Grundschutz++ Beschaffung: die Praktik Beschaffungsmanagement (BES)
Grundschutz++ Beschaffung: was die Praktik BES zu Lieferanten, Verträgen, Cloud-Diensten und Abnahme verlangt und wie kleine Betriebe sicher einkaufen.
Bei der Grundschutz++ Beschaffung geht es darum, Informationssicherheit schon beim Einkauf mitzudenken: bei neuer Hardware und Software ebenso wie bei Cloud-Diensten, IT-Dienstleistern oder Outsourcing. Die Praktik «Beschaffungsmanagement» (Kürzel BES) im neuen IT-Grundschutz des BSI begleitet den Weg vom Bedarf über die Auswahl des Lieferanten und den Vertrag bis zur Abnahme.
Warum das wichtig ist
Was im Vertrag nicht steht, lässt sich später kaum durchsetzen. Wer erst nach dem Kauf merkt, dass ein Dienst keine Zwei-Faktor-Anmeldung kennt, der Anbieter Sicherheitslücken nicht meldet oder die Daten bei Vertragsende nicht herausgibt, zahlt doppelt. Sicherheitsanforderungen im Einkauf sind meist günstiger als Nachbesserungen.
Was verbindlich ist
Verpflichtend sind die Grundlagen: Ihr Betrieb braucht festgelegte Abläufe für die Beschaffung von IT-Produkten und Dienstleistungen, die aufgeschrieben, Zuständigen zugewiesen, bekannt gemacht und regelmäßig überprüft werden. Empfohlen sind unter anderem ein Verzeichnis aller Lieferanten und Dienstleister, Kriterien zu ihrer Verlässlichkeit, Sicherheitsvorgaben im Vertrag, etwa zur Meldung von Vorfällen und zur Löschung von Daten bei Kündigung, und eine Prüfung der Lieferung vor der ersten Nutzung.
Der erste Schritt
Legen Sie eine kurze Checkliste für Einkäufe an: Wofür wird es gebraucht, welche Daten sind betroffen, welche Sicherheitsfunktionen sind Pflicht, was regelt der Vertrag zu Vorfällen, Datenstandort und Vertragsende? Führen Sie dazu eine Liste aller Lieferanten und Dienstleister mit Ansprechpartnern.
Die Praktik «Beschaffungsmanagement» (BES) ist mit 109 Anforderungen eine der umfangreichsten Praktiken im Anwenderkatalog Grundschutz++. Dieser Artikel erklärt die Grundschutz++ Beschaffung anhand des Katalogstands vom 22. Oktober 2026: Ziel, Gruppen, Anforderungen, Nachweise und einen praxistauglichen Einstieg.
Ziel der Praktik
Laut Katalog sorgt die Praktik für die frühzeitige Integration von Informationssicherheit in fachliche Anforderungs-, Planungs- und Beschaffungsverfahren, einschließlich angehender Projekte, von der «Make-or-Buy»-Entscheidung bis zur konkreten Beschaffung. Dabei wird nicht zwischen Organisation, Personal, Dienstleistern, IT-Infrastruktur, Komponenten oder Gebäuden unterschieden. Die laufende Kontrolle bestehender Dienstleister regelt die Praktik Dienstleistersteuerung (DLS). BES schafft die Grundlage, DLS übernimmt die fortlaufende Steuerung.
Aufbau: acht Gruppen, 109 Anforderungen
| Gruppe | Inhalt |
|---|---|
| BES.1 Grundlagen | Verfahren, Lieferanten- und Dienstleisterverzeichnis, Outsourcing-Strategie, Bereitstellungsmodell und geteilte Verantwortung bei Cloud-Diensten |
| BES.2 Bedarfserfassung | Leistungsbeschreibung, Verwendungszweck, Geschäftsprozessprofile, Kompatibilität, Lizenzen, Support, Rechtsraum und Datenlokation, Anhörung von Nutzenden und Administrierenden |
| BES.3 Auswahl von Lieferanten | Klassifizierung, Kriterien zur Verlässlichkeit, Ausschluss unzuverlässiger Quellen |
| BES.4 Auswahl von Produkten und Dienstleistungen | Beschaffungskriterien, Security by Design und by Default, ISMS beim Dienstleister, Konformitätsnachweise |
| BES.5 Zusammenarbeit | vertragliche Regeln zu Kompetenzen, SLA, Compliance, Unteraufträgen, Änderungen, Vorfällen, Schwachstellen, Audit-Recht, Datensicherungen und Löschung |
| BES.6 Kündigung | Entzug von Zugängen, Löschung, Übertragbarkeit von Daten, Rückgewähr von Assets |
| BES.7 Abnahme | Eingangskontrolle, Kompatibilitätstests, vollständige Unterlagen, Auslagerungsregister, Serviceprofil für Cloud-Dienste |
| BES.8 Kompensierende Kontrollmechanismen | alternative Lieferanten, Übertragung von Geschäftsprozessen, Treuhand |
Die MUSS-Anforderungen
Die fünf MUSS-Anforderungen stehen in BES.1 und betreffen das Verfahren:
BES.1.1 «Beschaffungsmanagement MUSS Verfahren und Regelungen zur Beschaffung von IT-Produkten und Dienstleistungen verankern.»
BES.1.1.1 «Beschaffungsmanagement MUSS die Verfahren und Regelungen dokumentieren.»
BES.1.1.2 «Beschaffungsmanagement MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen.»
BES.1.1.3 «Beschaffungsmanagement MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.»
BES.1.2 «Beschaffungsmanagement MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen.»
Laut Erläuterung zu BES.1.1 sind Beschaffungen für den internen Betrieb ebenso gemeint wie Verträge, bei denen Informationen extern verarbeitet werden, etwa Cloud-Dienstleistungen.
Wichtige SOLLTE-Anforderungen
Lieferanten kennen und auswählen
BES.1.3 «Beschaffungsmanagement für Einkäufe SOLLTE alle direkten Zulieferer und Dienstleister inklusive der jeweiligen Kontaktdaten und den bezogenen Lieferungen dokumentieren.»
BES.3.2 «Beschaffungsmanagement für Einkäufe SOLLTE die Auswahl von Lieferanten anhand von Kriterien zu ihrer Verlässlichkeit verankern.»
BES.3.3 «Beschaffungsmanagement für Einkäufe SOLLTE die Beschaffung aus einer unbekannten oder unzuverlässigen Quelle untersagen.»
Als unzuverlässig gilt eine Quelle laut Erläuterung, wenn künftig mit Verstößen gegen Vertraulichkeit, Verfügbarkeit oder Integrität zu rechnen ist, insbesondere nach erheblichen Verstößen in der Vergangenheit.
Sicherheit vereinbaren
BES.4.5 «Beschaffungsmanagement für Einkäufe SOLLTE Security by Design vereinbaren.»
BES.4.6 «Beschaffungsmanagement für Einkäufe SOLLTE Security by Default vereinbaren.»
BES.4.8 «Beschaffungsmanagement für Einkäufe SOLLTE Nachweise des Lieferanten zur Erfüllung der Sicherheitskriterien vereinbaren.»
BES.5.10.2 «Beschaffungsmanagement für Einkäufe SOLLTE eine Verpflichtung zur unverzüglichen Information des Auftraggebers über ihn betreffende Vorfälle vereinbaren.»
BES.5.10.3 «Beschaffungsmanagement für Einkäufe SOLLTE eine Verpflichtung für Lieferanten, die den Auftraggeber betreffende Schwachstelle zeitnah zu beheben, vereinbaren.»
Wie detailliert die Kriterien sind, kann sich laut Erläuterung zu BES.4.6 nach Umfang und Klassifizierung der Beschaffung richten. Bei einfachen Beschaffungen von geringer Bedeutung kann es genügen, grundlegende Mechanismen wie Verschlüsselung und Authentifizierung zu vereinbaren.
Cloud-Dienste und Vertragsende
BES.1.7 «Beschaffungsmanagement für Cloud-Dienste SOLLTE für jeden Cloud-Dienst mit dem Anbieter die geteilte Verantwortung vereinbaren.»
BES.2.2 «Beschaffungsmanagement für Cloud-Dienste SOLLTE Rechtsraum und Datenlokation dokumentieren.»
BES.6.2 «Beschaffungsmanagement für Dienstleistungen SOLLTE die Löschung aller beim Dienstleister vorhandenen Daten für den Fall einer Kündigung vereinbaren.»
BES.6.3 «Beschaffungsmanagement für Dienstleistungen SOLLTE die Übertragbarkeit von Daten, Konfigurationen und der Funktionalität für den Fall einer Kündigung vereinbaren.»
Abnahme
BES.7.1 «Beschaffungsmanagement für Einkäufe SOLLTE erbrachte oder gelieferte Leistungen anhand von Kriterien zur Akzeptanz vor der ersten Verwendung testen.»
BES.7.4.5 «Beschaffungsmanagement für IT-Produkte SOLLTE eine Liste der Internetserver, mit denen das IT-Produkt von sich aus Verbindung aufnimmt, mit Zweck der Verbindung, Zieladresse(n), Port-Nummern dokumentieren.»
Normale und erhöhte Sicherheitsstufe
77 Anforderungen gehören zum Niveau normal (Stand der Technik): fünf MUSS und 72 SOLLTE. 32 Anforderungen gehören zum Niveau erhöht. 31 davon sind KANN-Anforderungen, eine ist als SOLLTE formuliert:
BES.1.4 «Beschaffungsmanagement für Outsourcing SOLLTE eine Strategie mit Zielen, Chancen und Risiken des Outsourcings verankern.»
Beispiele für KANN-Anforderungen der erhöhten Stufe sind die Dokumentation der gesamten Lieferkette mit Unterauftragnehmern (BES.1.3.1), die Vereinbarung von Rechtsraum und Datenlokation mit Cloud-Anbietern (BES.2.3), Zertifikate oder Testate (BES.4.8.1), die Autorisierung von Unterauftragnehmern (BES.5.6.2), eine SBOM für gelieferte Software (BES.7.4.4.1) und alle Anforderungen der Gruppe BES.8, etwa alternative Lieferanten oder Treuhandverträge.
Typische Nachweise
Mit Abstand am häufigsten nennt der Katalog die Beschaffungskriterien (70 Anforderungen). Weitere Nachweise sind das Betriebshandbuch (8), der Prozess Beschaffung (7), das Abnahmeprotokoll (6), die Dokumentation der Geschäftsprozesse und das Auslagerungsregister (je 5), außerdem die Liste der Hersteller und Dienstleister, die Outsourcing-Strategie, das IT-Betriebskonzept, der Geschäftsverteilungsplan und der Übungs- und Prüfplan.
Betroffene Zielobjekte
104 der 109 Anforderungen sind Zielobjektkategorien aus dem Zweig Einkäufe zugeordnet: Einkäufe (39), Outsourcing (22), Dienstleistungen (21), IT-Produkte (14) und Cloud-Dienste (8). Die Hierarchie ist hier besonders wichtig: Cloud-Dienste sind eine Unterkategorie von Outsourcing, Outsourcing von Dienstleistungen und Dienstleistungen von Einkäufen. Ein Cloud-Dienst erhält damit die Anforderungen aller vier Kategorien.
Vergleich mit dem Kompendium Edition 2023
Im bisherigen IT-Grundschutz waren Beschaffungsthemen über viele Bausteine verteilt, etwa OPS.2.3 Nutzung von Outsourcing, OPS.2.2 Cloud-Nutzung und Beschaffungsanforderungen in einzelnen System- und Anwendungsbausteinen. Grundschutz++ bündelt sie in einer Praktik mit eigener Zielobjekthierarchie für Einkäufe.
Umsetzungstipps für kleine und mittlere Unternehmen
- Eine Checkliste für alle Einkäufe: Leiten Sie aus BES.2 und BES.4 eine einseitige Checkliste ab und differenzieren Sie nach Klasse der Beschaffung, wie es BES.4.1 vorsieht.
- Lieferantenliste pflegen: Direkte Zulieferer und alle Dienstleister, die schützenswerte Informationen verarbeiten, mit Kontakt und bezogenen Leistungen.
- Vertragsbausteine vorbereiten: Formulierungen zu Vorfallmeldung, Schwachstellenbehebung, Audit-Recht, Unteraufträgen, Datenlöschung und Datenrückgabe lassen sich wiederverwenden.
- Cloud-Dienste bewusst wählen: Halten Sie für jeden Dienst Bereitstellungsmodell, geteilte Verantwortung, Rechtsraum und Datenlokation fest.
- Abnahme dokumentieren: Ein kurzes Abnahmeprotokoll mit den geprüften Kriterien reicht für den Einstieg.
Häufige Fragen
Gilt die Praktik auch für kleine Softwarekäufe?
Ja, das Verfahren gilt für die Beschaffung von IT-Produkten und Dienstleistungen insgesamt. Laut Erläuterung zu BES.4.6 kann sich der Detaillierungsgrad der Kriterien aber nach Umfang und Klassifizierung der Beschaffung richten.
Was unterscheidet BES von der Dienstleistersteuerung?
BES regelt Auswahl und vertragliche Absicherung, also den Weg bis zur Abnahme. Die Praktik Dienstleistersteuerung (DLS) regelt die laufende Kontrolle bestehender Dienstleister und die geordnete Beendigung.
Muss ich von Dienstleistern ein Zertifikat verlangen?
Nicht zwingend. BES.4.8 empfiehlt als SOLLTE, Nachweise zur Erfüllung der Sicherheitskriterien zu vereinbaren. Ein Zertifikat oder Testat ist mit BES.4.8.1 eine KANN-Anforderung der erhöhten Stufe. Für Cloud-Dienste empfiehlt BES.4.8.2 einen Konformitätsnachweis durch Dritte.
Was ist ein Auslagerungsregister?
Eine Übersicht über ausgelagerte Prozesse. Nach BES.7.4.9 soll es Informationen über den Dienstleister, die Kritikalität des Prozesses, abgeschlossene Verträge und Vereinbarungen sowie Änderungen daran enthalten.
Quellen
- BSI: Grundschutz++
- BSI: Stand-der-Technik-Bibliothek auf GitHub (Anwenderkatalog Grundschutz++)
- BSI: Definition der Modalverben MUSS, SOLLTE, KANN (Stand-der-Technik-Bibliothek)
- BSI: Zielobjektkategorien des Grundschutz++ (Stand-der-Technik-Bibliothek)
- BSI-Baustein OPS.2.3 Nutzung von Outsourcing (Edition 2023)