Anforderungen für Einkäufe
Vorgang durch den die Institution die notwendigen Hard- und Softwarekomponenten, IT-Dienstleistungen oder andere für den Geschäftsbetrieb notwendige Ressourcen durch Dritte erhält.
Auch genannt: Verträge, Beschaffungen.
Beispiele: Kauf-, Werk oder Mietvertrag.
39 Anforderungen gelten für ein Asset dieser Kategorie: 39 direkt zugeordnet. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 403. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.
Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.
Unterkategorien: Dienstleistungen, IT-Produkte. Deren eigene Anforderungen stehen nicht hier, sie gelten nur für die jeweilige Unterkategorie.
Direkt zugeordnet (39)
Abschnitt betitelt „Direkt zugeordnet (39)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| BES.1.3 Lieferanten- und Dienstleisterverzeichnis | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1 Erfassung des Bedarfes | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.4 Kompatibilität | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.4.1 Kompatibilität der Schnittstellen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.4.2 Kompatibilität der Netzanbindung | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.4.3 Kompatibilität des Administrationsmodells | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.4.4 Kompatibilität des Datenmanagementmodells | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.4 Anhörung Nutzender | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.5 Anhörung Administrierender | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.3.1 Klassifizierung von Lieferantenbeziehungen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.3.2 Auswahlkriterien | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.3.3 Unzuverlässige Lieferanten | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.1 Klassifizierung von Beschaffungsvorhaben | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.2 Dokumentation der Beschaffungskriterien | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.3 Beschaffung anhand der Kriterien | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.5 Security by Design | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.6 Security by Default | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.8 Konformitätsnachweise | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.3 Compliance-Verpflichtungen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.4 Informationssicherheitskontrollmechanismen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.6 Vergabe von Unteraufträgen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.6.1 Weitergabe der Beschaffungskriterien | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.10 Behandlung von Vorfällen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.10.1 Erreichbarkeit über Meldewege | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.10.2 Melden von Vorfällen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.10.3 Schwachstellenbehebung | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.7.1 Eingangskontrolle | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.7.4 Vollständigkeit der Unterlagen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.7.4.4 Dokumentation der Komponenten | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.1.3.1 Gesamte Lieferkette | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.3.2.1 Zertifizierte Lieferanten | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.3.2.2 Quellendiversifikation | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.4.8.1 Zertifizierung | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.4.9 Sicherheitsüberprüfung (extern) | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.5.6.2 Autorisierung von Unterauftragnehmern | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.5.7 Schulung | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.5.10.4 Konfliktlösungsprozesse | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.5.10.5 Konsequenzen bei Verstößen | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.8.1 Bereithaltung alternativer Lieferanten | KANN | Erhöhte SicherheitsstufeErhöht |
Dokumente zu diesen Anforderungen (5)
Abschnitt betitelt „Dokumente zu diesen Anforderungen (5)“Diese Anforderungen nennen 5 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.
| Dokument | Anforderungen | davon MUSS |
|---|---|---|
| Beschaffungskriterien | 28 | 0 |
| Prozess Beschaffung | 6 | 0 |
| Abnahmeprotokoll | 2 | 0 |
| Liste der Hersteller und Dienstleister | 2 | 0 |
| Betriebshandbuch | 1 | 0 |
Ohne Zielobjektkategorie (364)
Abschnitt betitelt „Ohne Zielobjektkategorie (364)“364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).