Germany - IT audit and inspection - Internal audits and security reviews to maintain information security of the EU paying agency within MLEUV

Das Vorhaben umfasst die Planung und Durchführung von internen Audits und Sicherheitsrevisionen im Bereich der Informationssicherheit zur Aufrechterhaltung des auf Basis vom BSI IT-Grundschutz nach ISO 27001 zertifizierten Informationsverbunds der EU-Zahlstelle Brandenburg-Berlin. Die ISO 27001 Zertifizierung ist ein Nachweis für das unionsrechtliche Zulassungskriterium der "Sicherheit der Informationssysteme" der EU-Zahlstelle (Artikel 1 i.V.m An-hang I Ziffer 3. Buchstabe B der Delegierten Verordnung (EU) Nr. 2022/127) und setzt nach BSI IT-Grundschutz die regelmäßige Durchführung von internen Audits und Sicherheitsrevisionen voraus. Eigene Personalressourcen und Kompetenzen zur Durchführung interner Audits stehen nicht zur Verfügung, weshalb sich gemäß Kapitel 8.3, BSI-Standard 200-1 dazu entschlossen wurde, die Durchführung der Prüfungen an externe Experten zu vergeben. Das zuvor bereits vergebene Vorhaben mit gleichem Projektinhalt läuft im Jahr 2026 aus, weshalb ein mehrjähriges Anschlussvorhaben vergeben wird, um eine kontinuierliche und langfristige interne Auditierung bis 2030 sicherzustellen. Gegenstand des Vorhabens sollen flexibel abrufbare Prüfungsleistungen für den Informationsverbund der EU-Zahlstelle sein, welcher aus den Organisationseinheiten des Ministeriums für Land- und Ernährungswirtschaft, Umwelt und Verbraucherschutz Brandenburg (MLEUV) und dem direkt nachgeordneten Landesamt für Ländliche Entwicklung, Landwirtschaft und Flurneuordnung (LELF) besteht, sowie den weiteren am Zahlstellenverfahren beteiligten Stellen (Landkreise, Landesforstbetrieb, Investitionsbank und technische Dienstleister), welche als Outsourcing-Partner bzw. die dorthin ausgelagerten Bestandteile, die wesentlichen Prüfgegenstände der Prüfungen darstellen sollen. Ausgehend von einer gemeinsam erstellten Prüfplanung sind voraussichtlich vier Prüfungen pro Jahr geplant. Das Vorhaben soll an nachweislich erfahrene Experten im Bereich der Informationssicherheitsrevision oder ISMS-Auditierung nach BSI IT-Grundschutz vergeben werden. Der Auftragsgegenstand umfasst die Planung und Durchführung interner Audits und Sicherheitsrevisionen für einen auf Basis von BSI IT-Grundschutz nach ISO 27001 zertifizierten Informationsverbund und dessen beteiligte Outsourcing-Partner. Der zu prüfende Informationsverbund "Operativer Betrieb der EU-Zahlstelle Brandenburg-Berlin" besteht aus den Organisationseinheiten des Ministeriums für Land- und Ernährungswirtschaft, Umwelt und Verbraucherschutz des Landes Brandenburg (MLEUV) und dem direkt nachgeordneten Landesamt für Ländliche Entwicklung, Landwirtschaft und Flurneuordnung (LELF), die die Fachaufgaben der Bewilligung, Kontrolle, Auszahlung, Verbuchung sowie Verwaltung der Außenstände von Fördergeldern des Europäischen Garantiefonds für die Landwirtschaft (EGFL), des Europäischen Landwirtschaftsfonds für die Entwicklung des ländlichen Raums (ELER) und des Europäischen Meeres-, Fischerei- und Aquakulturfonds (EMFAF) wahrnehmen, sowie den weiteren am Zahlstellenverfahren beteiligten Stellen (Landkreise, Landesforstbetrieb, Investitionsbank und technische Dienstleister), welche als Outsourcing-Partner behandelt werden. Die wesentlichen Prüfungshandlungen sind für die ausgelagerten Bestandteile des Informationsverbunds bei den Outsourcing-Partnern durchzuführen. Mit diesen Einrichtungen wurde eine Übertragung von Zahlstellenaufgaben auf Grundlage von Zuständigkeitsverordnungen, Überleitungsverordnungen oder andere Regelungen vereinbart. Die Outsourcing-Beziehungen werden auf Grundlage eines mit dem Bundesamt für Sicherheit in der Informationstechnik (kurz BSI) abgestimmten Bund-Länder-Schnittstellen-Modells für EU-Zahlstellen im Wesentlichen unterschieden in: 1. Organisatorische Schnittstellen (S-O): Einrichtungen, welche übertragene Aufgaben der Bewilligung und Kontrolle innerhalb der Geschäftsprozesse der Zahlstelle wahrnehmen und zur Aufgabenerfüllung zentrale Zahlstellen-Fachanwendungen innerhalb des Informationsverbundes nutzen, da sie selbst keine zentralen Zahlstellen-Fachanwendungen bereitstellen und keine spezifischen Anwendungsumgebungen betreiben. Dies betrifft in Brandenburg aktuell: - 14 Bewilligungsstellen (Ämter für Landwirtschaft) in den Landkreisen, - den Landesbetrieb Forst (LFB), - die Investitionsbank des Landes Brandenburg (ILB). 2. Technische Schnittstellen (S-T): Einrichtungen des technischen Betriebs der zentralen Zahlstelle-Fachanwendungen und Systeme sowie der Datenhaltung. Dies betrifft in Brandenburg aktuell: - den zentralen Brandenburgischen IT-Dienstleister (ZIT-BB), - die Landesvermessung und Geobasisinformation Brandenburg (LGB) - die init AG für den Betrieb eines Antragsverfahrens. Im Informationsverbund sind eine mittlere dreistellige Anzahl an Personen tätig. Jährlich werden mehrere Millionen Euro in dreistelliger Höhe an EU-, Bundes- und Landesmitteln verwaltet. Die Zahlstellen-Fachanwendungen umfassen im Wesentlichen Client/Server- und Webanwendungen, wofür eine die IT-Systemlandschaft bestehend aus Terminal-, Web-, Applikations- und Datenbankserver zum Einsatz kommt. Die Nutzung erfolgt für Verwaltungseinheiten mittels virtueller Clients über das Landesverwaltungsnetz des Landes Brandenburg. Antragsteller greifen auf die in einer demilitarisierten Zone (DMZ) betriebenen Onlineantragssysteme über das Internet zu. Der Aufragnehmer soll in Abstimmung mit dem Aufraggeber und auf Grundlage der Dokumentation des ISMS, eine mehrjährige Prüfplanung vornehmen und durchführen. Die Planung und Durchführung der Prüfungen erfolgt unter Beteiligung des Informationssicherheitsbeauftragen der EU-Zahlstelle. Ausgehend von Erfahrungswerten sind voraussichtlich pro Jahr vier Prüfungen bei jeweils unterschiedlichen Verfahrensbeteiligten durchzuführen, die flexibel aufrufbar sein sollen. Je Prüfung wird der Arbeitsaufwand in Personentagen (PT) auf ca. 10 PT eingeschätzt. Der Auftragsgegenstand umfasst die Prüfungen die Jahre 2027 bis einschließlich 2030. Der Auftraggeber behält sich mit der Vergabe von optionalen Leistungen vor, bei vorhandenen Kapazitäten des Auftragnehmers, für das Jahr 2026 weitere Prüfungen gemäß des Leistungsverzeichnisses zu beauftragen. Demnach ergibt sich voraussichtlich folgender Arbeitsumfang - 2026: 2 Prüfungen - 20 PT (optional, bei Verfügbarkeit) - 2027: 4 Prüfungen - 40 PT - 2028: 4 Prüfungen - 40 PT - 2029: 4 Prüfungen - 40 PT - 2030: 4 Prüfungen - 40 PT - Gesamt: 18 Prüfungen - 180 PT Die Durchführung der Prüfungen soll entlang der einschlägigen Standards für Audits und Sicherheitsrevisionen nach BSI IT-Grundschutzmethodik stattfinden (BSI Auditierungsschema oder dem Leitfaden für IS-Revisionen auf der Basis von IT-Grundschutz). Der Auftraggeber behält sich vor, den Auftragnehmer im Jahr 2026 optional mit bis zu zwei (2) weiteren Prüfungen für zwei (2) Prüfgegenstände gemäß des Leistungsverzeichnisses zu beauftragen.