Betrieb Software as a Service#
Hinweis
Dieser Teil sollte nur in die Ausschreibung übernommen werden, wenn ein Betrieb der Software als Software-as-a-Service (Cloud-Modell) auf Servern des Ticketsystemanbieters gewünscht ist.
ISO-Zertifizierung Anbieter#
Soll-Kriterium
Der Systemanbieter betreibt ein Informationssicherheitsmanagementsystem (ISMS), das nach ISO/IEC 27001 zertifiziert ist. Der Anwendungsbereich der Zertifizierung umfasst mindestens die Entwicklungsprozesse der Software sowie den Betrieb der SaaS-Dienstleistung.
ISO-Zertifizierung Rechenzentrum#
Muss-Kriterium
Die Betreiber aller verwendeten Rechenzentren betreiben ein Informationssicherheitsmanagementsystem (ISMS), das nach ISO/IEC 27001 zertifiziert ist.
Verfügbarkeit#
Muss-Kriterium
Das System ist im Jahresmittel 99,9% der Zeit verfügbar (das entspricht maximal 8h 45m Ausfall pro Jahr, Wartungsfenster nicht eingerechnet).
Verschlüsselung#
Muss-Kriterium
Alle internen und externen Datenübertragungen erfolgen verschlüsselt nach Stand der Technik. Alle Webserver sind nur mit aktuellen TLS-Versionen erreichbar und erreichen eine Note von A oder besser im Qualys SSL Server Test oder einem vergleichbaren unabhängigen Test.
Mandantentrennung#
Muss-Kriterium
Der Systemanbieter hat eine wirksame Mandantentrennung umgesetzt, durch die die Daten der Auftraggeberin von anderen Auftraggebern getrennt gehalten werden. Die technische Umsetzung dieser Mandantentrennung ist dokumentiert und wurde z.B. durch externe Pentests überprüft.
Auftragsverarbeitung#
Muss-Kriterium
Der Systemanbieter verarbeitet die Daten als weisungsgebundener Auftragsverarbeiter im Auftrag der Auftraggeberin im Sinne von Art. 28 DSGVO und verwendet die Daten zu keinen eigenen Zwecken. Der Systemanbieter ist bereit, einen entsprechenden Vertrag zur Auftragsverarbeitung (AVV) mit der Auftraggeberin zu verhandeln und stellt dafür auch eine Vorlage bereit.
Skalierbare Architektur#
Muss-Kriterium
Der Systemanbieter implementiert eine skalierbare Architektur, bei der der Betrieb der Applikation auch sehr kurzfristig auf größere Kapazitätsbedarfe angepasst werden kann.
Redundanz#
Muss-Kriterium
Der Systemanbieter vermeidet in der kompletten Systemarchitektur jeden möglichen Single Point of Failure und legt alle Komponenten redundant aus.
Georedundanz#
Soll-Kriterium
Der Systemanbieter speichert die Daten der Auftraggeberin georedundant, d.h. in mehr als einem Rechenzentrum.
Monitoring#
Muss-Kriterium
Der Systemanbieter implementiert ein umfangreiches Monitoringkonzept, mit dem die Verfügbarkeit und Performance des Systems kontinuierlich überwacht wird. Bei signifikanten Störungen wird 24/7 automatisch technisches Personal alarmiert.
Backups#
Muss-Kriterium
Der Systemanbieter implementiert ein Backupkonzept, mit dem er die Verfügbarhaltung der Daten der Auftraggeberin auch bei Datenverlusten im Produktivsystem sicherstellt. Backups werden mehrfach täglich angefertigt und mindestens 4 Wochen georedundant gespeichert.
Wartungsarbeiten#
Muss-Kriterium
Geplante Wartungsarbeiten werden, wenn nicht aus Gründen der IT-Sicherheit kurzfristiger notwendig, der Auftraggeberin mindestens eine Woche vorher angekündigt und nach Möglichkeit so terminiert, dass diese nicht mit dem Veranstaltungsbetrieb bzw. den Öffnungszeiten der Auftraggeberin überschneiden.
Statusinformationen#
Soll-Kriterium
Der Systemanbieter verfügt über eine öffentliche Statusseite, über die bei Systemstörungen Details zu Ursachen und voraussichtlicher Dauer kommuniziert werden oder verfügt über einen Mechanismus, die Auftraggeberin in solchen Fällen per E-Mail zu informieren.
Patching#
Muss-Kriterium
Der Systemanbieter patcht alle Sicherheitslücken in beteiligten Softwarekomponenten risikogerecht und schnellstmöglich.
Responsible Disclosure#
Soll-Kriterium
Der Systemanbieter verfügt über einen öffentlich dokumentierten Prozess zur Meldung von Sicherheitslücken.
Pentests#
Soll-Kriterium
Der Systemanbieter führt in regelmäßigen Abständen (mindestens alle 2 Jahre) Penetration Tests durch, um die Sicherheit der Software zu überprüfen.