Vorgaben für die Zusammenarbeit mit Lieferanten
1 Allgemeine Themen in der Zusammenarbeit zwischen Lieferanten und der NAVUM GmbH
1.1 Geheimhaltungsvereinbarung zwischen dem Auftragnehmer und seinen Mitarbeitern
Der Auftragnehmer der NAVUM GmbH verpflichtet sich dazu, mit all seinen Mitarbeitern, die im Zuge der Zusammenarbeit Informationen der NAVUM GmbH erhalten oder auf diese zugreifen können, eine Geheimhaltungsvereinbarung (Separat oder als Teil des Arbeitsvertrages) abzuschließen. Der Nachweis der Einhaltung obliegt dem Auftragnehmer und ist auf Verlangen der NAVUM GmbH jederzeit nachzuweisen.
1.2 Unterauftragnehmer
Die Beauftragung von anderen Auftragnehmern (Subunternehmern) durch den Auftragnehmer bei geheimen oder vertraulichen Projekten bedarf der ausdrücklichen schriftlichen Zustimmung der NAVUM GmbH. Bei Beauftragung in der Zusammenarbeit informiert die NAVUM den jeweiligen Lieferanten, ob es sich hierbei um ein geheimes oder vertrauliches Projekt handelt.
Die Zustimmung zur Freigabe von Subunternehmern durch die NAVUM GmbH kann nachträglich widerrufen werden, wenn schwerwiegende Pflichtverletzungen oder nicht unerhebliches Fehlverhalten des Unterauftragnehmers oder seiner Erfüllungsgehilfen im Rahmen der Leistungserbringung dies rechtfertigen, vorbehaltlich einer außerordentlichen Kündigung aus wichtigem Grund oder der Geltendmachung von Schadensersatzansprüchen.
1.3 Einhaltung der Informationssicherheit (Lieferkette)
Der Auftragnehmer hat im Rahmen der Beauftragung von Unterauftragnehmern sicherzustellen, dass die Anforderungen der NAVUM GmbH an die Einhaltung der Informationssicherheit gemäß ISO 27001 auch durch den Unterauftragnehmer eingehalten werden. Dies schließt auch den Abschluss von Geheimhaltungsvereinbarung mit Sublieferanten ein. Der Nachweis der Einhaltung obliegt dem Auftragnehmer und ist auf Verlangen der NAVUM GmbH jederzeit nachzuweisen.
Ist der Auftragnehmer berechtigt, Unteraufträge zu erteilen, so haftet er hierfür in vollem Umfang, unabhängig von etwaigen vertraglichen oder gesetzlichen Haftungsbeschränkungen oder -ausschlüssen in Bezug auf diese.
1.4 Auditrechte in Bezug auf Informationssicherheit
Der Auftragnehmer räumt der NAVUM GmbH das jederzeit auszuübende Recht ein, nach vorheriger Anmeldung sämtliche Daten zu Geschäftsvorfällen in Bezug auf die Informationssicherheit zwischen dem Auftraggeber und der NAVUM GmbH bei dem Auftragnehmer einzusehen und zu überprüfen sowie Maßnahmen der IT- und Datensicherheit zu überprüfen.
Mitarbeiter der NAVUM GmbH oder von der NAVUM GmbH beauftragte Dritte dürfen hierzu die Räume des Auftragnehmers während der üblichen Geschäftszeiten betreten. Die Kosten der Überprüfung trägt der Auftragnehmer, wenn hierbei Verstöße gegen die Informationssicherheit und/ oder Vereinbarungen der jeweiligen Beauftragung festgestellt werden, es sei denn, solche Verstöße beruhen nicht auf einem Verschulden des Auftragnehmers.
2 Handhabung von Medien
2.1 Physischer Transport von Medien
Generell gilt, dass Medien, die Informationen der NAVUM GmbH oder deren Kunden beinhalten, vor unbefugten Zugriff, Missbrauch oder Verfälschung während des Transports, auch über Organisationsgrenzen hinweg, geschützt werden müssen.
Es ist darauf zu achten, dass alle notwendigen und geeigneten Vorkehrungen getroffen werden (z.B. Verschlüsselung), die vor Einsichtnahme, Veränderung und Löschung der Informationen durch Unbefugte (das sind auch Angehörige des Familien- und Freundeskreises) beim Transport schützen. Datenträger sind verborgen zu transportieren. Datenträger mit geheimen Informationen müssen grundsätzlich eskortiert durch einen Mitarbeiter transportiert werden. Dokumente müssen sichtgeschützt, also z.B. in einer Nicht-Klarsichtmappe transportiert werden.
2.2 Physischer Transport von Notebooks
Notebooks, die Daten der NAVUM GmbH oder deren Kunden beinhalten, sind so zu transportieren, dass sie von außen nicht sichtbar sind. Bei Benutzung von Notebooks in der Öffentlichkeit ist darauf zu achten, dass andere nicht am Bildschirm mitlesen können oder die Eingabe geheimer Authentisierungsinformationen ausspähen können.
2.3 Austausch von Informationen
Bei allen Gesprächen über vertrauliche oder geheime Informationen der NAVUM GmbH oder deren Kunden, inklusive Telefongespräche, ist darauf zu achten, dass diese nicht unbefugt mitgehört werden können.
E-Mail-Adressen von Mitarbeitern der NAVUM GmbH oder deren Kunden sind aktuellen Kommunikationsverzeichnissen zu entnehmen oder vom Empfänger zu erfragen, um eine Fehlleitung der übertragenen Daten zu verhindern.
3 Umgang mit Informationssicherheitsvorfällen
Schwerwiegende Informationssicherheitsereignisse (z. B. auftretende Störungen, Verstöße gegen interne Richtlinien) sind sofort an den Informationssicherheitsbeauftragten (ISB) der NAVUM GmbH unter der E-Mailadresse it-sec@navum.de zu melden. Beim Verdacht auf Verlust von vertraulichen oder geheimen Informationen muss dies ebenfalls an den ISB NAVUM GmbH gemeldet werden.
4 Allgemeine Kommunikation über Informationssicherheit
Der Lieferant wird die E-Mail-Adresse it-sec@navum.de (direkt oder in cc) für jegliche Kommunikation in Bezug auf die Angelegenheiten der Informationssicherheit in Bezug auf die NAVUM GmbH verwenden.
