Öffentliche Ausschreibung verlangt Penetrationstest-Erlass: Was müssen wir bei unserer Unternehmensgröße erfüllen?

Die Vergabekommissionen sind bei der Erlass-Prüfung extrem strikt. Fehlen der Stempel einer TSE-zertifizierten Organisation sowie die Registriernummern der Prüfer im Bericht, fliegt die Bewerbung in der technischen Wertung direkt raus. Reicht euren Freelancer-Bericht auf keinen Fall ein.

Letzten Monat haben wir für ein ähnliches Vergabeverfahren Angebote von drei TSE-zertifizierten Dienstleistern eingeholt. Bei einem Scope von zwei Web-Apps und einem Server lagen die Angebote bei 55.000 TL, 75.000 TL und 90.000 TL. Sind es weniger als 15 Tage bis zum Stichtag, verlangen manche Firmen auch noch Eilzuschläge.

Kopiert die Pentest-Klausel aus dem Leistungsverzeichnis 1:1 und schickt sie an mindestens zwei TSE-zertifizierte Firmen. Die senden euch dann ein Scope-Formular zu. Wenn ihr beim Ausfüllen überflüssige Module direkt ausschließt, spart ihr Testzeit und senkt die Kosten spürbar.

Läuft eure Software künftig im Rechenzentrum der Behörde auf lokalen Servern oder stellt ihr das als Cloud-Dienst bereit? Bei On-Premise-Installationen reichen manchen Auftraggebern Quellcode-Analysen und Application-Tests, bei externem Hosting wird dagegen zwingend auch ein Infrastruktur-Audit verlangt.

Es gibt viele Buden am Markt, die sich das TSE-Logo auf die Website klatschen, aber eigentlich nur Subunternehmer einsetzen. Prüft vor Vertragsabschluss selbst auf der TSE-Website, ob die Firma dort aktiv als zugelassener Pentest-Dienstleister geführt wird damit ihr kein Geld an Vermittler verschwendet.

Bei unserer allerersten Ausschreibung hatten wir keine Ahnung von den Gepflogenheiten und haben den Bericht einer ganz normalen Cybersecurity-Firma eingereicht. Die Vergabekommission hat unser Angebot wegen Nichterfüllung der Dokumentenstandards sofort für ungültig erklärt. Nicht mal Einspruch konnten wir einlegen; 30.000 TL waren futsch und sechs Monate Ausschreibungsvorbereitung umsonst. Bei Behördenaufträgen muss man sich buchstabengetreu an die Vorgaben halten.

Die TSE-Zertifizierung des Dienstleisters ist Pflicht. Achtet außerdem penibel darauf, dass das Testdatum im Bericht innerhalb des im Leistungsverzeichnis definierten Gültigkeitszeitraums der letzten 6 oder 12 Monate liegt.

Da hast du recht. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

An deiner Stelle würde ich so vorgehen.

Meine Frage klingt vielleicht etwas naiv, entschuldigt bitte. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Wenn es jemand anders macht, würde mich das auch interessieren.

Ein Thema, das gerade aktuell ist. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

ich schreibe kurz wie das in der Praxis gemacht wird. übrigens dass das Backup im gleichen Netzerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

ich hoffe das hilft dir weiter.

Du hast recht.

Ich habe mich lange damit beschäftigt. Das allein zu versuchen ist der teuerste Weg.

Aus Erfahrung weiß ich das.

ich stimme zu, möchte das sogar besonders betonen. kein Prozess ohne Dokumentation verbessert sich, weil man nichht weiß, was man verbessern soll.

wenn der Benachrichtigungsweg lang ist, kommen keien Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle und an deiner Stelle würde ich so vorgehen.

Ich stimme zu.

Ich habe keinerlei Erfahrung mit Penetrationstest-Richtlinie, deshalb frage ich. Bei uns war der größte Zeitfresser die Unklarheit darüber wer entscheidet.

Viel Erfolg.

hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. halt die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

ich hoffe, das hilft dir weiter.

Gut, dass du diesen Thread eröffnet hast.