ISO 27001:2022 · A.8.30 · A.8 Technologische Maßnahmen
Ausgelagerte Entwicklung
Die Organisation muss ausgelagerte Systementwicklungsaktivitäten steuern, überwachen und überprüfen.
ISO 27001TISAXBSIDORANIS2
Was fordert dieses Control?
Die Organisation muss ausgelagerte Systementwicklungsaktivitäten steuern, überwachen und überprüfen.
Warum ist das wichtig?
Bei externer Entwicklung gibt man Kontrolle ab. Klare Sicherheitsanforderungen und Überwachung stellen sicher, dass auch zugelieferter Code sicher ist.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 6.1.1 | Entwicklungsdienstleister | Direkt |
| BSI | CON.8 | Externe Entwicklung | Direkt |
| DORA | Art. 28 | IKT-Drittparteien | Indirekt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 4 BSIG | Lieferkettensicherheit | Direkt |
Was der Auditor erwartet
- Sicherheitsanforderungen an externe Entwickler
- Überwachung und Abnahme der Ergebnisse
- Vertragliche Regelung von Sicherheit und Rechten
Audit-Checkliste
Dokumente
Anforderungen an EntwicklungsdienstleisterSicherheits-, Test- und Abnahmevorgaben
Nachweise
Abnahme-/PrüfnachweiseÜberprüfung extern entwickelter Software
Repo-EigentumsnachweisÜbergabe in eigenes Repo ohne Abhängigkeit vom Dienstleister-Account
Offboarding externer EntwicklerBeleg entzogener Zugänge nach Projektende
Praxis-Tipps zur Umsetzung
Anforderungen vertraglichSecure-Coding-, Test- und Eigentumsregeln im Vertrag festschreiben.
Ergebnisse prüfenZugelieferten Code wie eigenen sicherheitsprüfen, nicht blind übernehmen.
Lieferkette beachtenAuch Subunternehmer des Dienstleisters berücksichtigen (A.5.21).
Häufige Fehler
Blind vertrautExtern entwickelter Code wird ohne Sicherheitsprüfung übernommen.
Keine VorgabenDer Dienstleister erhält keine Sicherheitsanforderungen.
Häufig gestellte Fragen
Wie prüft man extern entwickelten Code?
Über Sicherheitsanforderungen im Vertrag, Code-Reviews, Tests und definierte Abnahmekriterien.
Wem gehört der Code?
Das sollte vertraglich klar geregelt sein, inklusive Nutzungs- und Eigentumsrechten.
Gilt das auch für Freelancer?
Ja, jede ausgelagerte Entwicklung fällt darunter, unabhängig von der Größe des Dienstleisters.
So hilft CompliantDesk bei A.8.30
Steuern Sie Entwicklungsdienstleister im Lieferanten-Modul mit Sicherheitsanforderungen und verknüpfen Sie Abnahmenachweise mit Ihren Kontrollen.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten