PUBLIC PROCUREMENT - Lexnet

kapitel kontrakter om komplekse it-ydelser
11
148
I relation til for eksempel et udviklingsprojekt er det praksis, at
kunden i kravspecifikationen angiver de sikkerhedskrav, der skal
opfyldes. Kunden er som nævnt ofte den nærmeste til at vurdere,
hvorvidt en kravspecifikation omfatter de sikkerhedskrav, som der
stilles i medfør af registerloven, herunder i de konkrete registerforskrifter,
samt i andre myndigheds forskrifter. Leverandøren skal
herefter sikre ved udviklingen, at disse krav opfyldes.
Leverandøren har selvfølgelig en selvstændig forpligtigelse til at
opfylde eventuelle krav, der grunder sig i, at leverandøren udfører
edb-virksomhed for 3. mand. Disse krav vil fremgå af leverandørens
egen registerforskrift.
Udover de angivne offentligretlige reguleringer af sikkerhed skal
som nævnt tillige tages højde for de interne sikkerhedskrav, som
den enkelte kunde måtte have fastlagt for sin organisation. Disse
krav skal tillige meddeles leverandøren. Det er dog ikke alle kunder,
der udover krav, der grunder sig i de offentligretlige regler,
har fastlagt en sikkerhedspolitik, selv om relevante sikkerhedsregler
som indledningsvis nævnt naturligt bør indgå i en kravspecifikation
i forbindelse med et udbud. I disse tilfælde følges leverandørens
sikkerhedsregler, hvilket bør fremgå af tilbudet. Disse
sikkerhedsregler vil selvfølgelig være helt afhængige af hvilke konkrete
opgaver leverandøren skal løse for kunden. Uagtet leverandøren
for eksempel alene skal foretage overvågning af kundens
eksisterende driftsmiljø på kundens lokation, er det dog nødvendigt,
at der fastsættes kontraktsmæssigt, hvilke sikkerhedsregler
der skal følges.
Den foreslåede bestemmelse nedenfor tager udgangspunkt i, at
leverandøren blandt andet varetager elektronisk databehandling
for kunden, hvad enten dette så er hos kunden eller hos leverandøren
selv. Såfremt der alene er tale om overvågning af kundens
driftsmiljø hos kunden, vil dele af bestemmelsen således være
irrelevant.
Kunden skal være opmærksom på, at der skal fastlægges sikkerhedsprocedurer
både på leverandørens side og på kundens side.
Alene en koordinering af, hvem der opretter brugere i systemet, og