Audit-Dienstleistungen für die Integrierte Leitstelle Regensburg

Die Stadt Regensburg benötigt für ihre Integrierte Leitstelle (ILS) Regensburg Audits zur Zertifizierung des Einsatzleitsystems nach ISO 27001 auf Basis des IT-Grundschutzes. Dies umfasst ein Voraudit zur Vorbereitung, ein Erstzertifizierungsaudit und zwei Überwachungsaudits über einen Zeitraum von drei Jahren. Das Voraudit dient der Feststellung des aktuellen Standes des Informationssicherheitsmanagementsystems (ISMS) der ILS und der Identifizierung von Schwachstellen. Es beinhaltet eine stichprobenartige Prüfung der Übereinstimmung mit den Anforderungen der ISO 27001 und die Dokumentation der Ergebnisse in einem Bericht. Das Erstzertifizierungsaudit wird spätestens sechs Monate nach dem Voraudit durchgeführt und bewertet die Wirksamkeit des ISMS. Es umfasst die Einsichtnahme in die Managementdokumentation, die Befragung von Mitarbeitenden und die Inspektion relevanter Bereiche. Nach dem Audit wird ein Bericht erstellt, der Empfehlungen für die Zertifizierungsentscheidung enthält. Die Überwachungsaudits erfolgen jährlich, um die Aufrechterhaltung der Zertifizierung zu gewährleisten und die Umsetzung von Korrekturmaßnahmen zu überprüfen. Die Audits müssen von vom Bundesamt für Sicherheit in der Informationstechnik (BSI) zugelassenen Auditoren durchgeführt werden. Der Auftragnehmer muss alle Aufgaben übernehmen, die für die Durchführung des Zertifizierungsverfahrens notwendig sind. Die Ergebnisse der Audits werden in Berichten dokumentiert, die Abweichungen und Empfehlungen enthalten. Die ILS Regensburg muss alle Abweichungen und Mängel bis zum Beginn des Zertifizierungsaudits beheben. Der Auftragnehmer muss den Auditablauf planen und dem Auftraggeber rechtzeitig zur Verfügung stellen. Die Mitglieder des Auditteams müssen die Qualifikationskriterien für Auditoren gemäß ISO 27001 erfüllen. Der Auftraggeber muss dem Auftragnehmer wesentliche Änderungen in der Aufbau- und Ablauforganisation mitteilen. Die Zertifizierung hat eine Gültigkeit von drei Jahren, vorbehaltlich der jährlichen Bestätigung bei den Überwachungsaudits. Das Zertifikat wird durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht.