MINIMUM_TOM · Version 1.0
Technische und organisatorische Mindestmaßnahmen
Diese Mindestanforderungen gelten für alle Partner und Lieferanten, die Informationen, Portalzugänge oder Daten von SecuConCept verarbeiten.
Art, Umfang und Risiko eines konkreten Auftrags können zusätzliche Maßnahmen erfordern. Bei Auftragsverarbeitung wird vor Leistungsbeginn eine gesonderte Vereinbarung einschließlich konkreter TOM abgeschlossen.
1. Organisation und Verantwortlichkeit
Das Partnerunternehmen benennt Verantwortliche für Informationssicherheit und Datenschutz, dokumentiert Zuständigkeiten, verpflichtet eingesetzte Personen auf Vertraulichkeit und unterweist sie regelmäßig. Erforderliche Nachweise werden auf begründete Anfrage bereitgestellt.
2. Zutritts-, Zugangs- und Zugriffsschutz
- Schutz von Räumen, Geräten und Unterlagen vor unbefugtem Zutritt.
- Personenbezogene Konten, starke Passwörter und Mehrfaktor-Authentisierung, soweit technisch verfügbar.
- Vergabe minimal erforderlicher Rechte nach Aufgabenprinzip; regelmäßige Rechteprüfung und unverzüglicher Entzug.
- Automatische Bildschirmsperre, aktuelle Endgerätesicherung und kein Teilen von Portalzugängen.
3. Übertragung, Speicherung und Verschlüsselung
- Vertrauliche Daten werden nur über freigegebene, angemessen verschlüsselte Übertragungswege ausgetauscht.
- Mobile Datenträger und Geräte mit vertraulichen Daten sind nach Risiko zu verschlüsseln und gegen Verlust zu sichern.
- Produktivdaten dürfen nicht ungeschützt in privaten Konten, offenen Freigaben oder nicht freigegebenen Messengern gespeichert werden.
- Ausdrucke, Exporte und lokale Kopien werden auf das erforderliche Maß begrenzt und sicher vernichtet.
4. Verfügbarkeit und Wiederherstellung
Für auftragsrelevante Systeme bestehen angemessene Sicherungs-, Wiederanlauf- und Notfallverfahren. Wiederherstellung und Verantwortlichkeiten werden risikobasiert getestet. Sicherheitsupdates, Schutzsoftware und Konfigurationen werden zeitnah gepflegt.
5. Protokollierung und Kontrolle
Sicherheitsrelevante Zugriffe und Änderungen werden im angemessenen Umfang protokolliert, gegen unbefugte Veränderung geschützt und nur so lange wie erforderlich aufbewahrt. Auffälligkeiten werden geprüft; eine anlasslose Leistungs- oder Verhaltenskontrolle findet nicht statt.
6. Vorfallmanagement
Tatsächliche oder vermutete Verletzungen von Vertraulichkeit, Verfügbarkeit oder Integrität mit Bezug zu SecuConCept werden unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, gemeldet. Die Erstmeldung enthält soweit verfügbar Art, Zeitpunkt, betroffene Daten/Systeme, mögliche Folgen, Gegenmaßnahmen und eine erreichbare Kontaktperson. Gesetzliche Meldefristen bleiben unberührt.
7. Löschung und Trennung
Daten verschiedener Auftraggeber werden logisch oder physisch getrennt. Nach Zweckerreichung, Vertragsende oder berechtigter Weisung werden Daten nach einem dokumentierten Verfahren zurückgegeben oder sicher gelöscht, soweit keine gesetzlichen Pflichten entgegenstehen.
8. Unterauftragnehmer und Prüfung
Unterauftragnehmer erhalten Zugriff nur nach vorheriger Zulässigkeitsprüfung und, soweit vertraglich erforderlich, Zustimmung. Sie werden mindestens gleichwertig verpflichtet. SecuConCept darf die Einhaltung bei berechtigtem Anlass durch geeignete Nachweise oder eine verhältnismäßige Prüfung kontrollieren.