Finnland – IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung – Palvelimien turvasäilö

Das Beschaffungsobjekt ist eine Lösung, mit der ein sicher isolierter und kontrollierter Server-Speicher für gesicherte Kopien von Daten bereitgestellt werden kann. Die Lösung muss die sichere Aufbewahrung, Verarbeitung und Nutzung von Sicherungskopien in einer separaten, vom Produktionsumfeld getrennten Einheit ermöglichen.

**DATENVERARBEITUNGSBERECHTIGUNG, STANDORT, MANAGEMENTVERBINDUNGEN UND SCHUTZ**

Der im Beschaffungsobjekt enthaltene Sicherheits-Speicher-Dienst des Auftraggebers umfasst replizierte Sicherheitsdaten aus der Sicherheitsumgebung des Auftraggebers, die neben den eigenen Daten des Auftraggebers auch Daten von Eigentümer-Kunden wie z. B. Patientendatenmanagement-Systeme enthalten können und somit besondere Kategorien personenbezogener Daten im Sinne von Artikel 9 der EU-Datenschutz-Grundverordnung umfassen. Die Verarbeitung besonderer Kategorien personenbezogener Daten ist grundsätzlich verboten, aber die Verarbeitung ist zulässig, wenn eine Ausnahme von dem Verbot vorgesehen ist. In diesem Dienst ist die Verarbeitung notwendig, um die Gesundheitsdienste und -systeme zu verwalten und die kontinuierliche Verfügbarkeit und Wiederherstellbarkeit der Dienste zu gewährleisten (GDPR 9(2)(h)). Die Verarbeitung erfolgt nach den Anweisungen der Eigentümer-Kunden (Datenverantwortliche); der Auftraggeber fungiert als Datenverarbeiter und ist für die Verwaltung der Sub-Datenverarbeiter (Lieferant einschließlich möglicher Sub-Unternehmer) verantwortlich. Um die Einhaltung der Meldepflicht der Datenverantwortlichen, die Überwachbarkeit und die hohe Schutzstufe der verarbeiteten Daten sicherzustellen, fordert der Auftraggeber, dass:

1) die Sicherungsdaten ausschließlich in Rechenzentren auf dem Gebiet von Finnland gespeichert und verarbeitet werden, und

2) auch die Managementverbindungen (Wartungs- und Verwaltungsverkehr sowie mögliche Fernverwaltungslösungen) nur aus Finnland zugelassen sind, und

3) die Sicherungsdaten verschlüsselt sind (im Transit und im Ruhezustand) und der Dienst nur in einer dedizierten Umgebung für den Auftraggeber bereitgestellt wird.

Diese Anforderung ist auf das Beschaffungsobjekt des Sicherungsdienstes beschränkt und steht in angemessenem Verhältnis zum Ziel der Beschaffung und zur Art der verarbeiteten Daten.

**OPTION**

Optional wird ein Angebot für einen Analysedienst (Isoliertes Analyseumfeld mit Ransomware- und Viren-Scans) angefordert, der in einem vollständig separaten Netzwerksegment ohne Zugriff auf das Produktionsnetzwerk arbeitet. Dieser Dienst kann während der Vertragslaufzeit bei Bedarf erworben werden, daher ist er nur für ein Jahr im Vergleichspreis enthalten.