ihrem Unternehmen bestehen. Gehen Sie bitte insbesondere auf die folgenden Aspekte ein: Umgang mit Fehlern, Kundenorientierung, Verantwortlichkeit der Führung, Einbeziehung der beteiligten Personen, prozessorientierte Systemabläufe und systemorientierter Managementansatz ), kontinuierliche Verbesserung. Sofern bestätigende Zertifikate vorliegen sind diese beizufügen.

Datenschutz und Informationssicherheit dass die nachfolgenden Aspekte zwingend eingehalten werden und fügen Sie die geforderten Nachweise dem Angebot bei. Bitte beachten Sie, dass Nachweise ebenfalls von evtl. Nachunternehmern dem Angebot beigefügt werden müssen. a) Der Auftragnehmer, sowie ggf. eingesetzte Nachunternehmer, müssen eine gültige ISO27001-Zertifizierung (oder gleichwertig) vorweisen können. Diese ist beizulegen. Der Zertifizierungsprozesses für die ISO 27001 muss nachgewiesen werden. b) Der Auftragnehmer, sowie ggf. eingesetzte Nachunternehmer, müssen ein mit der DSGVO konformes Datenschutzmanagementsystem betreiben. Löschfristen müssen schriftlich festgelegt und nach den Vorgaben der DSGVO in das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO aufgenommen werden. c) Der Auftragnehmer, sowie ggf.eingesetzte Nachunternehmer, muss geeignete technische und organisatorische Maßnahmen (TOM) sicherstellen, die dem Stand der Technik entsprechen und konform mit Gesetzen und Vorgaben, z.B. der DSGVO, sind. d) Die Datenverarbeitung muss ausschließlich innerhalb des Europäischen Wirtschaftsraumes (EWR) oder in Ländern mit einem vorliegenden Angemessenheitsbeschluss gemäß Art. 45 DSGVO stattfinden. e) Der Auftragnehmer muss ein Datensicherungskonzept für die von ihm betriebenen Lösungen vorlegen, das die zu erbringenden Datensicherungs- und Wiederherstellungsleistungen wiederspiegelt. Dieses muss die Verfahren und Maßnahmen zur Sicherung, Aufbewahrung und Wiederherstellung von Daten nachvollziehbar beschreiben. f) Der Auftragnehmer muss sicherstellen, dass bei der Auswertung der Daten Verfahren eingesetzt werden, die dem Stand der Technik (siehe ITGrundschutz- Kompendium BSI OPS.1.1.5 Protokollierung) entsprechen und eine durchgängige Nachvollziehbarkeit sowie Rekonstruktion von Angriffen ermöglichen. g) Bei Notwendigkeit der Verwendung von Servern des Dienstleisters müssen die Daten innerhalb der Europäischen Union verarbeitet und gespeichert werden. Die Serverstandorte sind anzugeben und vertraglich zuzusichern. h) Es werden direkte Ansprechpartner:innen des Auftragnehmers für Sicherheitsfragen angegeben. Der Auftragnehmer MUSS geeignete Ansprechpartner für sicherheitsrelevante Ereignisse definieren. i) Der Auftragnehmer muss Sicherheitslücken und entstehende Inkompatibilitäten mit abhängigen Komponenten identifizieren, den Auftraggeber informieren und unverzüglich Abhilfe bereitstellen. Ein Prozess muss festgelegt sein, der den Informationsfluss bei Sicherheitsvorfällen sicherstellt. k) Der Auftragnehmer betreibt die Lösung und muss Rückfall- Lösungen erarbeiten, bevor Änderungen durchgeführt werden. Bei größeren, sicherheitsrelevanten Änderungen muss das Informationssicherheitsmanagement des Auftraggebers schon im Vorfeld beteiligt werden. l) Der Auftragnehmer muss in seiner Lösung Transport Layer Security (TLS) in einer Version >1.1 (bevorzugt 1.3) unterstützen. Unsichere Versionen von TLS sind zu deaktivieren. Dabei muss die TR02102-2 des BSI zugrunde gelegt werden. Der Auftragnehmer unterstützt in seiner Lösung den Sicherheitsmechanismus HTTP Strict Transport Security (HSTS) gemäß RFC 6797.

Datenverarbeitung, Protokollierung, Revisionssicherheit, Datensicherung und -wiederherstellung Die Auftraggeber bleiben jederzeit Eigentümer der Daten. Der Auftragnehmer muss in seiner Lösung die für Protokollierungsdaten gesetzlich vorgeschriebenen Regelungen berücksichtigen und im Konzept dokumentieren. Protokolle müssen auswertbar, nachvollziehbar und revisionssicher gespeichert werden. Eine strukturierte Analyse und Auswertung der Protokolldaten muss möglich sein. Der Auftragnehmer muss in seiner Lösung die für Protokollierungsdaten gesetzlich vorgeschriebenen Regelungen berücksichtigen und im Konzept dokumentieren. Die Lösung muss ein Datensicherungs- und Wiederherstellungskonzept (Backup/Recovery) bereitstellen. Die Wiederherstellung muss vollständig und innerhalb definierter technischer Parameter (z. B. Datenintegrität) möglich sein.

Haftpflichtversicherung: 1. Der Auftragnehmer hat für die Dauer des Vertrags Haftpflichtversicherungen mit Deckung der gesetzlichen Haftpflicht für ihn als Versicherungsnehmer mit folgenden Mindestdeckungen nachzuweisen: • Betriebshaftpflicht-Versicherung Für Personen-, Sach- und daraus resultierende Vermögensschäden EUR 5.000.000 je Versicherungsfall • IT-Berufshaftpflicht-Versicherung mit einer Mindestdeckungssumme für Vermögensschäden in Höhe von EUR 500.000,- oder eine vergleichbare Vermögensschadenhaftpflicht-Versicherung für (reine) Vermögensschäden in Höhe von EUR 500.000 je Versicherungsfall. Alle Deckungssummen sind mindestens 2-fach maximiert. 2. Das Bestehen der Versicherungsdeckungen ist durch Vorlage einer Erklärung des Versicherers mit Nennung des Risikos (Tätigkeitsfeld) und der Deckungssummen erstmalig unaufgefordert binnen eines Monats nach Zuschlagserteilung nachzuweisen und dann während der gesamten Vertragslaufzeit jede Änderung der Versicherungsverhältnisse, die sich auf Art, Umfang oder Bestand des Versicherungsschutzes auswirkt, unverzüglich und unaufgefordert gegenüber dem Auftraggeber anzuzeigen.