Antrag auf Erteilung eines ISO Zertifikats auf der Basis von IT-Grundschutz durch das Bundesamt für Sicherheit in der Informationstechnik (BSI)

Transkript

1 Antrag auf Erteilung eines ISO Zertifikats auf der Basis von IT-Grundschutz durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) Für den unter Ziffer 3 genannten Untersuchungsgegenstand wird ein ISO Zertifikat auf der Basis von IT-Grundschutz beantragt Antragsteller Name, Anschrift, Telefonnummer, -Adresse 2. Ansprechpartner für die Zertifizierung beim Antragsteller Name, Anschrift, Telefonnummer, -Adresse 3. Kurzbezeichnung des Informationsverbunds (Untersuchungsgegenstand) Ein Zertifikat kann für einen / mehrere Geschäftsprozesse, eine / mehrere Fachaufgaben oder eine / mehrere Organisationseinheiten erteilt werden. Der betrachtete Informationsverbund ist hier kurz zu bezeichnen. Die Kurzbezeichnung erscheint auf der Zertifikatsurkunde. 1 Rechtsgrundlagen: Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz BSIG) vom 14. August 2009, Bundesgesetzblatt I Nr. 54, S.2821 ZS F-001-V2.3 1 / 5

2 4. Informationsverbund (Untersuchungsgegenstand) Der betrachtete Informationsverbund ist im Anhang kurz, aber verständlich zu beschreiben. Das Dokument ist dabei wie folgt zu gliedern: 1. Kurzbeschreibung Dieser Fließtext wird sowohl für die Urkunde (Zertifikat) als auch für die Veröffentlichung im Internet benötigt. Der Informationsverbund und die wesentlichen Fachaufgaben/Prozesse sind kurz zu beschreiben und der Standort / die Standorte zu benennen. Dabei sollten 800 Zeichen bzw. 7-8 Zeilen in Schriftart Arial, Schriftgröße 10, nicht überschritten werden. Abgrenzung des Geltungsbereichs Für das zu betrachtende Managementsystem für Informationssicherheit (ISMS) sowie den damit einhergehenden Informationsverbund (s. BSI-Standard Kap. 4.1) ist eine Abgrenzung des Geltungsbereichs vorzunehmen. Hier bei sind folgende Aspekte von Bedeutung: a. Fachaufgaben/ Prozesse b. Infrastruktur: Gebäude, Räume c. Organisation: beteiligte Organisationseinheiten / Personal d. IT-Systemlandschaft: eingesetzte Komponenten, Netzstrukturen, Outsourcing e. Wesentliche Komponenten, die nicht durch die Bausteine der IT-Grundschutzkataloge abgedeckt werden können f. Anwendungen von besonderer Bedeutung 2. Beschreibung der Bedeutung des Informationsverbundes innerhalb der Institution Sofern der Informationsverbund sich nicht auf die gesamte Institution erstreckt, ist dazulegen, wie der Informationsverbund in die Institution integriert ist. Zu beschreiben ist außerdem, dass der Informationsverbund eine sinnvolle Mindestgröße besitzt und substantiell zum Funktionieren der Institution oder eines wesentlichen Teils der Institution beiträgt. 5. Bereinigter Netzplan Zur Feststellung der prinzipiellen Zertifizierbarkeit des Untersuchungsgegenstands sind ein bereinigter Netzplan sowie ggf. unterstützende Dokumente (z. B. eine Beschreibung der Informationstechnik, die den unter Ziffer 3 beschriebenen Untersuchungsgegenstand stützt, inklusive der hauptsächlich verwendeten IT-Komponenten sowie deren interne und externe Vernetzung) dem Antrag beizufügen. 6. Art der Zertifizierung - Zutreffendes ankreuzen und ggf. ausfüllen - Es handelt sich um eine Erstzertifizierung Erstzertifizierung nach vorhergehendem Auditortestat Re-Zertifizierung des Informationsverbundes, der unter der Zertifizierungskennnummer BSI zertifiziert wurde. 7. Grundlage der Zertifizierung Grundlage der Zertifizierung sind u. a. der Standard ISO 27001, der BSI-Standard 100-2, die IT- Grundschutz-Kataloge und die Dokumente des Zertifizierungsschemas in der in Prüfgrundlage für Zertifizierungen nach ISO auf der Basis von IT-Grundschutz festgelegten Version ( 2 / 5

3 8. Auditteam Die Auditierung soll durch folgende/-n vom BSI zertifizierte/-n bzw. lizenzierte/-n Auditor/-en erfolgen: Name, Kontaktdaten (Adresse, Telefonnummer, -Adresse) sowie Zertifizierungs- bzw. Lizenzierungsnummer des Auditteamleiters; Name aller Auditoren und Fachexperten mit Funktion im Auditteam Eine unterschriebene Unabhängigkeitserklärung von jedem Mitglied des Auditteams mit deren Kontaktdaten liegt dem Antrag bei. 9. Beratung beim Aufbau des Informationsverbundes Beim Aufbau des Informationsverbundes oder der Vorbereitung der Zertifizierung haben folgende Personen mitgewirkt oder werden mitwirken (nur Personen, die nicht in einem Beschäftigungsverhältnis mit der antragstellenden Institution stehen): Name, Vorname, Institution 10. Zeitplanung Die folgende Zeitplanung wurde zur Abstimmung mit der Zertifizierungsstelle des BSI vorbereitet. Die einzelnen Prüfungsabschnitte sollen in folgendem Zeitraum stattfinden (zusätzlich Angabe der geplanten Arbeitstage): Nach Antragsannahme gilt die mit der Zertifizierungsstelle abgestimmte Zeitplanung. Spätere Terminverschiebungen sind dem BSI per an zwecks weiterer Abstimmung mitzuteilen. Kalenderwoche Anzahl geplante Arbeitstage Voraudit Dokumentenprüfung Vor-Ort-Audit Abgabe Auditbericht 3 / 5

4 11. Bekanntgabe vor Abschluss des Verfahrens - Zutreffendes ankreuzen - Der Gegenstand der Zertifizierung (Informationsverbund) gemäß Ziffer 3 und 4 darf nach Annahme des Antrags beim BSI (ID-Vergabe) auf der BSI-Website unter der Rubrik...in Zertifizierung/Auditierung mit den Angaben aus den Ziffern 1 und 3 (Institution, Kurzbezeichnung des Informationsverbunds) dieses Antrags aufgeführt werden. nicht aufgeführt werden. 12. Bekanntgabe nach positivem Abschluss des Verfahrens Der Antragsteller ist im Falle einer Zertifizierung mit der Veröffentlichung des Zertifizierungsergebnisses ganz oder auszugsweise, auch in digitaler Form durch das BSI einverstanden Zertifizierungsbutton Bei positiven Abschluss wird um Ausstellen eines Zertifizierungsbuttons gebeten (Druckvorlage) Der Antragsteller wird im Fall einer Zertifizierung die Tatsache der Zertifizierung sowie die vom BSI verliehene Urkunde und den erhaltenen Zertifizierungsbutton ausschließlich gemäß den vom BSI hierfür festgelegten Vorgaben verwenden und veröffentlichen. 14. Kosten Für die Durchführung des Verfahrens werden seitens des BSI Gebühren und Auslagen gem. der BSI-Kostenverordnung 3 berechnet. Die Gebühren ergeben sich aus dem zum Zeitpunkt der Antragstellung gültigen Gebührenverzeichnis und betragen zum jetzigen Zeitpunkt 2500 incl. MwSt. zzgl. Auditbegleitung und Auslage der Zertifizierungsstelle. Kosten werden auch berechnet und sind zu zahlen, wenn das Verfahren nicht mit der Erteilung eines Zertifikats abgeschlossen werden kann. Die Zertifizierungskosten sollen unter folgender Auftragsnummer abgerechnet werden (Angabe erforderlich, wenn diese für die Abrechnung beim Antragsteller notwendig ist): 15. Datenschutz Der Antragsteller erklärt sich damit einverstanden, dass personenbezogene Daten, die aus diesem Antrag resultieren, zum Zwecke der Durchführung des beantragten Verfahrens im BSI elektronisch gespeichert werden. 2 Der Antragsteller kann in besonderen Fällen während des laufenden Verfahrens diese Zustimmung zurückziehen. Auf Nachfrage muss die Zertifizierungsstelle des BSI jedoch Informationen zu allen erteilten Zertifikaten mitteilen 3 Kostenverordnung für Amtshandlungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI-Kostenverordnung-BSI-KostV) in der jeweils gültigen Fassung, ( 4 / 5

5 16. Erklärungen des Antragstellers Das BSI behält sich vor, eine vom BSI beauftragte externe Stelle bei der Prüfbegleitung zu beteiligen. Die Verfahrenshoheit verbleibt beim BSI. Der Antragsteller erklärt sich hiermit einverstanden. Der Antragsteller erklärt, dass alle für die Zertifizierung erforderlichen Informationen zur Verfügung gestellt werden und die Teilnahme von Beobachtern am Zertifizierungs- oder Überwachungsaudit ermöglicht und unterstützt wird. Der Antragsteller erklärt, dass er im Fall einer Zertifizierung wesentliche Änderungen im Informationsverbund währen der Zertifikatslaufzeit (wie z. B. größere Änderungen im Managementsystem, Änderungen in der Organisation, Änderungen im Outsourcing, Standortwechsel, Änderung von Tätigkeitsfeldern) dem BSI schriftlich mitteilen wird. Der Antragsteller erklärt sich mit der Archivierung der dem BSI bereitgestellten Unterlagen und der BSI internen Verfahrensakten durch das BSI entsprechend den Registraturrichtlinie des Zertifizierungsschemas einverstanden. Der Antragsteller ist sich bewusst, dass bei falscher Erklärung das BSI berechtigt ist, ihn und die antragstellende Institution von weiteren Verfahren im Rahmen des IT-Grundschutz für 6 Monate auszuschließen. Ort, Datum Unterschrift, Firmenstempel Vollständig ausgefüllte und unterschriebene Anträge bitte senden an: Bundesamt für Sicherheit in der Informationstechnik Referat S 24 Postfach Bonn 5 / 5