Spezifikationsbericht E-Procurement

SPEZIFIKATION DES VERFAHRENS
„E-PROCUREMENT“
Nutzer und der Behörde nach sich zieht. 10 Die zu betrachtenden Sicherheitsziele sind
Vertraulichkeit und Verbindlichkeit (Integrität, Authentizität und Nicht-Abstreitbarkeit,
Authentizität der Kommunikationspartner). Unverzichtbare Voraussetzung für das
Funktionieren der Lösung ist ferner die Verfügbarkeit der technischen Systeme auf
Behördenseite (z. B. Web-Server). Für rechtsverbindliche Transaktionen ist grundsätzlich
der Aspekt des Schriftformerfordernisses zu berücksichtigen (für eine umfangreiche
Beschreibung der Schutzbedarfe siehe Anhang). 11
Für eine kommunale Vergabelösung, wie im vorliegenden Spezifikationsbericht vorgestellt,
wurde insgesamt die Schutzbedarfsklasse „hoch“ ermittelt (siehe Anhang 1 –
Schutzbedarfsfeststellung).
4.5.2.2 Maßnahmen zur Gewährleistung von Daten- bzw. IT-Sicherheit
Auf Basis der ermittelten „hohen“ Schutzbedarfsklasse sind technisch-organisatorische
Anforderungen zur Gewährleistung der Daten- bzw. IT-Sicherheit zu formulieren.
Bei der elektronischen Angebotserstellung ist die Vertraulichkeit der Daten durch
Verschlüsselungsalgorithmen der Bieterdaten zu sichern. Nach der elektronischen
Angebotsabgabe sind die Angebote nur nach Verstreichen des Eröffnungstermins
nach dem Vier-Augenprinzip durch zwei Mitarbeiter der Vergabestelle zu entschlüsseln.
Folgende Punkte müssen gewährleistet sein:
• SSL-verschlüsselter, gesicherter Online-Zugriff auf die Ausschreibungsunterlagen
durch die Bieter
• Hoch vertrauliche Online-Angebotserstellung durch hochgradige Verschlüsselung
der Bieterdarten
• Rechtssichere Online-Abgabe von Angeboten mit qualifizierter elektronischer
Signatur nach Signatur-Gesetz
• Kompatibilität zu allen X509 Signaturstandards
• Rechtssichere Online-Angebotsabgabe mittels Hashwert-Generierung und Erzeugung
eines papiernen Mantelbogens (ähnlich dem ELSTER – Verfahren)
• Hoch sichere Verschlüsselung bei Online-Abgabe
• Integrität und Authentizität der Angebote durch hochsichere kryptographische
Mechanismen
• Verschluss der Angebote bis zur Öffnung durch die Vergabestelle mit der Möglichkeit
des Rückzugs bis zur Submission
10
Quelle: IT-Grundschutzhandbuch: 2.2. Schutzbedarfsfeststellung (http://www.bsi.de/gshb/deutsch/baust/02002.html
am 25.09.2006).
11 Quelle: E-Government-Handbuch: Phasenplan E-Government „Phase 3 Analyse”;
(http://www.bsi.bund.de/fachthem/egov/download/3_Phase3.pdf am 25.09.2006).
42 von 64