:quality(85))
Im vergangenen Oktober hat der Federal Acquisition Regulatory (FAR) Council, ein behördenübergreifendes Gremium zur Festlegung von Beschaffungsrichtlinien auf Bundesebene, zwei neue Regelungsentwürfe vorgeschlagen. Sollten diese finalisiert und in Kraft gesetzt werden, könnten sie die Art und Weise, wie Bundesauftragnehmer auf Cyberangriffe und andere Cybersicherheitsvorfälle berichten und reagieren, grundlegend verändern.
Die erste vorgeschlagene Regelung, Cyber Threat and Incident Reporting and Information Sharing—mit den Klauseln FAR 52.239-ZZ und FAR 52.239-AA—wurde im Rahmen von FAR Case 2021–017 veröffentlicht. Die zweite Regelung, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—einschließlich FAR 52.239-XX und FAR 52.239-YY—wurde im Rahmen von FAR Case 2021-019 publiziert.
Mit der Veröffentlichung dieser Vorschläge am 3. Oktober begann eine 60-tägige Kommentierungsfrist, die ursprünglich am 4. Dezember 2023 enden sollte. Am 1. November verlängerte der FAR Council die Kommentierungsfrist für die vorgeschlagenen Regelungen bis zum 2. Februar 2024. Seitdem gab es keine offiziellen Updates vom FAR Council oder von beteiligten Behörden zur Finalisierung der Regelungen oder zu einem Wirksamkeitsdatum ihrer Umsetzung in das Federal Acquisition Regulation (zentrale Bundesbeschaffungsrichtlinie).
Angesichts der Tragweite und des Umfangs der vorgeschlagenen Vorschriften und der erheblichen Verantwortung, die dadurch auf Bundesauftragnehmer zukommen würde, sollten Unternehmen sich genau mit FAR Cases 2021-017 und 2021-019 vertraut machen.
Angesichts der Tragweite und des Umfangs der vorgeschlagenen Vorschriften und der erheblichen Verantwortung, die dadurch auf Bundesauftragnehmer zukommen würde, sollten Unternehmen sich genau mit FAR Cases 2021-017 und 2021-019 vertraut machen.
Die Cybersecurity Executive Order von Präsident Biden
Im Mai 2021 unterzeichnete Präsident Biden die Executive Order 14028 mit dem prägnanten Titel „Improving the Nation’s Cybersecurity“ („Verbesserung der Cybersicherheit der Nation“). Ziel der Executive Order war es, verschiedene Cybersicherheitsmaßnahmen zu stärken, um die Bundesbehörden gegen das, was das Weiße Haus als „anhaltende und zunehmend raffinierte bösartige Cyberkampagnen“ bezeichnete, zu schützen. Die präsidentielle Direktive erfolgte im Nachgang von zwei massiven und weitgehend beispiellosen Cyberangriffen – dem SolarWinds-Hack 2020 und dem Microsoft-Exchange-Datenleck Anfang 2021. Diese Cyber-Spionageakte, verübt durch mit US-amerikanischen Hauptgegnern verbundene Hackergruppen, markierten nach Ansicht vieler den Beginn einer neuen Ära der Cyberkriegsführung. In deren Folge sah sich die US-Regierung zunehmend unter Zugzwang, einen umfassenden, einheitlichen Plan zur Stärkung ihrer Datensysteme zu entwickeln.
Die präsidentielle Direktive erfolgte im Nachgang von zwei massiven und weitgehend beispiellosen Cyberangriffen – dem SolarWinds-Hack 2020 und dem Microsoft-Exchange-Datenleck Anfang 2021.
Die Executive Order von Präsident Biden wies die Bundesbehörden an, „die gesamte Bandbreite ihrer Befugnisse und Ressourcen zum Schutz und zur sicheren Gestaltung ihrer Computersysteme einzusetzen, unabhängig davon, ob diese cloud-basiert, lokal oder hybrid sind.“ Die Order forderte u. a. neue Protokolle für den Umgang mit Cybervorfällen zwischen Regierung und Auftragnehmern, die Modernisierung der Cybersicherheitsinfrastruktur mittels sicherer Cloud-Dienste und Zero-Trust-Architektur sowie die Standardisierung der Reaktion auf Cyberbedrohungen in allen Bundesbehörden.
Die im vergangenen Oktober vom FAR Council vorgeschlagenen neuen Regelungen stellen einen weiteren Schritt in der Umsetzung der Executive Order von 2021 dar. Durch die Verschärfung und den Ausbau der Meldepflichten für Bundesauftragnehmer nach Cybervorfällen möchte der FAR Council die Bedingungen für eine agilere und proaktivere Reaktion der Regierung auf Cyberattacken und sonstige Bedrohungen der nationalen Sicherheit schaffen.
Durch die Verschärfung und den Ausbau der Meldepflichten für Bundesauftragnehmer nach Cybervorfällen möchte der FAR Council die Bedingungen für eine agilere und proaktivere Reaktion der Regierung auf Cyberattacken und sonstige Bedrohungen der nationalen Sicherheit schaffen.
FAR Case 2021-017: Geltungsbereich und Cybersecurity-Anforderungen
Der erste Regelungsentwurf umfasst die zwei Klauseln FAR 52.239-ZZ und FAR 52.239-AA. Beide würden neue Anforderungen für Bundesauftragnehmer einführen – sowohl als Reaktion auf Cybervorfälle als auch in Form von Vorsorgemaßnahmen für den potenziellen Fall eines Vorfalls.
FAR 52.239-ZZ
Der offizielle Titel für FAR 52.239-ZZ lautet „Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology“. Ziel ist es, die vertraglichen Verpflichtungen von Bundesauftragnehmern nach Sicherheitsvorfällen zu aktualisieren und zu verschärfen. Vorgeschlagen werden neue Anforderungen für eine zeitnahe und umfassende Reaktion auf Sicherheitsvorfälle, die Mitwirkung bei behördlichen Ermittlungen zu solchen Vorfällen sowie die Aufbewahrung aller relevanten Unterlagen und Nachweise, welche den Incident-Response-Prozess unterstützen können.
Laut Entwurf umfasst ein „Sicherheitsvorfall“ mehr als nur Cyberangriffe oder typische Cybersicherheitsvorfälle. Der FAR Council versteht darunter auch allgemeine Verstöße gegen Gesetze, Sicherheitsrichtlinien oder -verfahren sowie die Übertragung von Verschlusssachen oder kontrollierten, nicht klassifizierten Informationen (CUI) auf Systeme mit unzureichenden Sicherheitsniveaus im Vergleich zu den staatlichen Anforderungen.
Frist für Incident-Reporting
FAR 52.239-ZZ aktualisiert die Frist, innerhalb der Auftragnehmer Sicherheitsvorfälle an die Behörden melden müssen. Nach der neuen Regel sind Auftragnehmer verpflichtet, Vorfälle samt relevanter Begleitinformationen spätestens acht Stunden nach Entdeckung über das Incident-Reporting-Portal der Cybersecurity and Infrastructure Security Agency (CISA) zu melden. Anschließend muss die Meldung alle 72 Stunden aktualisiert werden, bis sämtliche zuständigen Behörden ihre Untersuchungen abgeschlossen haben.
Eine derart zeitnahe Meldung unterstützt Behörden bei der möglichst effektiven und dynamischen Reaktion. Wie im Entwurf ausgeführt, ermöglichen schnelle Meldungen und regelmäßige Updates eine „rasche Datenanalyse zur schnellen Identifikation von Aktivitäten und Handlungen böswilliger Akteure, Bedrohungen und Indikatoren für Kompromittierungen“.
Weitere Maßnahmen zur Unterstützung der Incident Response
Neben der fristgerechten Meldung über das CISA-Portal müssen Auftragnehmer weitere Schritte zur Unterstützung der behördlichen Bedrohungsabwehr unternehmen. Insbesondere sind sie verpflichtet, CISA, FBI und/oder der zuständigen Vergabestelle umgehend vollständigen Zugriff auf alle relevanten Daten, Systeme und Mitarbeitenden zu gewähren.
Zudem müssen sämtliche Daten, die ein gemeldeter Sicherheitsvorfall betreffen, gesichert und aufbewahrt werden. Dazu zählt u. a. der Erhalt von Netzwerkverkehrsdaten, Perimeter-Defense-Logs, Telemetrie sowie weiteren relevanten Informationen – zwölf Monate aktiv, danach sechs weitere Monate aktiv oder im Cold Storage.
Ferner verpflichtet die neue FAR-Regel Auftragnehmer zur Teilnahme am Automated Indicator Sharing (AIS)-Programm der CISA, um Cyber-Bedrohungsindikatoren sowie empfohlene Abwehrmaßnahmen mitzuteilen. (Die AIS-Anbindung ist unabhängig davon obligatorisch, ob ein Sicherheitsvorfall vorliegt oder nicht.)
Software Bill of Materials
Über die Reaktions- und Meldestandards hinaus sieht FAR 52.239-ZZ neue Verpflichtungen vor, eine Software Bill of Materials (SBOM) zu führen, welche sämtliche für den Bundesauftrag verwendete Software dokumentiert. Die Regierung definiert eine SBOM als „formellen Datensatz der Details und Lieferkettenbeziehungen der einzelnen Softwarekomponenten“. Laut US-Handelsministerium verbessert die SBOM sowohl die Identifikation von Schwachstellen als auch die Geschwindigkeit der Reaktion und „ist entscheidend für das Management von Risiken, indem bekannte Schwachstellen und potenzielle Abhilfemaßnahmen analysiert werden“.
Bemerkenswert ist, dass die SBOM unabhängig davon, ob ein Sicherheitsvorfall bekannt ist oder nicht, regelmäßig gepflegt werden muss. Wird eine Software im Auftragszeitraum aktualisiert, ist auch die SBOM entsprechend zu aktualisieren. Einen vollständigen Überblick über alle SBOM-Anforderungen bietet der Bericht des US-Handelsministeriums Minimum Elements for a Software Bill of Materials.
FAR 52.239-AA
Die zweite Klausel des Case 2021-017, FAR 52.239-AA, ist weitaus spezifischer. Unter dem Titel „Security Incident Reporting Representation“ verpflichtet sie sämtliche Bieter, die sich um Bundesaufträge bewerben, zu bestätigen, dass sie FAR 52.239-ZZ bislang eingehalten haben. Dazu gehört die Erklärung, dass alle vorgeschriebenen Sicherheitsvorfallsmeldungen bei bestehenden und früheren Verträgen „aktuell, korrekt und vollständig“ erfolgten.
Zusätzlich müssen alle Bieter bestätigen, dass sie die Regel auch in früheren Verträgen an Unterauftragnehmer weitergereicht haben, indem sie sämtliche Subunternehmer auf Lower-Tier-Ebene dazu verpflichten, die grundlegenden Regelinhalte in ihre Verträge aufzunehmen.
FAR Case 2021-019: Geltungsbereich und Cybersecurity-Anforderungen
Die zweite vorgeschlagene Regelung, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, wurde vom FAR Council im Rahmen des Case 2021-019 erlassen. Ihr ausdrückliches Ziel ist die Vereinheitlichung der Cybersecurity-Anforderungen über alle Behörden hinweg – mit besonderem Fokus auf nicht klassifizierte Bundesinformationssysteme (FIS). Case 2021-019 ist in zwei Klauseln unterteilt: FAR 52.239-XX („Federal Information Systems Using Cloud Computing Services“) für cloudbasierte FIS und FAR-52.239-YY („Federal Information Systems Using Non-Cloud Computing Services“) für FIS ohne Cloud-Anbindung.
Die Regierung definiert ein Bundesinformationssystem als „ein von einer Behörde, einem Auftragsnehmer einer Behörde oder einer anderen Organisation im Auftrag einer Behörde betriebenes Informationssystem“.
FAR 52.239-XX
Diese Klausel verpflichtet Behörden zur Feststellung des Impact-Levels des cloudbasierten Informationssystems eines Auftragnehmers nach dem Federal Information Processing Standard Publication 199 (FIPS-199) sowie zum zugehörigen Genehmigungslevel im Federal Risk and Authorization Management Program (FedRAMP). Die Festlegung des FIPS-199-Levels basiert laut Entwurf auf der Impact-Analyse der vom System verarbeiteten, gespeicherten oder übertragenen Daten. Sobald diese Levels definiert wurden, ist der Auftragnehmer für die Umsetzung und Pflege der mit seiner FedRAMP-Genehmigungsstufe verbundenen Sicherheits- und Datenschutzmaßnahmen verantwortlich.
Neben diesen Sicherheitsvorgaben verpflichtet FAR 52.239-XX Auftragnehmer zur Teilnahme an kontinuierlichen Monitoring-Aktivitäten und zur Bereitstellung entsprechender Nachweise laut dem „FedRAMP Continuous Monitoring Strategy Guide“. Außerdem sind alle spezifischen vertraglichen Vorgaben zur Datenbereitstellung bzw. -löschung für Regierungsdaten verbindlich einzuhalten.
FAR 52.239-YY
Die Anforderungen an nicht cloudbasierte Bundesinformationssysteme sind etwas komplexer. Wie bei FAR 52.239-XX sind die Behörden für die Festlegung des passenden Impact-Levels nach FIPS-199 und dessen Nennung im Vertrag verantwortlich. Neben dieser Feststellung müssen Behörden weitere spezifische Sicherheitsanforderungen beachten, darunter Multifaktor-Authentifizierung, Verwaltungskonten, Consent-Banner und Steuerung von IoT-Geräten. Zudem müssen Vertragsoffiziere ein angemessenes Set aus Sicherheits- und Datenschutzmaßnahmen auswählen, gestützt auf entsprechende Publikationen des National Institute of Standards and Technology, einschließlich NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 und NIST SP 800–82.
Neben den für diese Nicht-Cloud-FIS neu in Verträge aufzunehmenden Sicherheitsanforderungen ergeben sich zwei wichtige Pflichten für Auftragnehmer: Erstens müssen sie CISA und anderen, vom Vertragsoffizier bestimmten Behörden „zeitnah und vollständig“ Zugang zu Regierungsdaten und -personal zum Zweck von Audits, Untersuchungen und Inspektionen gewähren, falls dies für die Sicherheit erforderlich ist. Zweitens müssen für FIS mit moderatem oder hohem FIPS-199-Impact-Level jährlich zwei Assessments erfolgen: eine interne Überprüfung bezüglich Schwachstellen, Risiken und Compromise-Indikatoren sowie eine unabhängige Prüfung der Systemsicherheit. Die Resultate, einschließlich aller empfohlenen Maßnahmen zur Abminderung von Risiken, sind an die zuständigen Vertragsoffiziere zu melden.
Freistellungsverpflichtungen
Jede dieser Klauseln – FAR 52.239-XX und FAR 52.239-YY – enthält eine Regelung, die Bundesauftragnehmer zur Freistellung (Indemnifizierung) der Regierung von allen Haftungsansprüchen verpflichtet, die sich aus der Vertragserfüllung ergeben. Laut Entwurf ergeben sich solche Haftungsrisiken insbesondere dann, wenn ein Auftragnehmer Daten oder Material in Regierungsdaten einbringt oder wenn eine nicht autorisierte Offenlegung sensibler Informationen oder Materialien erfolgt. Besonders bedeutsam: Der Vorschlag verlangt von Auftragnehmern auch den Verzicht auf „sämtliche potenziellen Verteidigungen zu eigenen Gunsten, einschließlich (aber nicht beschränkt auf) der ‚Government Contractors Defense‘“. Diese umfassende Verzichtserklärung bringt für Auftragnehmer erhebliche Haftungsrisiken im Falle eines Cyberangriffs, einer Datenpanne oder eines anderen Sicherheitsvorfalls mit sich.
Vorbereitung auf die neuen Cybersecurity-Anforderungen
Ein zeitnahes Inkrafttreten dieser beiden Cybersicherheitsregelungen ist nicht absehbar. Nach Ablauf der (bis 2. Februar verlängerten) Kommentierungsfrist müssen die dem FAR Council angehörenden Behörden und die für die Umsetzung verantwortlichen Stellen zunächst alle Kommentare prüfen und bewerten. Erst danach wird entschieden, ob eine endgültige Regelung veröffentlicht wird. Sollte eine finale Regel erlassen werden, folgt ein Zeitplan von mindestens 60 Tagen bis zu deren Inkrafttreten. (Je nach Bedeutung kann dieser Zeitraum auch auf 120 Tage oder länger ausgedehnt werden.)
Angesichts der Dauer und vieler Einzelschritte des regulatorischen Prozesses bleibt Bundesauftragnehmern etwas Zeit, um FAR Cases 2021-017 und 2021-019 sowie die Vielzahl neuer potenzieller Pflichten zu prüfen. Unternehmen, die von den vorgeschlagenen Regelungen betroffen sind, sollten die Möglichkeit ihrer Umsetzung jedoch sehr ernst nehmen. Angesichts des jüngsten Anstiegs schwerwiegender Cyberangriffe und der Executive Order von Präsident Biden 2021 besteht kein Zweifel daran, dass die neuen Cybersecurity-Vorgaben – oder sehr ähnliche Vorschriften – in naher Zukunft regulatorische Wirklichkeit werden.
Angesichts der Dauer und vieler Einzelschritte des regulatorischen Prozesses bleibt Bundesauftragnehmern etwas Zeit, um FAR Case 2021-017 und FAR Case 2021-019 sowie die Vielzahl neuer potenzieller Pflichten zu prüfen.
