Leitlinie zur Informationssicherheit der Landesverwaltung des Saarlandes "Informationssicherheitsleitlinie"

95 Leitlinie zur Informationssicherheit der Landesverwaltung des Saarlandes Informationssicherheitsleitlinie 1. Einleitung In dieser Leitlinie zur Informationssicherheit werden die grundlegenden Ziele der Informationssicherheit für die Staatskanzlei, die Ministerien und die ihnen nachgeordneten Behörden, Einrichtungen und Landesbetriebe des Saarlandes – im Folgenden als Landesverwaltung bezeichnet – festgelegt. Sie ist das führende Dokument für die Informationssicherheit im Saarland. Diese Leitlinie bildet die Grundlage für die Erstellung weiterer, auch fachspezifischer Richtlinien, Informationssicherheitskonzepte und detaillierter Regelungen und Dienstanweisungen zur Informationssicherheit. Die Leitlinie zur Informationssicherheit — beschreibt den Stellenwert der Informationssicherheit in einer zunehmend digitalisierten und vernetzten Verwaltungsumgebung, — legt den Geltungsbereich der Leitlinie zur Informationssicherheit der Landesverwaltung des Saarlandes fest, — enthält das Bekenntnis der Leitung der jeweiligen Einrichtungen der Landesverwaltung zu ihrer Verantwortung für die Informationssicherheit, — legt die Informationssicherheitsstrategie fest, — formuliert die allgemeinen Sicherheitsziele, — definiert die Sicherheitsorganisation, — verpflichtet zur kontinuierlichen Fortschreibung des Regelwerks zur Informationssicherheit — und legt den Rahmen zur Inkraftsetzung und Veröffentlichung der Leitlinie zur Informationssicherheit der Landesverwaltung des Saarlandes fest. Diese Leitlinie steht im Einklang zur Leitlinie für die Informationssicherheit in der öffentlichen Verwaltung des IT-Planungsrats in der jeweils gültigen Fassung. 2. Stellenwert der Informationssicherheit Die Informationssicherheit nimmt einen zentralen Stellenwert in der Landesverwaltung ein. Sie ist entscheidend für den Schutz sensibler Daten, die Aufrechterhaltung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und die Sicherstellung eines vertrauenswürdigen und effizienten Verwaltungshandelns. Im Bereich der Informationsverarbeitung und Kommunikation müssen deshalb durch angemessene technische und organisatorische Maßnahmen die oben genannten Schutzziele gewährleistet werden. Durch die steigende Anzahl an Gefährdungen insbesondere im Cyberraum besteht die Notwendigkeit, ein angemessenes Sicherheitsniveau zu gewährleisten. Die Informationssicherheit ist für die saarländische Landesverwaltung zur Erfüllung ihrer Aufgaben ein unverzichtbarer Grundwert, insbesondere aus folgenden Gründen: — Die relevanten Gesetze, Vorschriften und vertraglichen Verpflichtungen müssen eingehalten werden. Das Dienst- und Amtsgeheimnis muss gewahrt bleiben. — Dienstleistungen für Privatpersonen, Wirtschaft und Verwaltung müssen sicher, zuverlässig und vertrauenswürdig erbracht werden. — Der Ausfall von Teilen oder der ganzen IT- Infrastruktur kann die Arbeitsfähigkeit der Landesverwaltung des Saarlandes stark einschränken oder gar verhindern. — Die Auswirkungen eines eventuellen Schadensfalls sind durch angemessene Vorsorgemaßnahmen auf ein vertretbares Maß zu reduzieren. — Die in Technik, Informationen, Arbeitsprozessen und Wissen investierten Werte müssen erhalten werden. — Ansehens- und Vertrauensverluste durch die Verletzung der Sicherheitsziele müssen vermieden werden. Die Landesverwaltung bekennt sich zur kontinuierlichen Verbesserung und Anpassung ihrer Informationssicherheitsmaßnahmen, um aktuellen und zukünftigen Herausforderungen gerecht zu werden. Dies schließt die Berücksichtigung neuer Technologien, Bedrohungsszenarien und gesetzlicher Anforderungen ein. 3. Geltungsbereich Diese Leitlinie zur Informationssicherheit stellt das übergeordnete Regelwerk für das landesweite Informationssicherheitsmanagement dar. Sie bildet die Grundlage für ressortspezifische Informationssicherheitsleitlinien und -richtlinien sowie für Informationssicherheitskonzepte. Sie gilt verbindlich für die gesamte Landesverwaltung des Saarlandes und ist von allen Behörden und Einrichtungen des Landes entsprechend ihrer Aufgabenverantwortung umzusetzen. Die 1) Bei dem E-Government-Pakt handelt es sich um eine Kooperationsvereinbarung zwischen dem Land Saarland und dem Zweckverband eGo-Saar, welche zum Ziel hat, Verwaltungsprozesse künftig noch umfassender elektronisch abzubilden und in der Informationstechnologie noch enger zusammenzuarbeiten. Ressorts und Behörden erstellen für ihre Bereiche eigenverantwortlich auf dieser Leitlinie aufbauende Leitlinien und setzen diese in ihrem Verantwortungsbereich eigenständig um. Im Justizressort ist die verfassungsrechtlich abgesicherte Sonderrolle der Gerichte und Staatsanwaltschaften zu berücksichtigen. Den Gemeinden und Gemeindeverbänden sowie den sonstigen der Aufsicht des Landes unterstehenden Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts wird im Interesse einer einheitlichen Sicherheitspolitik der öffentlichen Verwaltung die Berücksichtigung dieser Leitlinie empfohlen. Hierzu stimmen sich das Land und die Kommunen auf Grundlage des E -Government-Pakts1) in Fragen der Informationssicherheit ab. 4. Verantwortung der Leitung Die Gesamtverantwortung für die Informationssicherheit in der Landesverwaltung, zur Gewährleistung einer ordnungsgemäßen und sicheren Aufgabenerledigung, tragen die Mitglieder der Landesregierung im Rahmen des in Artikel 91 der Verfassung des Saarlandes verankerten Ressortprinzips. Um dieser Verantwortung gerecht zu werden, sind ausreichende personelle, infrastrukturelle, technische und organisatorische Ressourcen zur Umsetzung der erforderlichen Maßnahmen zur Verfügung zu stellen. Die Leitungen von Behörden und Einrichtungen des Landes sind innerhalb ihres Verantwortungsbereichs für die Informationssicherheit verantwortlich. Sie setzen geeignete Maßnahmen im Sinne der Leitlinie zur Informationssicherheit um, sodass die Vertraulichkeit, die Integrität und die Verfügbarkeit der Informationen gesichert werden. Die Umsetzung dieser Leitlinie sowie der resultierenden Sicherheitsmaßnahmen unterliegt einer ständigen Überprüfung in Anlehnung an die Vorgaben der Beschlüsse des IT-Planungsrates, mit dem Ziel, Defizite zu erkennen und zu beheben. 5. Informationssicherheitsstrategie Die Informationssicherheitsstrategie für die Landesverwaltung des Saarlandes zielt darauf ab, mit wirtschaftlichem Ressourceneinsatz ein höchstmögliches Maß an Sicherheit zu erreichen und verbleibende Restrisiken weitestgehend zu minimieren. Dies wird durch die Einführung eines ressortübergreifenden Informationssicherheitsmanagementsystems (ISMS) realisiert, das sich an der ISO 27001 auf der Basis vom IT- Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) orientiert. Das ISMS wird ressortübergreifend durch die zuständige Stelle für die Informationssicherheit der Landesverwaltung – in Abstimmung mit den Ressorts – koordiniert. Auf dessen Grundlage bauen die Ressorts eigene ISMS auf. Dazu gehört auch die Benennung von Informationssicherheitsbeauftragten im jeweiligen Geschäftsbereich und die Bereitstellung von angemessenen personellen, technischen und organisatorischen Ressourcen zur Ausübung dieser Tätigkeit. Die Informationssicherheitsstrategie umfasst die gesamte Informationsverarbeitung in der Landesverwaltung. Bei der Auswahl und Umsetzung von Sicherheitsmaßnahmen ist darauf zu achten, dass das erforderliche Sicherheitsniveau erreicht wird, ohne den Ablauf von Geschäftsprozessen unnötig zu beeinträchtigen. Mit angrenzenden Bereichen, wie beispielsweise dem Daten- oder Geheimschutz, ist hierbei eng zusammenzuarbeiten. Die Informationssicherheitsstrategie wird von den folgenden Grundsätzen der Informationssicherheit geprägt: — Sicherheit für nachhaltige Verfügbarkeit: Um eine langfristige Verfügbarkeit zu erreichen, ist eine kurzfristige Einschränkung bei Funktionalität und Komfort vertretbar. — Prinzip des Schutzbedarfs: Der Schutzbedarf von IT-Systemen wird vom Schutzbedarf der darauf verarbeiteten, gespeicherten oder übertragenen Daten bestimmt. — Minimalprinzip des Zugriffs: Der Zugriff auf IT-Systeme und Daten wird auf die notwendigen Personen und Systeme beschränkt. — Restriktives Nutzungsprinzip: Nutzende erhalten nur die Zugriffsrechte, die sie zur Erfüllung ihrer Aufgaben benötigen. — Einbindung aller Beschäftigten: Alle Beschäftigten werden in den Sicherheitsmanagementprozess zur Unterstützung der Informationssicherheit eingebunden und sensibilisiert. — Zentrale Rolle der Informationssicherheit: Die Informationssicherheit wird bei Änderungen und Neuerungen von Beginn an berücksichtigt. Die Informationssicherheitsbeauftragten sind bei allen Fragen der Informationssicherheit einzubeziehen und zu unterstützen. — Verhältnismäßigkeit der Sicherheitsmaßnahmen: Aufwand und Ergebnis der eingesetzten Sicherheitsmaßnahmen müssen in einem angemessenen Verhältnis zueinanderstehen. — Sicherstellung des IT-Betriebs: Es sind Sicherheits- und Vorsichtsmaßnahmen zu treffen, um längerfristige Ausfallzeiten möglichst gering zu halten. — Bereitstellung von ausreichenden Ressourcen: Um ein angemessenes Maß an Informationssicherheit zu erreichen und aufrechtzuerhalten, sind ausreichende infrastrukturelle, finanzielle, organisatorische und personelle Ressourcen und Letzteren der notwendige zeitliche Freiraum bereitzustellen. Dazu gehört eine angemessene Vertretungsregelung. Im Rahmen eines unabhängig vom ISMS zu erstellenden IT-Notfallmanagementsystems, das sich am entsprechenden BSI-Standard orientiert, sind Strukturen, Regeln und die Aktivitäten festzulegen, um eine geordnete Fortführung oder Wiederaufnahme aller zeitkritischen Geschäftsprozesse nach Schadensereignissen zu erreichen und die Arbeitsfähigkeit der Behörde zu sichern. Für das IT-Notfallmanagementsystem sind ausreichende Ressourcen bereitzustellen. 6. Festlegung von Sicherheitszielen Zur Abbildung des hohen Stellenwertes der Informationssicherheit werden für die Landesverwaltung die nachstehenden Sicherheitsziele festgelegt: — Vertraulichkeit: Informationen dürfen ausschließlich einem berechtigten Personenkreis zur Verfügung stehen. — Integrität: Die physische und logische Unversehrtheit von Systemen, Anwendungen und Daten muss jederzeit gewahrt sein. Dies umfasst den Schutz vor unberechtigter Erstellung oder Änderung von Informationen. — Verfügbarkeit: Systeme, Anwendungen und Daten müssen den Berechtigten stets wie vorgesehen zur Verfügung stehen. Bei der Erreichung dieser Ziele ist eine Verhältnismäßigkeit der eingesetzten Mittel zum Wert der schützenswerten Güter zu beachten. Die Festlegung dieser Sicherheitsziele trägt zur Stärkung der Informationssicherheit bei und unterstützt die Landesverwaltung des Saarlandes in ihrem Bestreben, ein hohes Maß Informationssicherheit zu gewährleisten. Durch die hier festgelegten Schutzziele werden gleichzeitig Anforderungen des Datenschutzes hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit berücksichtigt sowie die weiteren Ziele des Datenschutzes im Rahmen der Anforderungen der Informationssicherheit einbezogen. 7. Organisationsstruktur für Informationssicherheit Die Organisationsstruktur (siehe Abbildung 1) für das ressortübergreifende Informationssicherheitsmanagementsystem (ISMS) der Landesverwaltung besteht aus: — der Landesregierung — der/dem Beauftragten der Landesregierung des Saarlandes für Informationstechnik (Chief Information Officer, CIO) — der/dem Landesbeauftragten für Informationssicherheit (Chief Information Security Officer, CISO) — der Zentralstelle für Informations- und Cybersicherheit (ZIC) — dem Computer Emergency Response Team Saarland (CERT-SL) — den Informationssicherheitsbeauftragten der Ressorts (ISB Ressort) — den Informationssicherheitsbeauftragten der nachgeordneten wichtigen Einrichtungen der Landesverwaltung (ISB wELv) — der Arbeitsgruppe Informationssicherheit (AG InfoSic) Weitere Rollen und Gremien können bei Bedarf in die Organisationsstruktur eingebunden werden. Bei der Besetzung der Funktionen wird darauf geachtet, dass die Personen für die ihnen zugewiesene Aufgabe qualifiziert sind. Abbildung 1: Strategische Organisationsstruktur Informationssicherheit des Saarlands 7.1 Landesregierung Die Landesregierung ist für die Ernennung und Einrichtung von CIO, CISO und ZIC verantwortlich. Außerdem beschließt sie die Leitlinie zur Informationssicherheit der Landesverwaltung des Saarlandes und überträgt dem CISO die Koordinierung der Umsetzung. Sie legt damit die Rahmenbedingungen für die Informationssicherheit fest. 7.2 Beauftragte/r der Landesregierung für Informationstechnik (CIO) Die Verantwortung für die ressortübergreifende Strategie zur Digitalisierung der saarländischen Landesverwaltung liegt bei der/dem CIO der Landesregierung. Die Informationssicherheitsstrategie wird aus der ressortübergreifenden Digitalisierungsstrategie abgeleitet. CIO und CISO stehen dazu in regelmäßigem Austausch. 7.3 Landesbeauftragte/r für Informationssicherheit (Chief Information Security Officer, CISO) Die Verantwortung für die Informationssicherheitsstrategie, die ressortübergreifende Koordination der Informationssicherheitsmaßnahmen sowie die Kontrolle der Umsetzung dieser Maßnahmen liegt bei der/dem Landesbeauftragten für Informationssicherheit (CISO). Die/Der CISO hat ein direktes Vortragsrecht bei der/dem CIO und der Landesregierung. Unter Berücksichtigung der Erkenntnisse und Vorschläge der ISB der Ressorts unterrichtet sie/er relevante Stellen der Landesverwaltung, insbesondere die/den CIO und die Landesregierung, über aktuelle Risiken, die Wirksamkeit des ISMS, der Sicherheitsmaßnahmen und schlägt gegebenenfalls einen Maßnahmenkatalog zum Umgang mit den identifizierten Risiken vor. Sie/ Er ist hauptverantwortlich für das ressortübergreifende Informationssicherheitsmanagementsystem (ISMS) in der Landesverwaltung und dafür, dieses zu etablieren, aufrechtzuerhalten und kontinuierlich zu verbessern. Die/Der CISO wird durch die entsprechende Stelle, welche für die Informationssicherheit der Landesverwaltung zuständig ist, bei der Planung, Koordination und Dokumentation des Informationssicherheitsprozesses im Saarland sowie der Entwicklung der Informationssicherheitsziele und -strategie des Saarlands unterstützt. Sie initiieren und steuern die ressortübergreifenden Schulungsmaßnahmen zur Informationssicherheit und die Erstellung von landesweiten Informationssicherheitsstandards, die Erstellung und Fortschreibung eines ressortübergreifenden Sicherheitskonzepts sowie ressortübergreifende Richtlinien und Regelungen zur Informationssicherheit in der Landesverwaltung. 7.4 Zentralstelle für Informations- und Cybersicherheit (ZIC) Die Zentralstelle für Informations- und Cybersicherheit (ZIC) ist die zuständige Aufsichtsstelle für das Saarland im Sinne von Artikel 8 Absatz 1 der NIS-2-Richtlinie der EU und überwacht die Umsetzung der Verwaltungsvorschrift zur Umsetzung der NIS-2 Richtlinie in der saarländischen Landesverwaltung. Ihre Aufgaben und Befugnisse sind in § 4 der NIS-2-Umsetzungsverwaltungsvorschrift festgelegt. Sie berichtet direkt an den CISO und ist die Verbindungsstelle des Saarlandes zum BSI. 7.5 Computer Emergency Response Team Saarland (CERT-SL) Das CERT-SL ist die zentrale Anlaufstelle in der Landesverwaltung für präventive und reaktive Maßnahmen bei sicherheits- und verfügbarkeitsrelevanten Vorfällen. Das CERT-SL — fungiert als zentraler Ansprechpartner (Single Point of Contact – SPOC), — analysiert eingehende Vorfallmeldungen, — leitet Empfehlungen daraus ab, — zeigt Lösungen für Sicherheitsprobleme auf, — betreibt einen Warn- und Informationsdienst (WID), — alarmiert bei akuten Gefährdungen und, — unterstützt bei der Risikobehandlung. Die Aufgabenwahrnehmung kann auch in Kooperation mit externen Partnern erfolgen. 7.6 Informationssicherheitsbeauftragte der Ressorts (ISB Ressort) Die ISB der Ressorts koordinieren und etablieren die Informationssicherheit in ihren Geschäftsbereichen. Sie haben direktes Vortragsrecht bei der Leitung ihres Ressorts und unterstützen die/ den CISO, insbesondere bei der Erstellung von Berichten zur Informationssicherheit. Zu ihren Kernaufgaben gehört die Etablierung eines ISMS im jeweiligen Ressort. Des Weiteren unterstützen und beraten sie die Beauftragten von angrenzenden Bereichen in allen Fragen der Informationssicherheit. 7.7 Informationssicherheitsbeauftragte wichtiger Einrichtungen der Landesverwaltung (ISB wELv) Die ISB der wELv koordinieren und etablieren die Informationssicherheit in ihren Einrichtungen. Sie haben direktes Vorspracherecht bei der Leitung ihrer Einrichtung, berichten an die/den ISB des Ressorts und unterstützen diesen, insbesondere bei der Erstellung von Berichten zur Informationssicherheit. Zu ihren Kernaufgaben gehört die Etablierung eines ISMS in der jeweiligen wELv. Des Weiteren unterstützen und beraten sie die Beauftragten von angrenzenden Bereichen in allen Fragen der Informationssicherheit. Die obersten Landesbehörden identifizieren die jeweiligen wichtigen Einrichtungen der Landesverwaltung gemäß § 3 der NIS-2-Umsetzungsverwaltungsvorschrift. 7.8 Arbeitsgruppe Informationssicherheit (AG InfoSic) Die AG InfoSic ist das koordinierende Gremium für alle ressortübergreifenden Aspekte der Informationssicherheit. Sie besteht aus der/dem CISO als Vorsitzende/n und den Ressort-Informationssicherheitsbeauftragten (ISB Ressort). Die ZIC nimmt beratend teil. Den Informationssicherheitsbeauftragten der Verwaltung des Landtags und des Landesrechnungshofs sowie des Unabhängigen Datenschutzzentrums des Saarlandes stehen die Teilnahme frei. Weitere Teilnehmende können hinzugezogen werden. 7.9 Einbindung der Mitarbeitenden in den Sicherheitsprozess Informationssicherheit betrifft alle Mitarbeitenden. Diese tragen durch sicherheits- und verantwortungsbewusstes Handeln zur Vermeidung von Schäden und damit zur Sicherstellung der Informationssicherheit bei. Sensibilisierung für Informationssicherheit und fachliche Schulung der Mitarbeitenden sind daher eine Grundvoraussetzung für Informationssicherheit. 8. Verstöße und Folgen Werden Verstöße gegen die Vorgaben dieser Leitlinie oder weiterer Informationssicherheitsrichtlinien durch Behörden festgestellt, wird die betroffene Einrichtung durch die ZIC aufgefordert, angemessene Maßnahmen zu ergreifen. 9. Schlussbestimmungen Diese Leitlinie zur Informationssicherheit tritt am Tag nach der Veröffentlichung im Amtsblatt des Saarlandes in Kraft. Im Rahmen des Informationssicherheitsprozesses wird diese Leitlinie zur Informationssicherheit spätestens alle 24 Monate auf ihre Aktualität und Wirksamkeit überprüft und gegebenenfalls aktualisiert. Mit dem Inkrafttreten wird die vorhergehende Version dieser Informationssicherheitsleitlinie ungültig. Saarbrücken, den 18. Februar 2025 Die Regierung des Saarlandes: Die Ministerpräsidentin Rehlinger Der Minister für Wirtschaft, Innovation, Digitales und Energie Barke Der Minister der Finanzen und für Wissenschaft von Weizsäcker Der Minister für Inneres, Bauen und Sport Jost Der Minister für Arbeit, Soziales, Frauen und Gesundheit Dr. Jung Die Ministerin für Bildung und Kultur Streichert-Clivot Die Ministerin für Umwelt, Klima, Mobilität, Agrar und Verbraucherschutz Die Ministerin der Justiz Berg