ISMS- NIS2-ISMS Demo
- Maßnahmen und Nachweise
-
- Zusammenarbeit
- Hintergrund
Benutzer-Werkzeuge
Seitenleiste
Inhaltsverzeichnis
5.1.2 Auswahlkriterien für Anbieter und Diensteanbieter festlegen
Quelle / Referenzanforderung
| Feld | Eintrag |
|---|---|
| Referenz | Durchführungsverordnung (EU) 2024/2690, Anhang, Nummer 5.1.2 |
| Quelltitel | Konzept für die Sicherheit der Lieferkette |
| Kontrolltyp | Secure SDLC / Change / Vulnerability |
| Rechtscharakter im Katalog | Referenzanforderung; konkrete Anwendbarkeit kundenseitig zu bewerten |
Im Rahmen des in Nummer 5.1.1 genannten Konzepts für die Sicherheit der Lieferkette legen die betreffenden Einrichtungen Kriterien für die Auswahl von Anbietern und Diensteanbietern und die Auftragsvergabe an sie fest. Diese Kriterien umfassen Folgendes: a) die Cybersicherheitsverfahren der Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse; b) die Fähigkeit der Anbieter und Diensteanbieter, die von den betreffenden Einrichtungen festgelegten Cybersicherheitsspezifikationen zu erfüllen; c) die allgemeine Qualität und Resilienz der IKT-Produkte und -Dienste und die darin enthaltenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit, einschließlich der Risiken und der Klassifizierungsstufe der IKT-Produkte und -Dienste; d) die Fähigkeit der betreffenden Einrichtungen, ihre Versorgungsquellen zu diversifizieren und – soweit anwendbar – ihre Abhängigkeit von bestimmten Anbietern zu begrenzen.
Allgemeine Erläuterung der Maßnahme
Diese Maßnahme konkretisiert die Unterkategorie Konzept für die Sicherheit der Lieferkette. Sie verlangt, dass die oben beschriebene Referenzanforderung für die jeweilige Einrichtung angemessen umgesetzt, dokumentiert und überprüft wird. Die konkrete Ausgestaltung ist aus Organisationsstruktur, Betriebsumfeld, Risiken und rechtlicher Anwendbarkeit abzuleiten.
Allgemeine SOLL-Ableitung
| Anforderung | Erwartetes Ergebnis |
|---|---|
| Anwendbarkeit klären | Rechtliche, vertragliche und risikobezogene Relevanz ist nachvollziehbar bewertet. |
| Umsetzung festlegen | Die Referenzanforderung ist in geeignete organisatorische oder technische Regelungen überführt. |
| Verantwortung zuordnen | Verantwortliche und mitwirkende Rollen sind festgelegt. |
| Nachweisbarkeit herstellen | Umsetzung, Entscheidungen und Ergebnisse sind nachvollziehbar dokumentiert. |
| Wirksamkeit überprüfen | Angemessenheit und Wirksamkeit werden risikobasiert oder in vorgegebenen Intervallen überprüft. |
Fachliche Vorbelegung aus dem Katalog
Die folgenden Werte sind Startvorschläge. Sie sind bei der kundenspezifischen Bearbeitung zu bestätigen oder begründet anzupassen.
| Feld | Vorbelegung |
|---|---|
| Priorität | mittel |
| Verantwortliche Rolle | Change Manager (IT-Betrieb) |
| Kontrollfrequenz | monatlich |
| Allgemeiner Nachweishinweis | Change-Management, Patch-/Vuln-Reports, Code-Reviews, Freigaben, SBOM |
Kundenspezifische Bearbeitung
| Umsetzungsfortschritt |
 |
| Feld | Aktueller Eintrag |
|---|---|
| Anwendbarkeit / Relevanz | offen; kundenseitig zu bewerten |
| Erwartungshaltung | offen; aus der allgemeinen SOLL-Ableitung kundenspezifisch zu bestimmen |
| Betroffene Bereiche | aus Unternehmens- und Leistungsstruktur abzuleiten |
| Verantwortlichkeit | Change Manager (IT-Betrieb); Vorbelegung, zu bestätigen |
| Mitwirkende | kundenspezifisch zu bestimmen |
| Priorität | mittel; Vorbelegung, zu bestätigen |
| Zieltermin | offen |
| Kontrollfrequenz | monatlich; Vorbelegung, zu bestätigen |
| Aktueller Stand | noch nicht erhoben |
| Kommentar | keine kundenspezifische Bewertung vorgenommen |
| bearbeitet am | offen |
| bearbeitet von | offen |
Offene Punkte / nächste Schritte
| Erwartetes Ergebnis | Aktueller Stand | Nächster Schritt | Verantwortlich | Status |
|---|---|---|---|---|
| Anwendbarkeit ist bewertet. | nicht erhoben | Relevanz und Geltungsbereich mit der Einrichtung klären. | festzulegen |  offen |
| Erwartungshaltung ist festgelegt. | nicht erhoben | Referenzanforderung in ein kundenspezifisches Ergebnis überführen. | festzulegen | offen |
| Aktueller Stand ist erhoben. | nicht erhoben | Vorhandene Regelungen, Verfahren, Systeme und Nachweise aufnehmen. | festzulegen | offen |
| Abweichungen und Maßnahmen sind bestimmt. | nicht erhoben | Offene Punkte priorisieren und nächste Schritte festlegen. | festzulegen | offen |
| Wirksamkeit ist nachweisbar. | nicht erhoben | Prüfkriterien und geeignete Nachweise festlegen. | festzulegen | offen |
Nachweise
| Nachweisart | Erwarteter Nachweis / Standort | Status |
|---|---|---|
| Kataloghinweis | Change-Management, Patch-/Vuln-Reports, Code-Reviews, Freigaben, SBOM; konkreter Nachweis und Ablageort sind kundenspezifisch festzulegen | offen |
| Umsetzungsnachweis | geeignete Richtlinie, Verfahrensbeschreibung, Konfiguration, Protokollierung oder sonstiger Umsetzungsbeleg | offen |
| Wirksamkeitsnachweis | dokumentierte Prüfung, Kennzahl, Bericht oder nachvollziehbares Prüfergebnis | offen |
Verknüpfungen
- Kategorie: 5 Sicherheit der Lieferkette
- Unterkategorie: Konzept für die Sicherheit der Lieferkette
- Erläuterungen: Status, Vorbelegungen und Bearbeitung
Änderungshistorie
Die redaktionellen Änderungen dieser Maßnahmenseite werden automatisch von DokuWiki geführt.
Die Wiki-Historie ersetzt nicht den fachlichen Umsetzungs- oder Wirksamkeitsnachweis.
nis2/massnahmen/05/01/02.txt · Zuletzt geändert: von 127.0.0.1
Seiten-Werkzeuge
