Anforderungen für IT-Produkte
Einkäufe von technologischen Komponenten oder Lösungen, die zur Unterstützung, Verwaltung oder Erweiterung eines IT-Systems oder einer Anwendung dienen.
Teil von Einkäufe.
53 Anforderungen gelten für ein Asset dieser Kategorie: 14 direkt zugeordnet, 39 geerbt. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 417. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.
Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.
Direkt zugeordnet (14)
Abschnitt betitelt „Direkt zugeordnet (14)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| BES.2.1.1 Verwendungszweck | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.3 Systemvoraussetzungen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.5 Lizenzierung | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.6 Support- und Wartungsverträge | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.7.4.1 Beschreibung der Sicherheitsarchitektur | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.7.4.2 Beschreibung von Sicherheitsmechanismen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.7.4.3 Empfohlene Konfiguration | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.7.4.5 Netzverbindungen ab Werk | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.5.1 Entwicklung nach einem Sicherheitslebenszyklus | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.4.6.3 Manipulationsschutz | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.5.6.3 Nachverfolgbarkeit der Lieferkette | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.5.10.3.1 Schwachstellenmeldeprozess | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.7.4.4.1 Software Bill of Materials (SBOM) | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.8.4 Individuelle Implementierung kritischer Komponenten | KANN | Erhöhte SicherheitsstufeErhöht |
Geerbt von Einkäufe (39)
Abschnitt betitelt „Geerbt von Einkäufe (39)“Gilt für ein Asset dieser Kategorie, weil IT-Produkte unter Einkäufe steht.
| Anforderung | Pflicht | Stufe |
|---|---|---|
| BES.1.3 Lieferanten- und Dienstleisterverzeichnis | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1 Erfassung des Bedarfes | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.4 Kompatibilität | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.4.1 Kompatibilität der Schnittstellen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.4.2 Kompatibilität der Netzanbindung | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.4.3 Kompatibilität des Administrationsmodells | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.1.4.4 Kompatibilität des Datenmanagementmodells | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.4 Anhörung Nutzender | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.2.5 Anhörung Administrierender | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.3.1 Klassifizierung von Lieferantenbeziehungen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.3.2 Auswahlkriterien | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.3.3 Unzuverlässige Lieferanten | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.1 Klassifizierung von Beschaffungsvorhaben | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.2 Dokumentation der Beschaffungskriterien | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.3 Beschaffung anhand der Kriterien | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.5 Security by Design | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.6 Security by Default | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.4.8 Konformitätsnachweise | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.3 Compliance-Verpflichtungen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.4 Informationssicherheitskontrollmechanismen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.6 Vergabe von Unteraufträgen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.6.1 Weitergabe der Beschaffungskriterien | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.10 Behandlung von Vorfällen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.10.1 Erreichbarkeit über Meldewege | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.10.2 Melden von Vorfällen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.5.10.3 Schwachstellenbehebung | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.7.1 Eingangskontrolle | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.7.4 Vollständigkeit der Unterlagen | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.7.4.4 Dokumentation der Komponenten | SOLLTE | Standard-SicherheitsstufeStandard |
| BES.1.3.1 Gesamte Lieferkette | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.3.2.1 Zertifizierte Lieferanten | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.3.2.2 Quellendiversifikation | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.4.8.1 Zertifizierung | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.4.9 Sicherheitsüberprüfung (extern) | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.5.6.2 Autorisierung von Unterauftragnehmern | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.5.7 Schulung | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.5.10.4 Konfliktlösungsprozesse | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.5.10.5 Konsequenzen bei Verstößen | KANN | Erhöhte SicherheitsstufeErhöht |
| BES.8.1 Bereithaltung alternativer Lieferanten | KANN | Erhöhte SicherheitsstufeErhöht |
Dokumente zu diesen Anforderungen (5)
Abschnitt betitelt „Dokumente zu diesen Anforderungen (5)“Diese Anforderungen nennen 5 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.
| Dokument | Anforderungen | davon MUSS |
|---|---|---|
| Beschaffungskriterien | 37 | 0 |
| Betriebshandbuch | 6 | 0 |
| Prozess Beschaffung | 6 | 0 |
| Abnahmeprotokoll | 2 | 0 |
| Liste der Hersteller und Dienstleister | 2 | 0 |
Ohne Zielobjektkategorie (364)
Abschnitt betitelt „Ohne Zielobjektkategorie (364)“364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).