IT-Sicherheitscheck

Das Land Nordrhein-Westfalen, vertreten durch das Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD), möchte die Informationssicherheit auf Landesebene sowie auf kommunaler Ebene stärken. Um dieses Ziel zu erreichen, möchte das MHKBD für die Landesbehörden, die Kommunen und die vom Land NRW oder kommunal beherrschten IT-Dienstleister eine Möglichkeit anbieten, einen IT-Sicherheitscheck durchführen zu lassen. Der IT-Sicherheitscheck soll die gesamtheitliche Informationssicherheit der bezugsberechtigten Parteien ermitteln, Verbesserungspotentiale aufdecken und dem MHKBD überdies eine empirisch belastbare Übersicht über systematische Probleme bzgl.

Informationssicherheit (aufgeteilt nach diversen Kriterien, z.B. regional) liefern. Grundlage ist auch die im Jahr 2024 durchgeführte Informationssicherheitsanalyse. Der Auftragnehmer muss den IT-Sicherheitscheck nach den Vorgaben des BSI IT-Grundschutz-Kompendiums und den BSI-Standards der Reihe 200-x durchführen.

Ein IT-Sicherheitscheck im Sinne der vorliegenden Ausschreibung ist eine überwiegend organisatorisch ausgerichtete standardisierte Überprüfung des Reifegrads eines Informationssicherheitsmanagements (ISMS) eines öffentlichen Auftraggebers. Im Fokus stehen u.a. die vorhandenen Richtlinien, Rollen, Verantwortlichkeiten und Prozesse sowie deren gelebte Umsetzung im Rahmen eines ISMS auf Basis des BSI-Grundschutz-Kompendiums und der BSI-Normenreihe 200x. Die Bewertung erfolgt primär qualitativ, etwa durch Fragebögen, Workshops und Interviews, mit dem Ziel, in einem standardisierten Report den Reifegrad der ISMS-Organisation festzustellen und Handlungsbedarfe aufzuzeigen.

Die technische Umsetzung der Vorgaben des ISMS wird hierbei lediglich überblicksartig und stichprobenartig betrachtet, ohne den Einsatz tiefergehender technischer Scans oder aktiver Prüfmaßnahmen. Der Umfang des IT-Sicherheitschecks wird einheitlich vorgegeben. Zu diesem Zweck schreibt das MHKBD einen Rahmenvertrag aus, auf dessen Grundlage die abrufberechtigten Parteien - Landesbehörden, Kommunen und vom Land oder kommunal beherrschte IT-Dienstleister - den Auftragnehmer mit der Durchführung eines IT-Sicherheitschecks beauftragen können.

Hierdurch können die abrufberechtigten Parteien die Dienstleistung ohne zusätzliches förmliches Vergabeverfahren abrufen. Das MHKBD übernimmt für die Kommunen sowie für die kommunal beherrschen IT-Dienstleister bis zum 31.12.2026 die Kosten aus Mitteln des Gesetzes zur Regelung der Zuweisungen des Landes Nordrhein-Westfalen an die Gemeinden und Gemeindeverbände (Gemeindefinanzierungsgesetz). Die Landesbehörden und IT-Dienstleister des Landes müssen die Kosten selbst tragen.