Art. 9 32017D0046

Der Systemeigner ist zuständig für die IT-Sicherheit des KIS und untersteht dem Leiter der Kommissionsdienststelle.

In Bezug auf die IT-Sicherheit hat der Systemeigner folgende Pflichten: a) Er sorgt für die Einhaltung des IT-Sicherheitskonzepts durch das KIS; b) er sorgt dafür, dass das KIS im betreffenden Bestandsverzeichnis exakt erfasst wird; c) er bewertet die IT-Sicherheitsrisiken und bestimmt den IT-Sicherheitsbedarf für jedes KIS in Zusammenarbeit mit den Dateneignern und in Abstimmung mit der Generaldirektion Informatik; d) er stellt einen Sicherheitsplan auf, der gegebenenfalls Einzelheiten über die bewerteten Risiken und über zusätzlich erforderliche Sicherheitsmaßnahmen enthält; e) er setzt angemessene IT-Sicherheitsmaßnahmen um, die im Verhältnis zu den festgestellten IT-Sicherheitsrisiken stehen, und kommt den vom ISSB gebilligten Empfehlungen nach; f) er stellt etwaige Abhängigkeiten von anderen KIS oder gemeinsam genutzten IT-Diensten fest und setzt gegebenenfalls angemessene Sicherheitsmaßnahmen um, wobei er sich auf die Sicherheitsgrade stützt, die von diesen KIS oder gemeinsam genutzten IT-Diensten vorgeschlagen werden; g) er übernimmt das Management und die Überwachung der IT-Sicherheitsrisiken; h) er berichtet dem Leiter der Kommissionsdienststelle regelmäßig über die IT-Sicherheitsrisikoprofile ihrer KIS und der Generaldirektion Informatik über die betreffenden Risiken, Risikomanagementtätigkeiten und ergriffenen Sicherheitsmaßnahmen; i) er konsultiert den LISO der betreffenden Kommissionsdienststelle(n) zu Aspekten der IT-Sicherheit; j) er gibt den Nutzern Anweisungen für die Nutzung des KIS und der zugehörigen Daten sowie im Hinblick auf die Verantwortlichkeiten der Nutzer im Zusammenhang mit dem KIS; k) er beantragt bei der Generaldirektion Humanressourcen und Sicherheit, die als kryptografische Stelle tätig ist, Genehmigungen für KIS, die Verschlüsselungstechnik einsetzen; l) er konsultiert vorab die Sicherheitsstelle der Kommission bezüglich jedes Systems, das EU-Verschlusssachen verarbeitet; m) er stellt sicher, dass Sicherheitskopien aller zur Entschlüsselung benötigten Schlüssel in einem Sperrkonto gespeichert werden. Die Entschlüsselung der verschlüsselten Daten darf nur erfolgen, wenn dies im Einklang mit dem von der Generaldirektion Humanressourcen und Sicherheit festgelegten Rahmen genehmigt worden ist; n) er befolgt alle Anweisungen der jeweiligen für die Datenverarbeitung Verantwortlichen bezüglich des Schutzes personenbezogener Daten und der Anwendung der Datenschutzvorschriften auf die Sicherheit der Verarbeitung; o) er meldet der Generaldirektion Informatik alle Ausnahmen vom IT-Sicherheitskonzept der Kommission mit den jeweiligen Begründungen; p) er berichtet dem Leiter der Kommissionsdienststelle über unlösbare Streitigkeiten zwischen Dateneigner und Systemeigner und benachrichtigt die jeweils Betroffenen zeitnah von IT-Sicherheitsvorfällen, soweit dies je nach der Schwere des Vorfalls gemäß Artikel 15 geboten ist; q) bei an Dritte ausgelagerten Systemen sorgt er dafür, dass angemessene IT-Sicherheitsbestimmungen in die Auslagerungsverträge aufgenommen werden und dass IT-Sicherheitsvorfälle, die in dem ausgelagerten KIS auftreten, gemäß Artikel 15 gemeldet werden; r) bei KIS, die gemeinsam genutzte IT-Dienste bereitstellen, sorgt er dafür, dass ein festgelegter Sicherheitsgrad zur Verfügung steht und eindeutig dokumentiert ist und dass Sicherheitsmaßnahmen für das KIS umgesetzt werden, um den festgelegten Sicherheitsgrad zu erreichen.

Systemeigner können einige oder alle ihre IT-Sicherheitsaufgaben förmlich delegieren, sie bleiben aber für die IT-Sicherheit ihres KIS zuständig.

Die Prozesse in Bezug auf die in den Absätzen 1 bis 3 genannten Zuständigkeiten und Tätigkeiten werden gemäß Artikel 13 in Durchführungsbestimmungen im Einzelnen festgelegt.