:quality(85))
Im vergangenen Oktober hat der Federal Acquisition Regulatory (FAR) Council, ein behördenübergreifendes Gremium zur Festlegung von Beschaffungsrichtlinien für die gesamte US-Bundesregierung, zwei neue Regelungen vorgeschlagen. Sollten diese finalisiert und in Kraft gesetzt werden, könnten sie die Art und Weise, wie Bundesauftragnehmer Cyberangriffe und andere Vorfälle im Bereich Cybersicherheit melden und darauf reagieren, grundlegend verändern.
Die erste vorgeschlagene Regelung, Cyber Threat and Incident Reporting and Information Sharing — einschließlich der Klauseln FAR 52.239-ZZ und FAR 52.239-AA — wurde im Rahmen von FAR Case 2021–017 veröffentlicht. Die zweite Regelung, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems — einschließlich FAR 52.239-XX und FAR 52.239-YY — wurde im Rahmen von FAR Case 2021-019 veröffentlicht.
Die Veröffentlichung dieser Vorschläge am 3. Oktober startete eine 60-tägige Kommentierungsfrist, die ursprünglich am 4. Dezember 2023 enden sollte. Am 1. November hat der FAR Council die Frist zur Kommentierung der vorgeschlagenen Regelungen bis zum 2. Februar 2024 verlängert. Seither gab es keine offiziellen Updates vom FAR Council oder von anderen an der gemeinsamen Verwaltung der Federal Acquisition Regulation beteiligten Behörden bezüglich der Finalisierung der Regelungen oder eines konkreten Inkrafttretens.
Aufgrund des Umfangs dieser Regelungen und der erheblichen Verantwortung, die sie Bundesauftragnehmern auferlegen würden, sollten Unternehmen jedoch genau wissen, was die FAR Cases 2021-017 und 2021-019 beinhalten.
Aufgrund des Umfangs dieser Regelungen und der erheblichen Verantwortung, die sie Bundesauftragnehmern auferlegen würden, sollten Unternehmen jedoch genau wissen, was die FAR Cases 2021-017 und 2021-019 beinhalten.
Cybersecurity Executive Order von Präsident Biden
Im Mai 2021 unterzeichnete Präsident Biden die Executive Order 14028 mit dem klaren Titel „Verbesserung der Cybersicherheit der Nation“. Ziel dieser Anordnung war es, verschiedene Maßnahmen zur Cybersecurity zu verstärken, um die Bundesbehörden gegen aus Sicht des Weißen Hauses „anhaltende und zunehmend ausgefeilte böswillige Cyberkampagnen“ zu schützen. Die präsidentielle Direktive erfolgte im unmittelbaren Zusammenhang mit zwei massiven und weitgehend beispiellosen Cyberangriffen — dem SolarWinds-Hack 2020 und der Microsoft Exchange-Datenpanne Anfang 2021. Diese Cyber-Spionageakte, ausgeführt von Hackergruppen mit Verbindung zu den wichtigsten US-Gegnern, markieren nach Ansicht vieler den Beginn einer neuen Ära in der Cyberkriegsführung. Als Reaktion verspürte die US-Regierung eine steigende Dringlichkeit, einen umfassenden und einheitlichen Plan zur Stärkung ihrer Datensysteme zu entwickeln.
Die präsidentielle Direktive erfolgte im unmittelbaren Zusammenhang mit zwei massiven und weitgehend beispiellosen Cyberangriffen — dem SolarWinds-Hack 2020 und der Microsoft Exchange-Datenpanne Anfang 2021.
Die Executive Order von Präsident Biden verpflichtete die Bundesbehörden, „das gesamte Spektrum ihrer Befugnisse und Ressourcen zum Schutz und zur Sicherung ihrer Computersysteme einzusetzen — unabhängig davon, ob diese cloudbasiert, lokal betrieben oder hybride Systeme sind.“ Die Anordnung verlangte explizit neue Protokolle für Cybervorfälle zwischen Regierung und Auftragnehmern, die Modernisierung von Cybersecurity-Infrastrukturen durch sichere Cloud-Dienste und Zero Trust-Architekturen sowie die Standardisierung von Reaktionen auf Cyberbedrohungen über alle Bundesbehörden hinweg.
Die im vergangenen Oktober vom FAR Council vorgeschlagenen neuen Regelungen dienen der weiteren Umsetzung der Executive Order von 2021. Durch die Stärkung und Erweiterung der Meldepflichten für Bundesauftragnehmer nach Cybervorfällen will der FAR Council die Voraussetzungen für flexiblere, proaktivere Regierungsmaßnahmen gegen Cyberangriffe und andere Bedrohungen der nationalen Sicherheit schaffen.
Durch die Stärkung und Erweiterung der Meldepflichten für Bundesauftragnehmer nach Cybervorfällen will der FAR Council die Voraussetzungen für flexiblere, proaktivere Regierungsmaßnahmen gegen Cyberangriffe und andere Bedrohungen der nationalen Sicherheit schaffen.
FAR Case 2021-017: Geltungsbereich und Cybersecurity-Anforderungen
Die erste vorgeschlagene Regelung umfasst zwei Klauseln: FAR 52.239-ZZ und FAR 52.239-AA. Beide würden neue Pflichten für Bundesauftragnehmer einführen — entweder als unmittelbare Reaktion auf einen Cybervorfall oder als vorsorgliche Maßnahme für den Eventualfall.
FAR 52.239-ZZ
Die offizielle Bezeichnung von FAR 52.239-ZZ lautet „Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology“. FAR 52.239-ZZ zielt darauf ab, die vertraglichen Verpflichtungen für Bundesauftragnehmer nach Sicherheitsvorfällen zu aktualisieren und zu verschärfen. Dies geschieht durch neue Anforderungen an eine zeitnahe, umfassende Reaktion auf Sicherheitsvorfälle, Zusammenarbeit mit Behörden bei der Untersuchung solcher Vorfälle und dem Erhalt aller Dateien, Aufzeichnungen und Unterlagen, die zur Bewältigung des Vorfalls beitragen können.
Nach dem Vorschlag umfasst ein „Sicherheitsvorfall“ mehr als nur Cyberangriffe oder andere Vorfälle im Bereich Cybersicherheit. Der FAR Council nutzt den Begriff zudem für generellere Verstöße gegen Gesetze, Sicherheitsrichtlinien oder -verfahren sowie für die Übertragung von Verschlusssachen oder kontrollierten, nicht klassifizierten Informationen (CUI) auf ein Informationssystem unterhalb des vom Staat vorgegebenen Sicherheitsniveaus.
- Fristen für die Vorfallmeldung
FAR 52.239-ZZ aktualisiert die Fristen, innerhalb derer Auftragnehmer Sicherheitsvorfälle an die Behörden zu melden haben. Nach der neuen Regelung sind Auftragnehmer verpflichtet, solche Vorfälle samt aller relevanten Begleitinformationen innerhalb von acht Stunden ab erstmaliger Entdeckung über das Incident Reporting Portal der Cybersecurity and Infrastructure Security Agency (CISA) zu melden. Nachfolgende Aktualisierungen der Meldung müssen alle 72 Stunden erfolgen, solange noch staatliche Ermittlungen laufen.
Eine derart zeitnahe Meldung unterstützt Behörden und deren Einsatzteams bei einer möglichst effektiven und dynamischen Reaktion. Die vorgeschlagene Regel erläutert, dass so eine „rasche Datenanalyse zur schnellen Identifizierung der Aktivitäten und Handlungen böswilliger Akteure, Bedrohungen und Indikatoren für Kompromittierungen“ erleichtert wird.
- Weitere Maßnahmen zur Unterstützung der staatlichen Vorfallsreaktion
Zusätzlich zur fristgerechten Meldung von Sicherheitsvorfällen über das CISA-Portal müssen Auftragnehmer noch eine Reihe weiterer Aktivitäten durchführen, um die staatliche Bedrohungsabwehr zu unterstützen. Zunächst sind sie verpflichtet, CISA, FBI und/oder der zuständigen Vergabestelle im unmittelbaren Anschluss an einen Sicherheitsvorfall uneingeschränkten Zugang zu allen relevanten Informationen, Informationssystemen und Mitarbeitenden zu gewähren.
Bundesauftragnehmer sind außerdem für die Aufbewahrung aller mit dem Vorfall im Zusammenhang stehenden Daten verantwortlich. Dazu zählt das Speichern von Netzwerkverkehrsdaten, Perimeter-Defense-Protokollen, Telemetriedaten und anderen relevanten Informationen für 12 Monate im aktiven Zugriff sowie weitere sechs Monate im aktiven oder Kalt-Speicher.
Darüber hinaus verlangt die neue FAR-Regel, dass Auftragnehmer am Automated Indicator Sharing (AIS)-Programm der CISA teilnehmen, um Bedrohungsindikatoren und empfohlene Abwehrmaßnahmen zu übermitteln. (Die Teilnahme am AIS-Programm ist unabhängig davon verpflichtend, ob ein Vorfall eingetreten ist oder nicht.)
- Software Bill of Materials
Über die Melde- und Reaktionspflichten hinaus schreibt FAR 52.239-ZZ vor, dass alle Bundesauftragnehmer eine vollständige Software Bill of Materials (SBOM) führen müssen, in der alle im Rahmen des jeweiligen Bundesauftrags genutzten Software-Komponenten dokumentiert werden. Die Regierung definiert eine SBOM als „formalen Nachweis mit Details und Lieferkettenbeziehungen aller Komponenten, die zur Erstellung einer Software verwendet werden.“ Laut US-Handelsministerium verbessert die SBOM sowohl die Identifizierung von Schwachstellen als auch die Geschwindigkeit der Reaktion; ihre Nutzung zur Identifikation bekannter Schwachstellen und möglicher Maßnahmen ist entscheidend für ein effektives Risikomanagement.
Bemerkenswert ist, dass Auftragnehmer in jedem Fall SBOMs pflegen müssen — unabhängig davon, ob ihnen sicherheitsrelevante Vorfälle bekannt sind. Sie sind verpflichtet, ihre SBOMs zu aktualisieren, wenn genutzte Software während des Vertragszeitraums verändert wird. Eine vollständige Übersicht aller Anforderungen für SBOMs und deren Pflege während der Vertragserfüllung findet sich im Minimum Elements for a Software Bill of Materials des Handelsministeriums.
FAR 52.239-AA
Die zweite Klausel im Case 2021-017, FAR 52.239-AA, ist deutlich spezifischer. Unter dem Titel „Security Incident Reporting Representation“ verpflichtet sie alle Unternehmen, die ein Angebot für staatliche Aufträge einreichen, zu bestätigen, dass sie FAR 52.239-ZZ historisch eingehalten haben. Das beinhaltet den Nachweis, alle vorgeschriebenen Sicherheitsvorfallmeldungen für frühere und laufende Verträge „aktuell, korrekt und vollständig“ eingereicht zu haben.
Zudem müssen alle Bieter zusichern, dass sie die Regel auf Unterauftragnehmer durchgereicht haben, indem sie deren Aufnahme als Vertragsbestandteil in alle Nachunternehmerverträge vorgeschrieben haben.
FAR Case 2021-019: Geltungsbereich und Cybersecurity-Anforderungen
Der FAR Council veröffentlichte die zweite vorgeschlagene Regelung, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, im Rahmen von Case 2021-019. Ziel ist die Standardisierung der Vorgaben für Cybersicherheit in allen Bundesbehörden — mit besonderem Fokus auf nicht-klassifizierte Federal Information Systems (FIS). Case 2021-019 ist in zwei Klauseln unterteilt, deren Abgrenzung weitgehend selbsterklärend ist. Erstens FAR 52.239-XX, „Federal Information Systems Using Cloud Computing Services“, bezieht sich auf cloudbasierte FIS. Zweitens FAR 52.239-YY, „Federal Information Systems Using Non-Cloud Computing Services“, umfasst alle FIS ohne Cloudinfrastruktur.
Die Bundesregierung definiert ein Federal Information System als ein „Informationssystem, das von einer Behörde, von einem Auftragnehmer einer Behörde oder einer anderen Organisation im Auftrag einer Behörde betrieben oder genutzt wird“.
FAR 52.239-XX
Diese Klausel verlangt von den Behörden die Feststellung des „Impact Level“ des cloudbasierten Informationssystems eines Auftragnehmers unter Anwendung des Federal Information Processing Standard Publication 199 (FIPS-199) sowie das entsprechende Federal Risk and Authorization Management Program (FedRAMP)-Zulassungsniveau. Laut Regel soll die FIPS-199-Einstufung anhand einer „Auswirkungsanalyse der vom System verarbeiteten, gespeicherten oder übertragenen Informationen“ erfolgen. Nach Festlegung der Stufe ist der Auftragnehmer verpflichtet, alle Sicherheits- und Datenschutzmaßnahmen seiner FedRAMP-Autorisierung umzusetzen und aufrechtzuerhalten.
Neben diesen Rahmenbedingungen verlangt FAR 52.239-XX von Auftragnehmern die regelmäßige Teilnahme an Überwachungsmaßnahmen und die Bereitstellung vorgeschriebener Monitoring-Berichte gemäß dem „FedRAMP Continuous Monitoring Strategy Guide.“ Zudem ist die Einhaltung sämtlicher konkreter Vorgaben zur Bereitstellung und Löschung von Regierungsdaten verpflichtend.
FAR 52.239-YY
Die Anforderungen der Klausel für nicht-cloudbasierte Federal Information Systems sind komplexer. Wie bei FAR 52.239-XX liegt die Festlegung des geeigneten Impact Levels via FIPS-199 bei der Vergabestelle und wird im Vertrag explizit ausgewiesen. Behörden und ihre Vergabeoffiziere müssen zudem weitere spezifische Sicherheitsfragen regeln, darunter Multifaktor-Authentifizierung, administrative Konten, Consent-Banner und die Steuerung von IoT-Geräten. Abschließend müssen Offiziere eine geeignete Gruppe von Schutzmaßnahmen nach mehreren Sonderpublikationen des National Institute of Standards and Technology auswählen — unter anderem NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 und NIST SP 800–82.
Neben den neuen sicherheitstechnischen Vorgaben für Verträge über nicht-cloudbasierte FIS führt die Klausel zwei zentrale neue Pflichten für Bundesauftragnehmer ein: Erstens müssen sie CISA und weiteren vom Vergabeoffizier bestimmten Behörden „zeitnahen und vollständigen Zugang“ zu Regierungsdaten und relevanten Mitarbeitenden für Prüfungen, Untersuchungen und Inspektionen gewähren, sofern dies für die Datensicherheit erforderlich ist. Zweitens müssen bei einem FIS mit mittlerem oder hohem FIPS-199-Impact-Level zwei jährliche Assessments durchgeführt werden — eines als interne Bewertung zu Schwachstellen, Risiken und Indikatoren für Kompromittierung; ein weiteres als unabhängige Überprüfung. Die Ergebnisse beider Assessments — einschließlich empfohlener Abhilfemaßnahmen — sind dem Vergabeoffizier vorzulegen.
Schadensersatzverpflichtungen
Jede dieser Klauseln — FAR 52.239-XX und FAR 52.239-YY — enthält eine Bestimmung, die Bundesauftragnehmer verpflichtet, den Staat gegen jegliche Haftung infolge der Vertragserfüllung zu entschädigen. Der Vorschlag legt nahe, dass solche Haftungen im Wesentlichen aus zwei Szenarien entstehen: entweder durch den Auftragnehmer eingebrachte Daten, Informationen oder Inhalte oder durch unbefugte Offenlegung sensibler Daten durch den Auftragnehmer. Entscheidend ist, dass mit dem Vorschlag auch ein Verzicht auf „alle für den Auftragnehmer denkbaren verteidigenden Einwände, ausdrücklich einschließlich (aber nicht begrenzt auf) die ‚Government Contractors Defense‘“, vorgeschrieben wird. Diese Verpflichtung erhöht die Haftung der Auftragnehmer im Fall eines Cyberangriffs, einer Datenpanne oder eines anderen Sicherheitsvorfalls erheblich.
Vorbereitung auf die neuen Cybersecurity-Anforderungen
Ein konkretes Datum für das Inkrafttreten dieser beiden Cybersecurity-Regelungen ist derzeit nicht absehbar. Nach Ablauf der (bis 2. Februar verlängerten) öffentlichen Kommentierungsfrist müssen der FAR Council und die für die Umsetzung von FAR zuständigen Behörden zunächst alle eingegangenen Stellungnahmen auswerten. Erst nach Abschluss dieser Prüfphase wird entschieden, ob und wann eine endgültige Regel veröffentlicht wird. Mit Veröffentlichung einer Finalregel beginnt eine Frist von mindestens 60 Tagen, bevor die Regulierung wirksam wird. (Je nach Bedeutung der Regelung kann diese Frist auch auf 120 Tage oder länger ausgeweitet werden.)
Aufgrund der Dauer und Komplexität des Regelungsprozesses besteht für Bundesauftragnehmer eine gewisse Übergangsfrist, um die FAR Cases 2021-017 und 2021-019 sowie die Vielzahl möglicher neuer Verpflichtungen zu analysieren. Unternehmen, die von diesen geplanten Bestimmungen betroffen sind, sollten deren mögliche Umsetzung jedoch sehr ernst nehmen. Angesichts der zuletzt gehäuft aufgetretenen, folgenschweren Cyberangriffe und der Executive Order von Präsident Biden aus dem Jahr 2021 besteht kaum Zweifel daran, dass diese oder sehr ähnliche Anforderungen zur Cybersicherheit demnächst verbindliches Recht werden.
Aufgrund der Dauer und Komplexität des Regelungsprozesses besteht für Bundesauftragnehmer eine gewisse Übergangsfrist, um FAR Case 2021-017 und FAR Case 2021-019 sowie die Vielzahl möglicher neuer Verpflichtungen zu analysieren.
