Betrieb On-Premise#
Hinweis
Dieser Teil sollte nur in die Ausschreibung übernommen werden, wenn ein Betrieb der Software auf eigenen Servern der Auftraggeberin gewünscht ist.
ISO-Zertifizierung Anbieter#
Soll-Kriterium
Der Systemanbieter betreibt ein Informationssicherheitsmanagementsystem (ISMS), das nach ISO/IEC 27001 zertifiziert ist. Der Anwendungsbereich der Zertifizierung umfasst mindestens die Entwicklungsprozesse der Software sowie den Betrieb der Software Supply Chain für Updates etc.
Hochverfügbarkeit#
Muss-Kriterium
Die Systemarchitektur ist für Hochverfügbarkeit ausgelegt, sodass das System bei geeigneter Konfiguration auf eine Verfügbarkeit von 99,9% im Jahresmittel ausgelegt werden kann. Alle Komponenten können bei Bedarf redundant ausgelegt werden.
Datenbank#
Soll-Kriterium
Das System basiert auf einer etablierten und industrieüblichen SQL-Datenbank, z.B. PostgreSQL, MySQL, MariaDB, Oracle, oder MSSQL. Im Fall von Oracle und MSSQL werden die Lizenzen durch den Systemanbieter beschafft und sind in den angebotenen Lizenzpreis der Software mit eingerechnet.
Skalierbare Architektur#
Soll-Kriterium
Das System ist für eine skalierbare Architektur ausgelegt, bei der der Betrieb der Applikation auch sehr kurzfristig auf größere Kapazitätsbedarfe angepasst werden kann.
Monitoring- und Backupkonzept#
Soll-Kriterium
Der Systemanbieter stellt Empfehlungen für ein Monitoring- und Backupkonzept zur Verfügung, die durch die Auftraggeberin implementiert werden können.
Updates#
Muss-Kriterium
Updates werden durch den Systemanbieter regelmäßig zur Verfügung gestellt und enthalten einen Changelog, aus dem die Auftraggeberin den Aufwand des Updates abschätzen kann. Die Terminierung der Updates obliegt dem Auftraggeber. Bei dringlichen Sicherheitsupdates weist der Systemanbieter den Anbieter gesondert auf die Dringlichkeit hin.
Responsible Disclosure#
Soll-Kriterium
Der Systemanbieter verfügt über einen öffentlich dokumentierten Prozess zur Meldung von Sicherheitslücken in der Software.
Quellcode#
Kann-Kriterium
Der Systemanbieter stellt dem Anbieter den Quellcode der Anwendung zur Verfügung.
Weiternutzung des Quellcodes#
Kann-Kriterium
Der Systemanbieter stellt dem Anbieter den Quellcode der Anwendung unter Lizenzbedingungen zur Verfügung, die die Weiternutzung und die interne Weiterentwicklung ermöglichen, sollte der Systemanbieter nicht mehr existieren oder das Produkt nicht mehr am Markt anbieten.
Open Source#
Kann-Kriterium
Der Systemanbieter stellt dem Anbieter den Quellcode unter einer anerkannten Open-Source-Lizenz zur Verfügung.
Pentests#
Soll-Kriterium
Der Systemanbieter führt in regelmäßigen Abständen (mindestens alle 2 Jahre) Penetration Tests durch, um die Sicherheit der Software zu überprüfen.