Common use of Allgemeine Anforderungen an Softwarekomponenten Clause in Contracts

Allgemeine Anforderungen an Softwarekomponenten. 1.5.8.1 Der Auftragnehmer verpflichtet sich, Softwarekomponen- ten zu liefern, (1) die frei von Viren und anderen Softwareanomalien sind, (2) die frei von Kopierschutzeinrichtungen, CPU-Nummern, personenbezogenen Daten für Lizenz-Keys, Datums-, Pro- grammsperren oder ähnlichen nutzungsbeschränkenden Routinen sind, (3) die nicht nur auf Funktionalität, sondern auch auf Verhalten in – im jeweiligen Anwendungsgebiet – zu erwartenden Grenzfällen (Fehleingaben, Anzahl gleichzeitiger Transakti- onen, Datenmengen) getestet wurden, (4) die zuverlässig die beschriebenen Funktionen erfüllen, (5) die in der Lage sind, bei Einsatz der vorgesehenen Hard- ware und im Einsatz für die vorgesehenen Mengen, für ein- fache Transaktionen unter der geplanten Volllast Antwort- zeiten – falls nicht in Service Level Agreements an- ders/näher spezifiziert – unter zwei Sekunden am vorgese- henen Endgerät zu liefern, (6) in denen Zahlenwerte, wie Prozentwerte, Wertgrenzen u. ä. durch den Auftraggeber mittels Konfiguration änderbar sind, (7) die sich für Fat und Thin Clients an den allgemeinen Richtli- nien und internen Standards des ÖBB-Konzerns anlehnen und den allgemeinen Vorgaben an eine ergonomische Be- nutzeroberfläche entsprechen, (8) die am Client ohne Administrationsrechte betrieben werden können, (9) die an Oberfläche und Schnittstellen für mehrsprachige Verwendung ausgelegt sind. Die Lieferung der Software hat in den vereinbarten Sprachen zu erfolgen. Die Erweiterung um zusätzliche Sprachen muss durch Konfiguration möglich sein, (10) bei denen ein Sicherheitskonzept gemäß dem Stand der Technik (z.B. auf Basis ISO/ITC 27002) entworfen und im- plementiert wurde, (11) bei denen jede Version nicht nur vom Programmierer, son- dern von anderen Mitarbeitern des Auftragnehmers (Test- team) nach einem schriftlichen Testkonzept mit Fallbe- schreibungen, Vorbedingungen und erwarteten Ergebnis- sen dokumentiert und vollständig getestet wurde (das Test- konzept mit der jeweilig letzten Protokollierung der Tests ist dem Auftraggeber zur Einschau bereit zu stellen). 1.5.8.2 Der Auftragnehmer verpflichtet sich, (1) dem Auftraggeber jederzeit lesenden und schreibenden Zu- griff auf ein Issuemanagementsystem in elektronischer Form zu gewähren, in dem Anzahl und Art der bekannten und behobenen bzw. zu behebenden Fehler einsehbar sind, (2) für jede dem Auftraggeber zur Verfügung gestellte Version Tests nach einem schriftlichen Testkonzept mit Fallbe- schreibungen durchzuführen, in dem Vorbedingungen und erwartete Ergebnisse dokumentiert und vollständig getestet wurden. Die Tests sind dabei von anderen Mitarbeitern, als jenen, die die Software erstellen, durchzuführen (Testteam). (3) das Testkonzept mit der jeweilig letzten Protokollierung der Tests dem Auftraggeber zur Einschau bereitzustellen. Dies gilt auch für Tests, die im Rahmen der Entwicklung toolun- terstützt (z.B. JUnit Tests) durchgeführt werden. (4) Performance Tests für die gelieferte Software sind gemäß den Anforderungen des Auftraggebers durchzuführen, und dem Auftraggeber auf Verlangen die Nachweise der durch- geführten Tests zur Verfügung zu stellen. (5) Alle Softwareteile, die vom Auftragnehmer im Rahmen des Projekts erstellt und zum Einsatz gebracht wurden, gehen in das Eigentum des Auftraggebers über.

Allgemeine Anforderungen an Softwarekomponenten. 1.5.8.1 Der Auftragnehmer verpflichtet sich, Softwarekomponen- ten zu liefern, (1) die frei von Viren und anderen Softwareanomalien sind, (2) die frei von Kopierschutzeinrichtungen, CPU-Nummern, personenbezogenen per- sonenbezogenen Daten für Lizenz-Keys, Datums-, Pro- grammsperren oder ähnlichen nutzungsbeschränkenden Routinen sind und unverschlüsselt sind; sollte Verschlüsse- lung vom Auftragnehmer nach Zustimmung durch den Auf- traggeber durchgeführt werden, so ist die Software zur Ent- schlüsselung dem Auftraggeber kostenfrei zur Verfügung zu stellen, (3) die nicht nur auf Funktionalität, sondern auch auf Verhalten in – im jeweiligen Anwendungsgebiet – zu erwartenden Grenzfällen (Fehleingaben, Anzahl gleichzeitiger Transakti- onenTransaktio- nen, Datenmengen) getestet wurden, (4) die zuverlässig die beschriebenen Funktionen erfüllen, (5) die in der Lage sind, bei Einsatz der vorgesehenen Hard- ware Hardware und im Einsatz für die vorgesehenen Mengen, für ein- fache einfache Transaktionen unter der geplanten Volllast Antwort- zeiten Antwortzeiten – falls nicht in Service Level Agreements an- dersanders/näher spezifiziert spezifi- ziert – unter zwei Sekunden am vorgese- henen vorgesehenen Endgerät zu liefern, (6) in denen Zahlenwerte, wie Prozentwerte, Wertgrenzen u. ä. durch den Auftraggeber mittels Konfiguration änderbar sind, (7) die sich für Fat und Thin Clients an den allgemeinen Richtli- nien und internen Standards des ÖBB-Konzerns anlehnen und den allgemeinen Vorgaben an eine ergonomische Be- nutzeroberfläche entsprechen, (8) die am Client ohne Administrationsrechte betrieben werden können, (9) die an Oberfläche und Schnittstellen für mehrsprachige Verwendung Ver- wendung ausgelegt sind. Die Lieferung der Software hat in den vereinbarten Sprachen zu erfolgen. Die Erweiterung um zusätzliche Sprachen muss durch Konfiguration möglich sein, (10) bei denen ein Sicherheitskonzept gemäß dem Stand der Technik (z.B. auf Basis ISO/ITC 27002) entworfen und im- plementiert wurde, (11) bei denen jede Version nicht nur vom Programmierer, son- dern von anderen Mitarbeitern des Auftragnehmers (Test- team) nach einem schriftlichen Testkonzept mit Fallbe- schreibungenFallbeschrei- bungen, Vorbedingungen und erwarteten Ergebnis- sen dokumentiert Ergebnissen doku- mentiert und vollständig getestet wurde (das Test- konzept Testkonzept mit der jeweilig letzten Protokollierung der Tests ist dem Auftraggeber Auftrag- geber zur Einschau bereit zu stellen). 1.5.8.2 Der Auftragnehmer verpflichtet sich, (1) dem Auftraggeber jederzeit lesenden und schreibenden Zu- griff auf ein Issuemanagementsystem in elektronischer Form zu gewähren, in dem Anzahl und Art der bekannten und behobenen be- hobenen bzw. zu behebenden Fehler einsehbar sind, (2) für jede dem Auftraggeber zur Verfügung gestellte Version Tests nach einem schriftlichen Testkonzept mit Fallbe- schreibungen Fallbeschrei- bungen durchzuführen, in dem Vorbedingungen und erwartete erwar- tete Ergebnisse dokumentiert und vollständig getestet wurdenwur- den. Die Tests sind dabei von anderen Mitarbeitern, als jenenje- nen, die die Software erstellen, durchzuführen (Testteam). (3) das Testkonzept mit der jeweilig letzten Protokollierung der Tests dem Auftraggeber zur Einschau bereitzustellen. Dies gilt auch für Tests, die im Rahmen der Entwicklung toolun- terstützt toolunter- stützt (z.B. JUnit Tests) durchgeführt werden. (4) Performance Tests für die gelieferte Software sind gemäß den Anforderungen des Auftraggebers durchzuführen, und dem Auftraggeber auf Verlangen die Nachweise der durch- geführten Tests zur Verfügung zu stellen. (5) Alle Softwareteile, die vom Auftragnehmer im Rahmen des Projekts erstellt und zum Einsatz gebracht wurden, gehen in das Eigentum des Auftraggebers über.

Allgemeine Anforderungen an Softwarekomponenten. 1.5.8.1 3.1.3.1. Der Auftragnehmer AN verpflichtet sich, Softwarekomponen- ten nur Softwarekomponenten zu liefern, a. dass diese den Anforderungen der einschlägigen Gesetze, Verordnungen und technischen Richtlinien und Leitlinien (1wie ÖNORMen) und dem ArbeitnehmerInnenschutz, den entsprechenden EU-Richtlinien und den Leistungsanforderungen des AG (zB durch Angabe von Leitprodukten etc.) sowie dem aktuellen Stand der Technik entsprechen, b. die zuverlässig die vertraglich bzw. im Leistungsverzeichnis beschriebenen Funktionen erfüllen, c. die frei von Viren Trojanern, Viren, Würmern und anderen Softwareanomalien sonstiger Malware sind, (2) die frei von d. deren etwaige Kopierschutzeinrichtungen, CPU-Nummern, personenbezogenen Daten für Lizenz-Keys, Datums-, Pro- grammsperren Programmsperren oder ähnlichen nutzungsbeschränkenden Routinen sindim Angebot beschrieben sind und bei lizenzgerechter Nutzung keine Einschränkung der Funktionalität, dieser oder anderer Softwarekomponenten mit sich bringt, (3) e. dass - soweit gesetzlich oder gemäß allgemein anerkannter Standards - vorgesehen, alle Leistungsgegenstände ein ÖVE Prüfzeichen, CE-Konformitätszeichen oder ein diesen gleichwertiges und von der Europäischen Union anerkanntes Sicherheitszeichen aufweisen, f. die nicht nur auf Funktionalitätausführlichst, sondern auch auf Verhalten in – im jeweiligen Anwendungsgebiet – zu erwartenden Grenzfällen erwartende Grenzfälle (Fehleingaben, Anzahl gleichzeitiger Transakti- onenTransaktionen, Datenmengen) getestet wurden, (4) g. die zuverlässig die beschriebenen Funktionen erfüllenbenutzerfreundlich sind, für gleiche oder ähnliche Sachverhalte ähnlich funktionieren und von einem mit dem Sachgebiet der Anwendung vertrauten Benutzer ohne Hilfsdokumentation und nach einer üblichen Einschulung in den Grundfunktionen problemlos benutzt werden können, h. bei welchen innerhalb eines Anwendungsgebietes eine einheitliche Menügestaltung und Funktionstastenbelegung gegeben ist, i. die gegen übliche Arten von Fehlbedienung (5z.B. durch Verwendung von Wertebereichsprüfungen und Integritätsregeln) abgesichert sind, j. die in der Lage sind, bei Einsatz der vorgesehenen Hard- ware und im Einsatz für die vorgesehenen Mengen, für ein- fache Transaktionen unter der geplanten Volllast Antwort- zeiten – falls nicht in Service Level Agreements an- ders/näher spezifiziert – unter zwei Sekunden am vorgese- henen Endgerät zu liefern, (6) in denen Zahlenwerte, wie Prozentwerte, Wertgrenzen u. ä. den grundlegenden Konfigurationseinstellungen durch den Auftraggeber mittels Konfiguration AG leicht änderbar sind, (7) k. die sich für Fat „Office Professional Plus 2010“ und Thin Clients an den allgemeinen Richtli- nien und internen Standards des ÖBB-Konzerns anlehnen und den allgemeinen Vorgaben an eine ergonomische Be- nutzeroberfläche entsprechen, (8) die am Client ohne Administrationsrechte betrieben werden können, (9) die an Oberfläche und Schnittstellen für mehrsprachige Verwendung ausgelegt sind. Die Lieferung der Software hat in den vereinbarten Sprachen zu erfolgen. Die Erweiterung um zusätzliche Sprachen muss durch Konfiguration möglich sein, (10) bei denen ein Sicherheitskonzept gemäß dem Stand der Technik höher unterstützen, sofern Programme (z.B. auf Basis ISO/ITC 27002Word) entworfen und im- plementiert wurde, (11) bei denen jede Version nicht nur vom Programmierer, son- dern von anderen Mitarbeitern des Auftragnehmers (Test- team) nach einem schriftlichen Testkonzept mit Fallbe- schreibungen, Vorbedingungen und erwarteten Ergebnis- sen dokumentiert und vollständig getestet wurde (das Test- konzept mit der jeweilig letzten Protokollierung der Tests ist dem Auftraggeber zur Einschau bereit zu stellen)Microsoft Office benötigen. 1.5.8.2 Der Auftragnehmer verpflichtet sich, (1) dem Auftraggeber jederzeit lesenden und schreibenden Zu- griff auf ein Issuemanagementsystem in elektronischer Form zu gewähren, in dem Anzahl und Art der bekannten und behobenen bzw. zu behebenden Fehler einsehbar sind, (2) für jede dem Auftraggeber zur Verfügung gestellte Version Tests nach einem schriftlichen Testkonzept mit Fallbe- schreibungen durchzuführen, in dem Vorbedingungen und erwartete Ergebnisse dokumentiert und vollständig getestet wurden. Die Tests sind dabei von anderen Mitarbeitern, als jenen, die die Software erstellen, durchzuführen (Testteam). (3) das Testkonzept mit der jeweilig letzten Protokollierung der Tests dem Auftraggeber zur Einschau bereitzustellen. Dies gilt auch für Tests, l. die im Rahmen Serverbereich das Betriebssystem „Windows Server 2019“ und höher (Treiberkompatibilität) unterstützen, sofern eine Installation auf einem Windows Serverbetriebssystem erforderlich ist. m. die sowohl „Windows 10 Enterprise“ (LTSC) und höher in der Entwicklung toolun- terstützt 64Bit-Version (z.B. JUnit TestsTreiberkompatibilität) durchgeführt unterstützen, sofern eine Installation auf einem Windows Betriebssystem für Clients erforderlich ist. n. die frei von bekannten Sicherheitslücken und Schwachstellen sind. o. für die vom jeweiligen Hersteller noch Sicherheitsupdates zur Verfügung gestellt werden. 3.1.3.2. Passwörter, die von der Software verwaltet werden, dürfen nicht im Klartext abgespeichert werden. Sofern dafür Hash Algorithmen zum Einsatz kommen sind salted Hash Algorithmen zu verwenden. 3.1.3.3. Bei der Installation und Konfiguration der Standardsoftware und Individualsoftware wurden Empfehlungen von Software- und Hardwareherstellern zur sicheren Konfiguration von Hard- und Softwarekomponenten (4Hardening) Performance Tests für berücksichtigt. Für Software, deren Verwendungszweck die gelieferte Software sind gemäß den Anforderungen Verarbeitung von personenbezogenen Daten inkludiert, wird das „Privacy by Default“ Prinzip bei der Installation und Konfiguration angewendet. Auf Anfrage des Auftraggebers durchzuführen, und AG hat der AN die schriftliche Dokumentation der getroffenen Maßnahmen dem Auftraggeber auf Verlangen die Nachweise der durch- geführten Tests AG zur Verfügung zu stellen. 3.1.3.4. Bei der Entwicklung von Individualsoftware wurden Empfehlungen zur sicheren Gestaltung und Entwicklung von Software eingehalten (5z.B. bei Webanwendungen: OWASP, ÖNORM 7700 – in den jeweils geltenden Fassungen). Entwickler werden dahingehend regelmäßig geschult. Für Software, deren Verwendungszweck die Verarbeitung personenbezogener Daten inkludiert, wird das „Privacy by Design“ Prinzip bei der Entwicklung angewendet. Auf Anfrage des AG hat der AN die schriftliche Dokumentation der getroffenen Maßnahmen dem AG zur Verfügung zu stellen. 3.1.3.5. Es kommen ausschließlich kryptographische Verfahren (z.B. zur Verschlüsselung von Daten, zur Signatur von Daten, zur Bildung von kryptographischen Prüfsummen) Alle Softwareteilezum Einsatz, die vom Auftragnehmer im Rahmen des Projekts erstellt den jeweils aktuellen Stand der Technik und zum Einsatz gebracht wurdendie Anforderungen der technischen Richtlinie BSI TR-02102 in der jeweils aktuellsten Fassung erfüllen. 3.1.3.6. Der AN hat den AG über festgestellte Schwachstellen in der Individualsoftware (inkl. verwendeter Libraries, gehen in das Eigentum des Auftraggebers überFrameworks, etc.) zu warnen. Der Warnung ist eine Risikoabschätzung inkl. Empfohlener risikominimierender Maßnahmen beizufügen. Bei einer akuten Bedrohungslage (z.B. Wurmartige Verbreitung von Schadsoftware durch Ausnützen einer Schwachstelle, Zero Day Angriffe) muss der AG unverzüglich informiert werden.

Allgemeine Anforderungen an Softwarekomponenten. 1.5.8.1 3.1.3.1. Der Auftragnehmer AN verpflichtet sich, Softwarekomponen- ten nur Softwarekomponenten zu liefern, a. dass diese den Anforderungen der einschlägigen Gesetze, Verordnungen und technischen Richtlinien und Leitlinien (1wie ÖNORMen) und dem ArbeitnehmerInnenschutz, den entsprechenden EU-Richtlinien und den Leistungsanforderungen des AG (zB durch Angabe von Leitprodukten etc.) sowie dem aktuellen Stand der Technik entsprechen, b. die zuverlässig die vertraglich bzw. im Leistungsverzeichnis beschriebenen Funktionen erfüllen, c. die frei von Viren Trojanern, Viren, Würmern und anderen Softwareanomalien sonstiger Malware sind, (2) die frei von d. deren etwaige Kopierschutzeinrichtungen, CPU-Nummern, personenbezogenen Daten für Lizenz-Keys, Datums-, Pro- grammsperren Programmsperren oder ähnlichen nutzungsbeschränkenden Routinen sindim Angebot beschrieben sind und bei lizenzgerechter Nutzung keine Einschränkung der Funktionalität, dieser oder anderer Softwarekomponenten mit sich bringt, (3) e. dass - soweit gesetzlich oder gemäß allgemein anerkannter Standards - vorgesehen, alle Leistungsgegenstände ein ÖVE Prüfzeichen, CE-Konformitätszeichen oder ein diesen gleichwertiges und von der Europäischen Union anerkanntes Sicherheitszeichen aufweisen, f. die nicht nur auf Funktionalitätausführlichst, sondern auch auf Verhalten in – im jeweiligen Anwendungsgebiet – zu erwartenden Grenzfällen erwartende Grenzfälle (Fehleingaben, Anzahl gleichzeitiger Transakti- onenTransaktionen, Datenmengen) getestet wurden, (4) g. die zuverlässig die beschriebenen Funktionen erfüllenbenutzerfreundlich sind, für gleiche oder ähnliche Sachverhalte ähnlich funktionieren und von einem mit dem Sachgebiet der Anwendung vertrauten Benutzer ohne Hilfsdokumentation und nach einer üblichen Einschulung in den Grundfunktionen problemlos benutzt werden können, h. bei welchen innerhalb eines Anwendungsgebietes eine einheitliche Menügestaltung und Funktionstastenbelegung gegeben ist, i. die gegen übliche Arten von Fehlbedienung (5z.B. durch Verwendung von Wertebereichsprüfungen und Integritätsregeln) abgesichert sind, j. die in der Lage sind, bei Einsatz der vorgesehenen Hard- ware und im Einsatz für die vorgesehenen Mengen, für ein- fache Transaktionen unter der geplanten Volllast Antwort- zeiten – falls nicht in Service Level Agreements an- ders/näher spezifiziert – unter zwei Sekunden am vorgese- henen Endgerät zu liefern, (6) in denen Zahlenwerte, wie Prozentwerte, Wertgrenzen u. ä. den grundlegenden Konfigurationseinstellungen durch den Auftraggeber mittels Konfiguration AG leicht änderbar sind, (7) k. die sich für Fat „Office Professional Plus 2010“ und Thin Clients an den allgemeinen Richtli- nien und internen Standards des ÖBB-Konzerns anlehnen und den allgemeinen Vorgaben an eine ergonomische Be- nutzeroberfläche entsprechen, (8) die am Client ohne Administrationsrechte betrieben werden können, (9) die an Oberfläche und Schnittstellen für mehrsprachige Verwendung ausgelegt sind. Die Lieferung der Software hat in den vereinbarten Sprachen zu erfolgen. Die Erweiterung um zusätzliche Sprachen muss durch Konfiguration möglich sein, (10) bei denen ein Sicherheitskonzept gemäß dem Stand der Technik höher unterstützen, sofern Programme (z.B. auf Basis ISO/ITC 27002Word) entworfen und im- plementiert wurde, (11) bei denen jede Version nicht nur vom Programmierer, son- dern von anderen Mitarbeitern des Auftragnehmers (Test- team) nach einem schriftlichen Testkonzept mit Fallbe- schreibungen, Vorbedingungen und erwarteten Ergebnis- sen dokumentiert und vollständig getestet wurde (das Test- konzept mit der jeweilig letzten Protokollierung der Tests ist dem Auftraggeber zur Einschau bereit zu stellen)Microsoft Office benötigen. 1.5.8.2 Der Auftragnehmer verpflichtet sich, (1) dem Auftraggeber jederzeit lesenden und schreibenden Zu- griff auf ein Issuemanagementsystem in elektronischer Form zu gewähren, in dem Anzahl und Art der bekannten und behobenen bzw. zu behebenden Fehler einsehbar sind, (2) für jede dem Auftraggeber zur Verfügung gestellte Version Tests nach einem schriftlichen Testkonzept mit Fallbe- schreibungen durchzuführen, in dem Vorbedingungen und erwartete Ergebnisse dokumentiert und vollständig getestet wurden. Die Tests sind dabei von anderen Mitarbeitern, als jenen, die die Software erstellen, durchzuführen (Testteam). (3) das Testkonzept mit der jeweilig letzten Protokollierung der Tests dem Auftraggeber zur Einschau bereitzustellen. Dies gilt auch für Tests, l. die im Rahmen Serverbereich das Betriebssystem „Windows Server 2016“ und höher (Treiberkompatibilität) unterstützen, sofern eine Installation auf einem Windows Serverbetriebssystem erforderlich ist. m. die sowohl „Windows 10 Enterprise“ (LTSC) und höher in der Entwicklung toolun- terstützt 64Bit-Version (z.B. JUnit TestsTreiberkompatibilität) durchgeführt unterstützen, sofern eine Installation auf einem Windows Betriebssystem für Clients erforderlich ist. n. die frei von bekannten Sicherheitslücken und Schwachstellen sind. o. für die vom jeweiligen Hersteller noch Sicherheitsupdates zur Verfügung gestellt werden. 3.1.3.2. Passwörter, die von der Software verwaltet werden, dürfen nicht im Klartext abgespeichert werden. Sofern dafür Hash Algorithmen zum Einsatz kommen sind salted Hash Algorithmen zu verwenden. 3.1.3.3. Bei der Installation und Konfiguration der Standardsoftware und Individualsoftware wurden Empfehlungen von Software- und Hardwareherstellern zur sicheren Konfiguration von Hard- und Softwarekomponenten (4Hardening) Performance Tests für berücksichtigt. Für Software, deren Verwendungszweck die gelieferte Software sind gemäß den Anforderungen Verarbeitung von personenbezogenen Daten inkludiert, wird das „Privacy by Default“ Prinzip bei der Installation und Konfiguration angewendet. Auf Anfrage des Auftraggebers durchzuführen, und AG hat der AN die schriftliche Dokumentation der getroffenen Maßnahmen dem Auftraggeber auf Verlangen die Nachweise der durch- geführten Tests AG zur Verfügung zu stellen. 3.1.3.4. Bei der Entwicklung von Individualsoftware wurden Empfehlungen zur sicheren Gestaltung und Entwicklung von Software eingehalten (5z.B. bei Webanwendungen: OWASP, ÖNORM 7700 – in den jeweils geltenden Fassungen). Entwickler werden dahingehend regelmäßig geschult. Für Software, deren Verwendungszweck die Verarbeitung personenbezogener Daten inkludiert, wird das „Privacy by Design“ Prinzip bei der Entwicklung angewendet. Auf Anfrage des AG hat der AN die schriftliche Dokumentation der getroffenen Maßnahmen dem AG zur Verfügung zu stellen. 3.1.3.5. Es kommen ausschließlich kryptographische Verfahren (z.B. zur Verschlüsselung von Daten, zur Signatur von Daten, zur Bildung von kryptographischen Prüfsummen) Alle Softwareteilezum Einsatz, die vom Auftragnehmer im Rahmen des Projekts erstellt den jeweils aktuellen Stand der Technik und zum Einsatz gebracht wurdendie Anforderungen der technischen Richtlinie BSI TR-02102 in der jeweils aktuellsten Fassung erfüllen. 3.1.3.6. Der AN hat den AG über festgestellte Schwachstellen in der Individualsoftware (inkl. verwendeter Libraries, gehen in das Eigentum des Auftraggebers überFrameworks, etc.) zu warnen. Der Warnung ist eine Risikoabschätzung inkl. Empfohlener risikominimierender Maßnahmen beizufügen. Bei einer akuten Bedrohungslage (z.B. Wurmartige Verbreitung von Schadsoftware durch Ausnützen einer Schwachstelle, Zero Day Angriffe) muss der AG unverzüglich informiert werden.

Allgemeine Anforderungen an Softwarekomponenten. 1.5.8.1 Der Auftragnehmer verpflichtet sich, Softwarekomponen- ten Softwarekomponenten zu liefern, (1) die frei von Viren und anderen Softwareanomalien sind, (2) die frei von Kopierschutzeinrichtungen, CPU-Nummern, personenbezogenen Daten für Lizenz-Keys, Datums-, Pro- grammsperren Programmsperren oder ähnlichen nutzungsbeschränkenden nutzungs- beschränkenden Routinen sind, (3) die nicht nur auf Funktionalität, Funktionalität sondern auch auf Verhalten in – im jeweiligen Anwendungsgebiet – zu erwartenden Grenzfällen (Fehleingaben, Anzahl gleichzeitiger Transakti- onenTransaktionen, DatenmengenDa- tenmengen) getestet wurden, (4) die zuverlässig die beschriebenen Funktionen erfüllen, (5) die in der Lage sind, bei Einsatz der vorgesehenen Hard- ware und im Einsatz für die vorgesehenen Mengen, Mengen für ein- fache Transaktionen unter bei der geplanten Volllast Antwort- zeiten Antwortzei- ten – falls nicht in Service Level Agreements an- dersanders/näher spezifiziert – unter zwei Sekunden am vorgese- henen vorgesehenen Endgerät zu liefern,. (6) in denen der Zahlenwerte, wie Prozentwerte, Wertgrenzen u. ä. durch den Auftraggeber mittels Konfiguration änderbar sind, (7) die sich für Fat und Thin Clients an den allgemeinen Richtli- nien und Richtlinien von internen Standards des ÖBB-ÖBB Konzerns anlehnen anlehnt und den allgemeinen Vorgaben an eine ergonomische Be- nutzeroberfläche entsprechenBenutzer- oberfläche entspricht, (8) die am Client ohne Administrationsrechte betrieben werden wer- den können, (9) die an Oberfläche und Schnittstellen für mehrsprachige Verwendung ausgelegt sindist. Die Lieferung der Software hat in den vereinbarten Sprachen zu erfolgen. Die Erweiterung um zusätzliche Sprachen muss durch Konfiguration möglich mög- lich sein, (10) bei denen der ein Sicherheitskonzept gemäß dem Stand der Technik (z.B. auf Basis ISO/ITC 27002) entworfen und im- plementiert implementiert wurde, (11) bei denen der jede Version nicht nur vom Programmierer, son- dern von anderen Mitarbeitern des Auftragnehmers (Test- team) nach einem schriftlichen Testkonzept mit Fallbe- schreibungen, Vorbedingungen und erwarteten Ergebnis- sen dokumentiert und vollständig getestet wurde (das Test- konzept Testkonzept mit der jeweilig letzten Protokollierung der Tests ist dem Auftraggeber zur Einschau bereit zu stellen). 1.5.8.2 . Der Auftragnehmer verpflichtet sich, (1) dem Auftraggeber jederzeit lesenden lesender und schreibenden Zu- griff schreibender Zugriff auf ein Issuemanagementsystem Issue- bzw. Anforderungsmanagementsys- tem in elektronischer Form zu gewähren, in dem Anzahl und Art der bekannten und behobenen bzw. zu behebenden beheben- den Fehler sowie offenen Wünsche leicht und übersicht- lich einsehbar sind, (2) für jede dem Auftraggeber zur Verfügung gestellte Version Tests nach einem schriftlichen Testkonzept mit Fallbe- schreibungen durchzuführen, in dem Vorbedingungen und erwartete Ergebnisse erwarteten Ergebnissen dokumentiert und vollständig getestet ge- testet wurden. Die Tests sind dabei von anderen als den Mitarbeitern, als jenen, die die Software erstellen, durchzuführen (Testteam)) durch- zuführen. (3) das Testkonzept mit der jeweilig letzten Protokollierung der Tests dem Auftraggeber zur Einschau bereitzustellen. Dies gilt auch für Tests, die im Rahmen der Entwicklung toolun- terstützt toolunterstützt (z.B. JUnit Tests) durchgeführt werden. (4) Performance Tests für die gelieferte Software sind gemäß den Anforderungen des Auftraggebers durchzuführen, und dem Auftraggeber auf Verlangen die Nachweise der durch- geführten durchgeführten Tests zur Verfügung zu stellen. (5) Alle Softwareteile, die vom Auftragnehmer im Rahmen des Projekts erstellt und zum Einsatz gebracht wurden, gehen in das Eigentum des Auftraggebers über.