Compliance & Nachweise

Kann die Erfüllung von BSI-Sicherheitsanforderungen schriftlich dokumentiert und belegt werden? MVS-CMP-01

Ja. Die sicherheitsrelevanten Maßnahmen werden umfassend dokumentiert. Im Rahmen von Vergabeverfahren werden u. a. bereitgestellt: das Sicherheitskonzept, die TOM gemäß Art. 32 DSGVO, der AVV sowie die ISO/IEC-27001-Zertifizierung der Voigtmann GmbH. Ergänzend können projektspezifische Unterlagen wie Schutzbedarfsfeststellungen, Sicherheitsbewertungen und technische Detailinformationen bereitgestellt werden.

Die Sicherheitsarchitektur orientiert sich an Defense-in-Depth, Zero Trust und Least Privilege. Eine eigenständige BSI-IT-Grundschutz-Zertifizierung der Plattform besteht nicht, kann aber vertraglich als zusätzliche Anforderung vereinbart werden; zusätzliche Prüfrechte – auch durch Aufsichtsorgane oder das BSI – lassen sich vertraglich vorsehen.

Die bereitgestellten Unterlagen dienen nicht nur dem Vergabeprozess, sondern auch dem späteren Betrieb sowie Datenschutz-, Informationssicherheits- und Auditprüfungen des Auftraggebers.

Liegt eine Konformitätserklärung zur Barrierefreiheit (BITV 2.0) vor? MVS-CMP-02

Derzeit liegt weder eine formelle Konformitätserklärung noch ein Prüfbericht nach BITV 2.0 für die Standardvariante der MVS vor.

Die Lösung ist auf einen niedrigschwelligen, browserbasierten Zugang ausgelegt und kann entsprechend den Anforderungen des Auftraggebers barrierearm gestaltet werden; standardkonforme Webtechnologien unterstützen die Umsetzung barrierefreier Benutzeroberflächen. Legt der Auftraggeber die Barrierefreiheit nach BITV 2.0 als verbindliche Anforderung fest, wird deren Erfüllung verbindlicher Bestandteil des Projekts und im Projektplan verankert.

Wie lässt sich die MVS in ein bestehendes ISMS auf Basis BSI-Grundschutz integrieren? MVS-CMP-03

Die MVS unterstützt die Integration in bestehende Informationssicherheitsmanagementsysteme (ISMS) des Auftraggebers – insbesondere durch Sicherheitskonzept, TOM, AVV, rollenbasierte Berechtigungskonzepte, Multi-Faktor-Authentifizierung und die Anbindung bestehender Identity-Management-Systeme.

Die Voigtmann GmbH ist nach ISO/IEC 27001 zertifiziert; die erforderlichen Sicherheitsunterlagen können projektbezogen bereitgestellt werden. Insbesondere in dedizierten Betriebsmodellen können vorhandene Sicherheitsmaßnahmen, Netzsegmentierungen und organisatorische Vorgaben des Auftraggebers unmittelbar berücksichtigt werden.

Verfügt die Voigtmann GmbH über ein nachweisbares Notfall- und Wiederherstellungskonzept? MVS-CMP-04

Ja. Für die MVS besteht ein dokumentiertes Notfall- und Wiederherstellungskonzept, das den sicheren und hochverfügbaren Betrieb der Plattform unterstützt:

• eine auf Ausfallsicherheit ausgelegte Systemarchitektur,
• kontinuierliches Monitoring der zentralen Plattformkomponenten,
• definierte Betriebs-, Eskalations- und Wiederanlaufprozesse,
• dokumentierte Verfahren zur Datensicherung und Wiederherstellung,
• regelmäßige Wiederherstellungstests,
• regelmäßige Überprüfung und Fortschreibung des Konzepts.

Im Modell MVS Service Hosted übernimmt die Voigtmann GmbH den technischen Betrieb einschließlich Überwachung, Wartung und Störungsmanagement gemäß den vereinbarten Service Levels; in den übrigen Modellen richten sich die Verantwortlichkeiten nach der jeweiligen Betriebsorganisation und den vertraglichen Vereinbarungen.

Verwandte Themen

Glossar zu diesem Kapitel: ISO/IEC 27001 · ISMS (Informationssicherheitsmanagementsystem) · BSI-IT-Grundschutz · TOM (Technische und organisatorische Maßnahmen) · Zero Trust · Barrierefreiheit (BITV 2.0 / WCAG)