Beratungsleistungen Informationssicherheit und IT-Notfallmanagement

Das Landesamt für Finanzen (LfF) in Bayern, mit ca. 2.800 Bediensteten und Dienststellen an 13 Standorten, sucht Dienstleistungen zur Stärkung seiner Informationssicherheit und seines IT-Notfallmanagements. Das LfF betreibt ein Informationssicherheitsmanagementsystem (ISMS) nach dem IT-Grundschutz des BSI und benötigt Unterstützung bei dessen dauerhaftem Betrieb und Weiterentwicklung. Dies beinhaltet die Anwendung der Standardabsicherung als Vorgehensweise und die Berücksichtigung von Geschäftsprozessen mit erhöhtem Schutzbedarf bezüglich Vertraulichkeit, Integrität und Verfügbarkeit. Des Weiteren ist ein nach BSI standardisiertes Notfallmanagement gemäß BSI-Standard 200-4 von Bedeutung, wobei bestehende Prozesse, Konzepte und Unterlagen geprüft und erweitert werden sollen. Das LfF verfügt über eine interne IT-Sicherheits- und Datenschutzorganisation, benötigt jedoch aufgrund des Umfangs der Aufgaben umfangreiche externe Beratungs- und Unterstützungsleistungen. Der Schwerpunkt liegt auf der Informationssicherheit. Die Aufgaben umfassen die Beratung und Begleitung bei allen Arbeitsschritten nach dem Vorgehensmodell des BSI-IT-Grundschutzes, wie die Definition von Informationsverbünden, Strukturanalyse, Modellierung, Risikoanalysen, Planung von Umsetzungsmaßnahmen, Überarbeitung und Erstellung von IT-Sicherheitskonzepten, Sichtung und Anpassung von Richtlinien und Benutzerbestimmungen, Durchführung von Revisionen und Audits, Erstellung von Schulungs- und Sensibilisierungskonzepten, Vorschläge für technische und organisatorische Maßnahmen, Beratung für Produkteinsatz und technische Lösungen, ggf. direkte Maßnahmenumsetzung, Dokumentation im ISMS-Softwarewerkzeug HiScout und Unterstützung bei der Migration auf IT-Grundschutz++. Im Bereich IT-Notfallmanagement sind die Unterstützung bei der Überarbeitung und Erweiterung des Systems (Business Impact Analyse, Risikoanalyse, Ist-Zustandsaufnahme, Kontinuitätsstrategien, Notfallvorsorgekonzepte), die Umsetzung der Konzepte mit Maßnahmenfestlegung und Verantwortlichkeiten, die Erstellung von Notfallhandbüchern, die Mitwirkung bei Tests und Notfallübungen, die Ausarbeitung eines Verbesserungsprozesses, die Sichtung und Erstellung von Konzepten sowie ggf. Schulungs- und Sensibilisierungsmaßnahmen vorgesehen. Für die Informationssicherheit sind die BSI-Standards 200-1, 200-2 und 200-3 sowie Handreichungen des Bayerischen Staatsministeriums der Finanzen und für Heimat anzuwenden. Für das IT-Notfallmanagement gilt der BSI-Standard 200-4. Das ISMS-Tool HiScout der HiSolutions AG wird eingesetzt, daher sind Vorkenntnisse damit von Vorteil. Die Datenerhebung erfolgt primär über Interviews. Ein gemeinsamer geschützter Datenaustauschbereich oder verschlüsselte E-Mails sind für die Zusammenarbeit geplant. Alle Ergebnisse sind in elektronischer Form und in einem vom Auftraggeber weiter bearbeitbaren Format zu liefern. Die eingesetzten Mitarbeiter müssen über entsprechende Qualifikationen und Berufserfahrung verfügen, die durch Profile, Referenzen und Zertifikate belegt werden. Es werden zwei Berater für Informationssicherheit und ein Berater für IT-Notfallmanagement benötigt. Die Mitarbeiter müssen dem Einsatz einer einfachen Sicherheitsüberprüfung zustimmen und eine Verpflichtungserklärung abgeben. Die Leistungserbringung kann remote erfolgen, bei Bedarf ist jedoch Vor-Ort-Präsenz erforderlich, vorrangig in Regensburg, aber auch an anderen Dienststellen des LfF in Bayern. Reisekosten sind in die Tagessätze einzukalkulieren. Die Leistungsdauer beträgt voraussichtlich zweieinhalb Jahre mit 200 Personentagen, optional weitere 200. Der Anteil der Informationssicherheit beträgt voraussichtlich 85%, der des IT-Notfallmanagements 15%. Der Umfang beträgt durchschnittlich zwei Tage pro Woche, flexibel anpassbar. Die Leistungen im Bereich Informationssicherheit sind kontinuierlich zu erbringen, während die im IT-Notfallmanagement bedarfsabhängig sind, mit einer Vorlaufzeit von drei Wochen für die Bereitstellung des Beraters. Ein Personentag umfasst acht Stunden.