Liste und kurze Beschreibung der Auswahlkriterien
Bei einer cloudbasierten Lösung (SaaS) sind die folgenden Anforderungen zu erfüllen:
- Nachweis des Sicherheitsniveaus gemäß Mindeststandard der BSI für Cloud-Computing (Kriterienkatalog C5:2020) durch BSI C5-Zertifizierung. Sofern keine entsprechende Zertifizierung vorliegt, Ausfüllung Cloud Security Checkliste der Bundesbank einschl. Dokumentation für die einzelnen Anforderungen, siehe Datei "D5 Cloud Security Checklist 21-0005263.docx"
- Vertragliche Zusicherung über Speicherort (Rechenzentrumsstandort) für Daten (inkl. Backups)
- Risikomanagement (Umgang mit Datenabfluss, Datenverlust, Ausfall der Lösung etc.)
- Prozessbeschreibung für Onboarding und Exit von Kundendaten (Import und Export von Daten inkl. Formate)
- Ein vom Anbieter erstelltes Migrationskonzept für die Überführung der gespeicherten Daten nach Vertragsende sowie eine Exit-Strategie sind Bestandteil des Vertrags. Die automatisierte Überführung in ein von der Bank lesbares Format (z.B. Office, HTML) erfolgt ohne zusätzlichen Kosten.
- Mehrnutzerbetrieb: die Software muss die gleichzeitige Bedienung durch mehrere Nutzer an verschiedenen Standorten (Mehrnutzerbetrieb) ermöglichen.
- Das Matching der fachlichen Vernetzung soll mittels eines objektiven, diskriminierungsfreien und kompetenzbasierten Algorithmus stattfinden. Das Matching der sozialen Vernetzung kann, je nach Modul, nach dem Zufallsprinzip erfolgen.
- Gemäß der aktuellen Strategie der Deutschen Bundesbank muss die Kompatibilität der Anwendungen mit dem Browser Edge zwingend gegeben sein.
- Die erhobenen Daten sollen nicht auf den Servern der Bundesbank verarbeitet und gespeichert werden, sondern auf externen Servern. Das Unternehmen muss sicherstellen, dass sich die eingesetzten Server in der Europäischen Union befinden (gem. Angaben im Angebot). Das Unternehmen gewährt auf Wunsch der IT-Sicherheit und weiteren Einheiten der Bundesbank Zutritt zu den Servern. Das Unternehmen stellt für Fragen zur IT-Sicherheit eine Ansprechperson zur Verfügung.
- Anmeldedaten für externe Systeme müssen sicher und verschlüsselt, speicher- sowie abrufbar sein. Die Bundesbank unterliegt hier den Anforderungen des BSI an die Schlüssellängen und Verschlüsselungsalgorithmen (technische Richtlinien des BSI sollten maßgeblich sein).
- Es muss die Möglichkeit bestehen sensible Datenbereiche
zu verschlüsseln oder über Benutzer- und Rollenmanagement Nutzergruppen je Berechtigung auszuschließen.
- Es muss sichergestellt sein, dass die Daten der AG z. B. durch Mandantentrennung sicher und geschützt vor Zugriffen durch unbefugte Dritte sind.
- Das Matching der Beschäftigten in den verschiedenen Modulen wird mittels Algorithmen durchgeführt. Dazu liegen dem AN personenbezogenen Daten der betroffenen Bundesbankbeschäftigten vor. Die datenschutzrechtlichen Anforderungen (DSGVO, BDSG sowie datenschutzrechtliche Regelungen in Spezialgesetzen) müssen zwingend eingehalten werden.
Die Sicherstellung des Datenschutzes und der Vertraulichkeit der Daten müssen vom Auftragnehmer gewährleistet werden (gem. Datenschutzerklärung des Auftragsnehmers im Angebot, aus dem hervorgeht, wie es die Sicherheit dieser Daten gewährleistet, und mit welchen technischen Maßnahmen eine Rückverfolgung bzw. eine Aufhebung der Pseudonymisierung beim Auftragnehmer ausgeschlossen wird). Es ist im Rahmen der Angebotsabgabe darzulegen, ob eine Pseudonymisierung der personenbezogenen Daten (z.B. ein Code, bestehend aus einer Buchstaben- und Zahlenkombination) durchgeführt werden kann. Zu Datenschutzzwecken wird zwischen der Bundesbank und dem Auftragnehmer gem. beigefügten Muster eine Vereinbarung zum Datenschutz und zur Datensicherheit in Auftragsverhältnissen (AV) abgeschlossen.