Cybersecurity-Compliance bei Ausschreibungen in Saudi-Arabien: Was wird verlangt und was kostet das?

Die typischen Knackpunkte im technischen Audit: Verschlüsselung ruhender Daten in der Datenbank (Encryption at Rest), MFA für ausnahmslos alle Admin-Bereiche und ein zentraler Log-Server. Außerdem muss euer Cloud-Anbieter zwingend Rechenzentren in Saudi-Arabien nutzen, Stichwort Data Sovereignty.

Mit diesen Unterlagen im Angebot rettet ihr euch meist über die erste Runde: 1) Offizieller Selbstevaluierungsbogen, 2) Zusammenfassung eurer IT-Sicherheitsrichtlinie, 3) Verbindliche Verpflichtungserklärung über 60 Tage zur Behebung noch offener Punkte. Öffentliche Auftraggeber akzeptieren so eine Frist in der Regel, statt das Angebot direkt auszusortieren.

Hatten wir letztes Jahr in Dammam bei einer Ausschreibung über 500.000 SAR genauso. Die Audit-Bude wollte 60.000 SAR sehen, völlig unbezahlbar für uns. Wir haben dann mit einem lokalen Berater für 18.000 SAR die Lücken geschlossen, die Dokumente geschrieben und den Zuschlag geholt. Vor der Projektabnahme kamen sie dann allerdings tatsächlich vorbei und haben die Kontrollen vor Ort geprüft.

Wenn das in den Ausschreibungsunterlagen steht und ihr gewinnt, behält sich der Hauptauftraggeber jederzeit unangekündigte Audits vor. Einfach blind zu unterschreiben, man sei compliant ohne technisch nachzubessern, ist brandgefährlich. Bei einem Sicherheitsvorfall verliert ihr nicht nur eure Sicherheitsleistung, sondern fliegt auch komplett von der Liste zugelassener Lieferanten.

Steht im Ausschreibungsdokument ausdrücklich die Bedingung eines von Dritter Seite bestätigten Berichts einer akkreditierten Prüfungsfirma, oder wird nur eine Lieferantenerklärung verlangt? Dieses Detail kann Ihre Kosten direkt um das Dreifache verändern.

Im saudischen Markt sind Cybersicherheitsregulierungen in den letzten zwei Jahren für Lieferanten kritischer Infrastruktur verpflichtend geworden. Es wäre sinnvoll, die Anforderungen im Lastenheft nicht als einmalige Ausschreibungskosten zu betrachten, sondern als Investition, die Ihr institutionelles Geschäftspotenzial in der Region erhöht.

Keine Angst, in einem 14-köpfigen Team lassen sich die Prozesse viel schneller in Ordnung bringen als bei großen Firmen. Statt teurer Unternehmenssicherheitssoftware können Sie die meisten Kontrollen schnell abschließen, indem Sie Ihre vorhandene Infrastruktur verschlüsseln und Logging- sowie Zugriffsregeln klären.

Ich schreibe mal meine Erfahrung auf. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt. Viel Erfolg.

Ich möchte kurz warnen. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Schreibt mir, wenn ihr Fragen habt ich antworte so gut ich kann.

ja die Situation bei cybersecurity compliance ist genau so... also änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

korrigiert mich falls ich falsch liege.

Ich möchte etwas fragen. Ein automatisierter Scan-Report ist kein Penetrationstest.

Ich hoffe, das hilft dir weiter.

Ich erzähle mal, was mir passiert ist, vielleicht hilft es euch. Wer bei cybersecurity compliance hetzt, stolpert alle an derselben Stelle.

Wenn es jemand anders macht würde mich das auch interessieren.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Ich habe diesen Weg schon hinter mir, ich erzähl mal. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht. Aus Erfahrung weiß ich das.

Ich habe mich lange damit beschäftigt. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Wenn deine Situation anders ist, ändert sich das natürlich.

Ja, die Situation bei cybersecurity compliance ist genau so. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Wenn ihr es zum ersten Mal macht, fangt klein an die Skalierung kommt später. Das war's, entschuldige wenn ich zu lang war.

genau so ist es. halt wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

wenn deine Situation anders ist, ändert sich das natürlich.

Ich fasse kurz zusammen, was bisher gesagt wurde. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.