Dringen erfahrene Cyberkriminelle in ein Netzwerk ein, können sie sich darin meist umsehen und ihre Attacke vorbereiten, bevor sie von den Verteidigern erkannt werden. Oft ist es dann schon zu spät und das ganze Netzwerk kompromittiert. Um dies zu erschweren und die Auswirkungen eines Angriffs abzumildern, unterteilen Firmen und Behörden ihre Netzwerke in Segmente, die von Firewalls abgesichert werden.

So auch das Bundesamt für Informatik (BIT), das dies für seine Kunden in der Verwaltung erledigt. Das Amt hat nun einen IT-Dienstleister gefunden, der das Security Policy Management übernimmt. Er soll die Bundesverwaltung unterstützen, Firewall-Regeln über die Sicherheitszonen hinweg zu validieren, zu prüfen und umzusetzen. Diese definieren, welche Art von Datenverkehr zwischen den verschiedenen Zonen des Netzwerks des Bundes zugelassen werden.

Derzeit muss für einen Antrag auf Regeländerungen ein Word oder Excel ausgefüllt werden, in dem die Situation und die neue Firewall-Regel beschrieben werden. Das ist nicht nur zeitintensiv, sondern birgt auch Gefahren, zumal die Anträge nicht zentral bewirtschaftet werden. Von den rund 4000 Nutzenden sind mehrere Rollen beschrieben: Antragsteller, Prüfer, Policy-Manager, Betriebsverantwortliche und Administratoren. Dies geht aus den Ausschreibungsunterlagen hervor.

"Händisch ausgefüllte Dokumente bergen ein gewisses Risiko", räumt auch das BIT auf Nachfrage ein, schiebt aber nach: Die Qualität habe durch dokumentierte und nachvollziehbare Prozesse gemäss Vorgaben eingehalten werden können. Die händische Variante ist beim BIT allerdings länger aktiv, als man sich das beim Amt gewünscht hätte. Die Beschaffung des Security Policy Managements verzögerte sich nämlich.

Ein Anbieter hätte bereits ab Anfang März 2023 eine bessere Übersicht schaffen, ein Rollenmodell etablieren und die Prozesse sicherer sowie effizienter machen und wo möglich automatisieren sollen. Doch der Bund konnte den Rahmenvertrag über 38,5 Millionen erst Anfang August vergeben, wie dem Zuschlag auf Simap zu entnehmen ist.

"Die Verzögerung hat keine Konsequenzen auf die Leistungserbringung des BIT", schreibt das Bundesamt. Zu den Gründen der Verzögerung heisst es auf Nachhaken: Um eine hohe Qualität sicherzustellen, müsse man Angebote 1:1 vergleichen können, was bei komplizierten Beschaffungen mehr Zeit in Anspruch nehmen könne. Dies sei beim SPM der Fall gewesen.

Unter den zwei Bewerbern konnte sich nun die Ensec AG aus Au (ZH) durchsetzen. Begründung: Ihre Offerte konnte als einzige alle Muss-Anforderungen erfüllen. Sie wird nun über 5 Jahre das Tool verantworten, mit Option auf 5-jährige Verlängerung. Zu den Optionen, die mit maximal 32,4 Millionen veranschlagt werden, zählt auch die Ausweitung der Lösung auf über 10'000 User.