81303659 Informationssicherheitsmanagement

Angebotsfrist wurde verlängert (§ 20 VgV) + Anpassen der Leistungsbeschreibung (Personal, spezifische Berufserfahrung) zur Klarstellung der Wertung von 2.2.4 und 2.3.4.

Bekanntmachungs-ID: CXTRYY6Y1FLUCFK2

Die Kommunikation in diesem Verfahren findet ausschließlich über das Kommunikationstool im Projektbereich des Vergabeportals statt.

Als Dienstleister der internationalen Zusammenarbeit für nachhaltige Entwicklung und internationale Bildungsarbeit setzt sich die GIZ weltweit für eine lebenswerte Zukunft ein. Informationssicherheit spielt zunehmend eine Schlüsselrolle bei der Erfüllung der Aufgaben der GIZ, da ihre Geschäftsprozesse im Zeitalter der Digitalisierung und globalen Vernetzung durch den Austausch von Informationen und die Nutzung von IT-Anwendungen und IT-Systemen geprägt sind. Informationen stellen für die GIZ grundlegende Werte dar, deren angemessener Schutz unabdingbar ist.
Um wettbewerbsfähig zu agieren, sind insbesondere die GIZ-Strukturen außerhalb Deutschlands auf eine schnelle Reaktionsfähigkeit und ein hohes Maß an Flexibilität angewiesen. Gleichzeitig steigen durch die globale Ausrichtung der GIZ und die Digitalisierung auch die Anforderungen an die Informationssicherheit. Die Erhaltung der Wettbewerbsfähigkeit der GIZ und die Wahrung der Interessen ihrer Anteilseigner, Kunden, Partner und Mitarbeitenden bilden den Rahmen für das Informationssicherheitsmanagement der GIZ.
Das Informationssicherheitsmanagementsystem (ISMS) der GIZ dient in erster Linie dazu, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen in allen Geschäftsprozessen der GIZ sicherzustellen. Die Einhaltung dieser Sicherheitsziele ist nur möglich, wenn Informationssicherheit ein integraler Bestandteil der globalen Organisationsstruktur und Prozesse der GIZ ist.
Daher hat die GIZ einen umfassenden Transformationsprozess definiert, der durch ein Veränderungsprojekt gesteuert und umgesetzt wird. Ziel ist es, ein nachhaltiges, zertifizierungsfähiges ISMS zu etablieren und umzusetzen. Grundlage ist ein straff getakteter Zeitplan mit definierten Zertifizierungsmeilensteinen:
- Multi Site Zertifizierung nach ISO/IEC 27001 für ca. 40 Länder bis Ende 2024.
- Darüber hinaus soll bis Ende 2024 die Zertifizierung nach ISO 27001 auf Basis BSI IT-Grundschutz für die Unterstützungsstruktur der GIZ abgeschlossen sein (die Unterstützungsstruktur der GIZ besteht im Wesentlichen aus zentralen GIZ-Funktionen in Deutschland, wie z.B. zentrale IT, Personal und Finanzen).
- Multi Site Zertifizierung nach ISO/IEC 27001 für das gesamte ISMS der GIZ weltweit bis Ende 2026, d. h. für alle rund 100 Länder, in denen die GIZ mit
(Projekt-)Standorten vertreten ist.
Aufgrund der Zertifizierungsziele für das ISMS der GIZ muss der interne Auditprozess für Informationssicherheitsaudits und dessen Durchführung den Anforderungen der Norm ISO/IEC 27001 und des BSI IT-Grundschutzes entsprechen. Da der BSI IT-Grundschutz nur auf die Unterstützungsstruktur der GIZ angewendet wird, werden die Anforderungen an interne Informationssicherheitsaudits auf Basis des BSI IT-Grundschutzes ausschließlich für die Unterstützungsstruktur umgesetzt. Die Geltungsbereiche für die ISMS-Zertifizierungen, in denen ISO/IEC 27001 (nativ) Anwendung findet, müssen vor der Erstzertifizierung und vor jeder Rezertifizierung durch mindestens ein internes Informationssicherheitsaudit abgedeckt werden.
Gegenstand dieser Ausschreibung ist der Abschluss eines Rahmenvertrags mit einem Auftragnehmer über die Durchführung von internen Informationssicherheitsaudits weltweit, mit dem Ziel, Kapazitätsspitzen abzudecken oder externes Know-how zu nutzen. Der Dienstleister soll die GIZ in den folgenden drei Arbeitspaketen unterstützen:
- Arbeitspaket 1: Planung und Umsetzung von planmäßig vorgesehenen Informationssicherheits-Audits
- Arbeitspaket 2: Planung und Umsetzung von Sonderprüfungen und Follow-up-Audits zur Informationssicherheit
- Arbeitspaket 3: Sicherstellung eines Wissenstransfers zur Verbesserung der Informationssicherheit und Begleitung von Auditfolgemaßnahmen

Angebotsfrist wurde verlängert (§ 20 VgV) + Anpassen der Leistungsbeschreibung (Personal, spezifische Berufserfahrung) zur Klarstellung der Wertung von 2.2.4 und 2.3.4.