Sikkerhed er allerede en integreret del af SKI’s aftaler, hvor der stilles krav til leverandører på baggrund af lovgivning, trusselsbillede og behov i den offentlige sektor. Men i praksis kan det være en stor opgave at orientere sig i alle kravene og få dem omsat til konkrete beslutninger.
Med et nyt sikkerhedsafsnit for hver SKI-aftale bliver det lettere. Her er de centrale sikkerhedskrav samlet ét sted sammen med henvisninger til de relevante bilag, så offentlige organisationer hurtigt kan se, hvad der gælder, og hvor de kan få mere information.
“Sikkerhed er et område, hvor overblik betyder noget i praksis. Vi vil gerne hjælpe med at skabe et enkelt overblik over de mange detaljer, man skal være opmærksom på, når man køber ind. Det handler om at gøre det nemmere at vurdere, hvilke tiltag SKI har gjort på den enkelte aftale, så man kan medtage dem i sine egne overvejelser om risikoprofil og behov,” siger Zannie Finderup, udbudsdirektør for it-udbud og sikkerhed i SKI.
Se her, hvordan du finder sikkerhedsafsnittet på en aftaleside
Informationssikkerhed handler i sidste ende om at beskytte data, systemer og kritiske funktioner mod uautoriseret adgang, fejl og angreb. Derfor er sikkerhedskrav en central del af offentlige indkøb.
Med sikkerhedsafsnittet bliver kravene mere tilgængelige i selve indkøbssituationen. Det gør det lettere at bruge dem aktivt, fx når indkøbere skal vurdere, om en aftale matcher behovet, og hurtigt få et overblik over, hvilke tiltag SKI har gjort. Det kan indgå i overvejelser om egen risikoprofil i det enkelte indkøb.
“Det skal være nemmere at vurdere, om en aftale matcher behovet, få overblik over de tiltag SKI har gjort, og have en kvalificeret dialog med leverandørerne, også efter kontrakten er indgået. Overblikket skal hjælpe med at gøre sikkerhed til en naturlig del af indkøbsbeslutningen,” siger Zannie Finderup.
Det nye sikkerhedsafsnit ligger på den enkelte aftaleside, hvor du i forvejen orienterer dig om aftalen. Herfra kan du hurtigt få overblik over kravene og klikke videre til de relevante bilag.
Sikkerhed på SKI-aftaler
SKI indarbejder sikkerhedskrav i aftalerne på baggrund af lovgivning, trusselsbillede og behov i den offentlige sektor.
Kravene fastsættes ud fra en konkret vurdering af risici i forhold til informationssikkerheden på aftaleområdet samt i forhold til den specifikke leverance og hvilke elementer, der indgår i den, herunder om der fx er tale om konsulenter, infrastruktur, software eller hardware. SKI kategoriserer de forskellige aftaler efter de vurderede risici og udvælger derefter de sikkerhedskrav, som skal indgå i udbudsmaterialet.
Sikkerhedskravene kan omfatte bl.a. databeskyttelse, adgangsstyring, hændelseshåndtering og leverandørsikkerhed.
På nogle aftaler indgår forskellige sikkerhedsniveauer, så kravene kan tilpasses den enkelte organisations behov.
SKI følger op på sikkerhedskravene i rammeaftalerne, fx gennem dokumentation og revisionserklæringer fra leverandører.
SKI’s krav til informationssikkerhed tager afsæt i anerkendte standarder og rammer for informationssikkerhed.