Richtlinie für Aufbau und Etablierung der Informationssicherheit in der saarländischen Landesverwaltung (RAEIS)

Richtlinie für Aufbau und Etablierung der Informationssicherheit in der saarländischen Landesverwaltung (RAEIS) vom 10.12.2018 I Inhaltsverzeichnis II I Inhaltsverzeichnis I Inhaltsverzeichnis ........................................................................................................ II II Dokumenteninformation ............................................................................................. III 1 Zielsetzung ................................................................................................................... 1 2 Geltungsbereich............................................................................................................ 1 3 Aufbau der Informationssicherheitsrichtlinien ........................................................... 2 4 Rechtsvorschriften und allgemeine Verwaltungsvorschriften ................................... 3 5 Zielgruppen und besondere Rollen ............................................................................. 3 5.1 Zielgruppen ...............................................................................................................................3 5.2 Besondere Rollen .....................................................................................................................4 6 Strukturen in der Landesverwaltung für Informationssicherheitsmanagement ....... 5 7 Einrichtung einer Sicherheitsmanagementorganisation in der Landesverwaltung ... 5 7.1 Informationssicherheitsbeauftragter...................................................................................5 7.2 Datenschutzbeauftragter........................................................................................................6 7.3 Notfallbeauftragter...................................................................................................................6 7.4 Geheimschutzbeauftragter ....................................................................................................6 7.5 Zusammenarbeit mit weiteren Stellen ...............................................................................6 8 Schulung ....................................................................................................................... 7 9 Umgang mit Informationen .......................................................................................... 7 9.1 Schutzbedarfsanalyse von Fachverfahren .........................................................................7 9.2 Risikoanalyse.......................................................................................................................... 10 10 Sicherheitsmaßnahmen ............................................................................................. 10 10.1 Sicherheitsvorfälle ................................................................................................................ 10 10.2 Notfallvorsorge ...................................................................................................................... 10 10.3 Revision ................................................................................................................................... 11 11 Schlussvorschriften.................................................................................................... 11 12 Anhänge ...................................................................................................................... 12 12.1 Detailrichtlinien ("Blaupausen") ........................................................................................ 12 12.2 Grundbegriffe der Informationssicherheit ...................................................................... 12 II Dokumenteninformation III II Dokumenteninformation Verantwortlich Name Kontaktinformationen MFE, Stabsstelle für Informationssicherheitsmanagement und IT-Recht 0681-501-1665 Bearbeitung/Dokumentenänderung Version Änderungsdatum Information/Grund/Bemerkung Bearbeiter 1.0 06.08.2018 Beschluss Staatssekretäre 1.0 25.10.2018 Zustimmung Personalsondervertretung und Schwerbehindertensondervertretung mit Änderungsvorschlägen zu Tz. 7 und 8 Ministerium für Inneres, Bauen und Sport 1.1 10.12.2018 Änderungsvorschläge Personalsondervertretungen eingearbeitet Stabsstelle für Informationssicherheitsmanagement und IT- Recht 1 Zielsetzung 1 1 Zielsetzung In der gesamten saarländischen Landesverwaltung wird in einem hohen Maße Informationstechnologie zur Erfüllung der Aufgaben eingesetzt. Fehlende oder unzureichende Sicherheitsmaßnahmen können zu großen materiellen und immateriellen Schäden führen. Der hohe Grad der Vernetzung kann zur Folge haben, dass Sicherheitsmängel in einer Organisationseinheit sich auf die Sicherheit in anderen Organisationseinheiten auswirken. Damit erhält die Informationssicherheit einen hohen Stellenwert: Die Verfügbarkeit, die Integrität und die Vertraulichkeit der zu verarbeitenden Daten. Diese sind durch angemessene Maßnahmen zu gewährleisten. Zur Erreichung dieser Ziele ist eine Verhältnismäßigkeit der eingesetzten Mittel zum Wert der zu schützenden Güter zu beachten. Aufgrund der erhöhten Anforderungen an den Datenschutz werden zusätzlich die Datenschutzziele Nichtverkettung, Transparenz und Intervenierbarkeit als Schutzziele festgelegt. In der „Leitlinie zur Informationssicherheit der Landesverwaltung des Saarlandes“ (Informationssicherheitsleitlinie) sind die grundlegenden Sicherheitsziele und die Sicherheitsstrategie näher beschrieben. Die vorliegende „Richtlinie für Aufbau und Etablierung der Informationssicherheit in der saarländischen Landesverwaltung (RAEIS) konkretisiert die Vorgaben dieser Informationssicherheitsleitlinie. Ziel der RAEIS ist es, durch Aufbau eines Informationssicherheitsmanagements (ISM) einen ausreichenden und angemessenen Sicherheitsstandard in der gesamten Landesverwaltung auf der Grundlage der Informationssicherheitsleitlinie und der Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zu erreichen. Gleichzeitig dient sie dazu, den Datenschutz im Sinne der geltenden Vorschriften zu gewährleisten. 2 Geltungsbereich Diese Richtlinie gilt für die gesamte Landesverwaltung des Saarlandes und ist von allen Behörden und Einrichtungen des Landes entsprechend ihrer Aufgabenverantwortung umzusetzen. Sie soll landesweit einen angemessenen Sicherheitsstandard für den IT-Betrieb gewährleisten und den Ressorts als Basis zur Einrichtung des ISM dienen. Aus Gründen der Vereinfachung und der besseren Lesbarkeit wird in dieser Richtlinie auf eine geschlechtersensible Schreibweise verzichtet. Es werden jedoch Frauen und Männer gleichermaßen angesprochen. 3 Aufbau der Informationssicherheitsrichtlinien 2 3 Aufbau der Informationssicherheitsrichtlinien Die Richtlinien zur Informationssicherheit in der saarländischen Landesverwaltung sind hierarchisch aufgebaut. Die o.g. Informationssicherheitsleitlinie ist oberste Richtschnur. In der vorliegenden RAEIS werden die grundlegenden Anforderungen und Maßnahmen des Informationsschutzes für die gesamte Landesverwaltung beschrieben. Hinzu kommen weitere Dokumente (Richtlinien und Konzepte), die diese Anforderungen für die verschiedenen Verantwortlichen/Rollen oder Sicherheitsbereiche konkretisieren. Die Stabstelle für Informationstechnik und Informationssicherheitsmanagement (StIKS) entwirft entsprechende Detailrichtlinien und stellt diese den Ressorts nach Abstimmung im Kompetenzteam Informationssicherheit als "Blaupausen" zur Verfügung. Die Regelungsinhalte der "Blaupausen" sind von den Ressorts innerhalb von 18 Monaten nach zur Verfügung Stellung in ressortspezifischen Detailrichtlinien umzusetzen. Diese Detailrichtlinien sind im Anhang der vorliegenden Richtlinie aufgeführt. Grundsätzlich sind die Ressorts gehalten, ressortspezifische Detailrichtlinien zu erlassen, soweit dies die Informationssicherheit gebietet. Abbildung 1: Aufbau der Informationssicherheitsrichtlinien Detailrichtlinien der Ressorts • Richtlinie elektronische Kommunikation • Richtlinie für den Gebrauch mobiler Endgeräte • Richtlinie für IT-Anwender • Passwortrichtlinie • Weitere Richtlinien 4 Rechtsvorschriften und allgemeine Verwaltungsvorschriften 3 4 Rechtsvorschriften und allgemeine Verwaltungsvorschriften Insbesondere folgende Regelungen sind beim Einsatz von IT einzuhalten: • EU-Datenschutz Grundverordnung vom 04.05.2016 in der jeweils geltenden Fassung (Ausnahme Polizei) • Bundesdatenschutzgesetz vom 30.06.2017 in der jeweils geltenden Fassung, soweit anwendbar • Saarländisches Datenschutzgesetz in der jeweils geltenden Fassung • § 95 ff Saarländisches Beamtengesetz vom 11.03.2009 in der jeweils geltenden Fassung • Saarländisches Personalvertretungsgesetz vom 09.05.1973 in der jeweils geltenden Fassung • IT-Projekt-Richtlinien vom 05.06.2003 in der jeweils geltenden Fassung 5 Zielgruppen und besondere Rollen Im Rahmen der Bearbeitung von Aufgaben innerhalb eines IT-gestützten Prozesses gibt es unterschiedliche Zielgruppen und besondere Rollen. Diesen sind unterschiedliche Kompetenzen bzw. Berechtigungen und damit einhergehende Verantwortlichkeiten zugewiesen. Die nachfolgende Darstellung enthält die unterschiedlichen Zielgruppen und besonderen Rollen mit ihren Funktionen und Kompetenzen, auf die diese Richtlinie Bezug nimmt: 5.1 Zielgruppen IT-Anwender / IT-Nutzer Die Anwender nutzen im Rahmen der Ihnen zugewiesenen Berechtigungen die IT-Verfahren und die zur Verfügung gestellte Hardware. Sie sind verantwortlich für die Rechtmäßigkeit ihrer Aufgabenerfüllung. Informationssicherheit betrifft alle Bediensteten. Jeder Einzelne hat durch verantwortungsund sicherheitsbewusstes Handeln dazu beizutragen, dass Schäden vermieden werden. Jeder Mitarbeiter ist für die Aufrechterhaltung der Informationssicherheit und des Datenschutzes sowie die Rechtmäßigkeit der Aufgabenerfüllung in seinem Aufgabenbereich verantwortlich. IT-Personal Eine zuverlässige und sichere Erfüllung von IT-Aufgaben erfordert eine angemessene Personalausstattung. Daher ist die Personalausstattung in der Landesverwaltung so zu bemessen, dass die Verfügbarkeit der IT-Infrastruktur und IT-Dienste in einem ausreichenden Maße gewährleistet ist. Dienststellenleitung Dies bezeichnet die Leitungsebene der Institution bzw. der betrachteten Organisationseinheit, die die Gesamtverantwortung trägt. 5 Zielgruppen und besondere Rollen 4 5.2 Besondere Rollen Jede Rolle ist zu personalisieren und ein Vertreter zu bestellen. Hierbei kann für mehrere Behörden ein Verantwortlicher benannt werden, wenn die anfallenden Aufgaben dies zulassen. Die Bestellung erfolgt durch Geschäftsverteilungsplan oder durch schriftliche Aufgabenübertragung. Anwendungsbetreuer Der Anwendungsbetreuer berät die Anwender bei Fragen zur Fachanwendung. Fachadministrator Der Fachadministrator richtet die Zugangs- und Zugriffsrechte in dem Fachverfahren im Rahmen der vom Informationseigentümer festgelegten Berechtigungen sowie behördenspezifische Verfahrenseinstellungen ein. Systemadministrator / -betreuer Er konfiguriert und betreibt die Systeme und ist verantwortlich für den ordnungsgemäßen Betrieb der IT-Systeme. Grundsätzlich ist festzuhalten, dass der Behördenleiter für den Datenschutz verantwortlich ist. Zu jedem Fachverfahren ist ein Verfahrensverantwortlicher als auch ein datenschutzrechtlich Verantwortlicher zu benennen. Verfahrensverantwortlicher Zu jeder Fachanwendung ist ein Ansprechpartner zu benennen, der verantwortlich für alle Aufgaben ist, die im Rahmen des Verfahrens anfallen. Er organisiert die Einführung und den Betrieb des Verfahrens. Ferner führt er in Absprache mit dem Informationssicherheitsbeauftragten eine Schutzbedarfsanalyse durch und organisiert die technische Umsetzung des Datenschutzes und die Informationssicherheit im Verfahren. Informationseigentümer Er verantwortet die Erteilung von Zugriffsberechtigungen auf IT-Verfahren und legt das Berechtigungskonzept fest. Die Aufgaben des Verfahrensverantwortlichen und des Informationseigentümers können in Personalunion wahrgenommen werden. 6 Strukturen in der Landesverwaltung für Informationssicherheitsmanagement 5 6 Strukturen in der Landesverwaltung für Informationssicherheitsmanagement Die Organisationsstrukturen in der Landesverwaltung im Bereich der Informationssicherheit sind durch die o.g. Informationssicherheitsleitlinie der Landesverwaltung des Saarlandes unter Abschnitt 7 vorgegeben. Die Aufbaustruktur der Richtlinien zur Informationssicherheit richtet sich nach dem in der vorliegenden Richtlinie unter Kap. 3 beschriebenen Schaubild. Das IT-DLZ ist der zentrale IT-Dienstleister für die gesamte Landesverwaltung soweit ihm diese Aufgaben übertragen sind. Es betreibt das Rechenzentrum und verantwortet im Rahmen der ihm übertragenen Aufgaben die operative IT in der saarländischen Landesverwaltung. Im Übrigen verbleiben die Verantwortlichkeiten einschließlich der Informationssicherheit bei der Behördenleitung. Dem besonderen Schutzbedarf des IT-DLZ wird in einer Richtlinie mit zusätzlichen Regelungen für das IT-DLZ Rechnung getragen. 7 Einrichtung einer Sicherheitsmanagementorganisation in der Landesverwaltung In jedem Ministerium und jeder Behörde nach Nr. 7.6 Absatz 3 der Informationssicherheitsleitlinie ist ein Informationssicherheitsmanagementsystem (ISMS) aufzubauen. Es kann in jedem Geschäftsbereich auch behördenübergreifend in einem gemeinsamen ISMS erfolgen. Dieses hat dafür Sorge zu tragen, dass dem Informationssicherheitsbedarf der jeweiligen Aufgaben sowie dem Datenschutz Rechnung getragen wird. Das ISMS hat die Sicherheitsziele zu definieren, eine Sicherheitsstrategie bzw. ein Sicherheitskonzept für alle Geschäftsprozesse im Benehmen mit o.g. Stabstelle zu entwickeln sowie eine Strukturanalyse entsprechend dem BSI Standard durchzuführen. Ferner ist das ISMS für die Initiierung und Einführung der Sicherheitsmaßnahmen sowie die Kontrolle des IT-Sicherheitsprozesses verantwortlich. Das ISMS ist entsprechend dem anfallenden Arbeitsaufwand angemessen zu personalisieren. Die wahrzunehmenden Aufgaben sind im Geschäftsverteilungsplan darzustellen. In jedem Fall sind folgende Funktionen einzurichten: 7.1 Informationssicherheitsbeauftragter In jedem Ministerium sowie in jeder Behörde nach Nr. 7.6 Absatz 3 der Informationssicherheitsleitlinie in der Landesverwaltung sind ein fachlich qualifizierter Informationssicherheitsbeauftragter sowie ein Vertreter zu bestellen. Eine Behörde nach Nr. 7.6 Absatz 3 der Informationssicherheitsleitlinie ist dann gegeben, wenn 1. die in der Behörde zu verarbeiteten Daten für die Aufrechterhaltung der Funktionsfähigkeit der Landesverwaltung bedeutsam sind, oder 7 Einrichtung einer Sicherheitsmanagementorganisation in der Landesverwaltung 6 2. die Fachverfahren sowie die Aufgaben und der damit verbundene Informationssicherheitsbedarf so komplex und umfangreich sind, dass die Bestellung eines eigenen Informationssicherheitsbeauftragten erforderlich ist. In allen anderen Fällen ist der Informationssicherheitsbeauftragte des Ministeriums auch für den nachgeordneten Bereich zuständig. In Ausnahmefällen kann die Funktion auch von einer anderen Dienststelle im Ressort wahrgenommen werden. Die dem Informationssicherheitsbeauftragten obliegenden Aufgaben sind dem BSI- Standard 200-2, Kap. 4.4 zu entnehmen. Dem Informationssicherheitsbeauftragen ist für seine Aufgabe ausreichend Arbeitszeit zur Verfügung zu stellen. Er ist zur Erreichung der Informationssicherheitsziele in alle IT- Projekte der Dienststelle frühzeitig einzubeziehen. Der Informationssicherheitsbeauftragte hat sich regelmäßig zu allen Informationssicherheitsfragen zu informieren bzw. auf den neusten Stand der Technik zu bringen. 7.2 Datenschutzbeauftragter Für alle Dienststellen, die personenbezogene Daten verarbeiten, ist ein behördlicher Datenschutzbeauftragter zu bestellen.1 Hierbei kann ein Datenschutzbeauftragter für mehrere Dienststellen im Geschäftsbereich zuständig sein. Der Datenschutzbeauftragte ist Ansprechpartner für alle datenschutzrechtlichen Fragestellungen und nimmt die Aufgaben gemäß Art. 37 der EU-Datenschutzgrundverordnung, § 7 des Bundesdatenschutzgesetzes und entsprechender Vorschriften im Saarländischen Datenschutzgesetz (SDSG) wahr. 7.3 Notfallbeauftragter Er steuert alle Aktivitäten rund um das Notfallmanagement. Er ist für die Erstellung, Umsetzung, Pflege und Betreuung des institutionsweiten Notfallmanagements und der zugehörigen Dokumente, Regelungen und Maßnahmen zuständig. Er analysiert den Gesamtablauf der Notfallbewältigung nach einem Schadensereignis. 7.4 Geheimschutzbeauftragter Aufgabe des Geheimschutzbeauftragten ist die Sicherstellung der Anwendung der VS- Anweisung sowie die Beratung der Dienststellenleitung in allen Fragen des Geheimschutzes. 7.5 Zusammenarbeit mit weiteren Stellen Der Informationssicherheitsbeauftragte, der Datenschutzbeauftragte, der IT-Referatsleiter, der Leiter des Organisationsreferates, sowie alle weiteren Stellen, die für die Umsetzung von Informationssicherheitsmaßnahmen zuständig sind, arbeiten eng zusammen. Der Informationssicherheitsbeauftragte lädt vorgenannte Akteure zu regelmäßigen Abstimmungen zur Planung und Umsetzung von IT-Sicherheitsmaßnahmen ein. Bei Bedarf, insbesondere bei der Einführung neuer IT-Projekte, sind die Informationssicherheitsbeauftragten und Datenschutzbeauftragten der nachgeordneten Bereiche, Vertreter der 1 Gem. § 8 SDSG steht die Bestellung eines behördlichen Datenschutzbeauftragten im Ermessen der Behördenleitung. Gem. Art. 37 Datenschutzgrundverordnung, die im Mai 2018 in Kraft tritt, sind in allen Behörden, die personenbezogene Daten verarbeiten, ein Datenschutzbeauftragter zu bestellen. 8 Schulung 7 Fachabteilung, der Interessenvertretungen und Vertreter der Anwenderebene hinzuziehen (§ 67 Bundesdatenschutzgesetz, soweit anwendbar). 8 Schulung Die unter Tz. 5 genannten Akteure sind zu den Themen Informationssicherheit und Datenschutz zu schulen. Schulungsinhalte sind: 1. Handhabung der jeweilig verwendeten IT-Dienste 2. Inhalte der vorhandenen Informationssicherheitsrichtlinien 3. Inhalte der datenschutzrechtlichen Vorschriften 4. Sensibilisierungsmaßnahmen („Warum ist Informationssicherheit so wichtig für mich und meinen Arbeitgeber?“) einschließlich möglicher Maßnahmen bei einem Verstoß gegen die Richtlinie 5. Rechtliche Rahmenbedingungen 9 Umgang mit Informationen Bei Verarbeitung personenbezogener Daten sind das informationelle Selbstbestimmungsrecht und die Bestimmungen der EU-Datenschutz-Grundverordnung, das BDSG soweit anwendbar, das SDSG sowie die Regelungen über die Wahrung besonderer Amts- und Dienstgeheimnisse zu beachten. Die erteilten Zugriffsrechte dürfen nur soweit gehen, wie sie zur Erfüllung der übertragenen Aufgaben erforderlich sind. Die erteilten Zugriffsrechte sind zu dokumentieren. Bei Aufgabenänderung ist gegebenenfalls die Änderung der Zugriffsrechte zu veranlassen. Sämtliche Fachanwendungen sind in einem Verzeichnis aufzunehmen, das die zu verarbeitenden Informationen (Unterscheidung in personenbezogene und sachbezogene Daten), den Schutzbedarf, den Informationseigentümer und den Verfahrensverantwortlichen sowie das IT-System, auf dem die Anwendung betrieben wird, enthält. Ferner sind die Dokumentationspflichten der EU-Datenschutz Grundverordnung (z.B. Art der verarbeiteten personenbezogenen Daten) zu beachten. Nur dokumentierte Verfahren dürfen betrieben werden. 9.1 Schutzbedarfsanalyse von Fachverfahren Für alle geplanten IT-Verfahren ist der Schutzbedarf der zu verarbeitenden Daten festzustellen. Das gleiche gilt für laufende Verfahren, soweit eine Schutzbedarfsanalyse nicht stattgefunden hat. 9 Umgang mit Informationen 8 Der Schutzbedarf wird in folgende Kategorien eingeordnet: • normal: Im Schadensfall wären die Auswirkungen begrenzt und überschaubar • hoch: Im Schadensfall können die Auswirkungen beträchtlich sein. • sehr hoch: Die Schadensauswirkungen können ein existentiell bedrohliches, katastrophales Ausmaß erreichen. Für die Feststellung des Schutzbedarfs sind in einem ersten Schritt die zu verarbeitenden Daten des IT-Verfahrens zu identifizieren. Sodann sind die schlimmsten Folgen des Verlustes von Vertraulichkeit, Integrität und Verfügbarkeit zu bestimmen. Auf dieser Grundlage hat dann die Einordnung in die drei Schutzbedarfskategorien zu erfolgen. Beispiel: Verlust der Integrität der Daten Hier kommt als Bedrohung die unberechtigte Veränderung der Daten in Betracht. Dies kann Auswirkungen auf das informationelle Selbstbestimmungsrecht, die körperliche Unversehrtheit, die Aufgabenerfüllung, die Außenwirkung sowie finanzielle Folgen haben. 9 Umgang mit Informationen 9 Schutzbedarfskategorien des Landes Abschätzung des Schadens Auswirkungen auf Schadenskategorie normal hoch sehr hoch (ISR) Informationelles Selbstbestimmungsrecht Die Verarbeitung personenbezogener Daten stellt immer einen Eingriff in die Grundrechte dar. Deshalb ist grundsätzlich davon auszugehen, dass jedes personenbezogene Verfahren mindestens normalen Schutzbedarf aufweist. Folgende beispielhaft aufgeführte Verarbeitungsszenarien implizieren eine Eingriffsintensität, welche einen hohen Schutzbedarf zur Folge hat: - Verarbeitung nicht veränderbarer Personendaten, die ein Leben lang als Anker für Profilbildungen dienen (z.B. biometrische Daten, Gendaten) - Eindeutig identifizierende, hoch verknüpfbare Daten (z.B. Steuer-ID, Krankenversichertennummer) - Verarbeitung von Daten in einem Verfahren mit möglichen gravierenden, finanziellen Auswirkungen für den Betroffenen, mit Auswirkungen auf die Reputation des Betroffenen, mit Auswirkungen auf die körperliche Unversehrtheit, mit Folgen, die in realistischer Weise Auswirkungen auf die Grundrechtsausübung einer Vielzahl von Betroffenen haben können (z.B. Videoüberwachung), mit der Gefahr von Diskriminierung und Stigmatisierung (z.B. durch Algorithmen, intransparentes Zustandekommen von Entscheidungen eines Betroffenen) und mit Eingriffen in besonders geschützte innere Lebensbereiche eines Betroffenen. In einigen Fällen hat schon der Gesetzgeber im Gesetzestext den Schutzbedarf explizit ausgewiesen. So enthält das BDSG in §§ 13 Abs. 2, 28 Abs. 6 bis 9 und 29 Abs. 5 Sonderregelungen für „besondere Arten personenbezogener Daten“. Diese Regelungen finden sich in teilweise gleichlautender Form auch in anderen Datenschutzgesetzen bzw. in der DS-GVO (bspw. Art. 35 Abs. 3). Wenn diese besonderen Arten personenbezogener Daten verarbeitet werden, bedarf es grundsätzlich keiner weiteren Abstimmung oder Erwägungen, sondern es ist von einem „hohen Schutzbedarf“ auszugehen. Von einem sehr hohem Schutzbedarf ist auszugehen, wenn ein Betroffener von den Entscheidungen bzw. Leistungen der Organisation unmittelbar existentiell abhängig ist und zusätzliche Risiken für den Betroffenen nicht bemerkbar sind. Persönliche Unversehrtheit Die unberechtigte Veränderung der Daten kann zu keiner bis maximal leichter Beeinträchtigung der persönlichen Unversehrtheit führen. Die unberechtigte Veränderung der Daten kann zu einer erheblichen Beeinträchtigung der persönlichen Unversehrtheit führen. Die unberechtigte Veränderung der Daten kann die Existenz des Betroffenen gefährden. Aufgabenerfüllung Eine unberechtigte Veränderung der Daten würde die Aufgabenerfüllung nur geringfügig oder unwesentlich beeinträchtigen. Eine unberechtigte Veränderung der Daten würde die Aufgabenerfüllung erheblich beeinträchtigen, da Arbeitsprozesse mit zentraler Bedeutung behindert werden. Eine unberechtigte Veränderung der Daten würde die Aufgabenerfüllung des Landes gefährden, da wesentliche Verfahren betroffen sind. Außenwirkung Eine unberechtigte Veränderung der Daten würde höchstens zu einem geringen Ansehensverlust bei einer eingeschränkten Öffentlichkeit führen. Eine unberechtigte Veränderung der Daten würde zu einem hohen Ansehensverlust bei einer eingeschränkten Öffentlichkeit führen. Eine unberechtigte Veränderung der Daten würde zu einem hohen Ansehensverlust bei einer breiten Öffentlichkeit führen. Finanzen Summe des finanziellen Schadens kleiner als 500.000 € Summe des finanziellen Schadens kleiner als 100 Mio. € Summe des finanziellen Schadens größer als 100 Mio. € Sobald eine Schadenskategorie mit mehr als „normal“ eingestuft wird, ist der Schutzbedarf mit „hoch“ oder „sehr hoch“ einzustufen. Auf die gleiche Weise sind auch die Folgen beim Verlust der Verfügbarkeit und Vertraulichkeit abzuschätzen. 10 Sicherheitsmaßnahmen 10 Für zu verarbeitende Daten mit dem Schutzbedarf „normal“ sind Maßnahmen eines anerkannten IT-Grundschutzes ausreichend; für den Schutzbedarf „hoch“ und „sehr hoch“ ist eine Risikoanalyse durchzuführen, aus der ein individuelles Sicherheitskonzept zu entwickeln ist. 9.2 Risikoanalyse Für jedes IT-Verfahren, mit hohem oder sehr hohem Schutzbedarf ist eine Risikoanalyse durchzuführen in der sich die Anforderungen nach BSI (Standard 200-3) und BDSG (Folgeabschätzung) wiederfinden. Basierend auf den Ergebnissen der Risikoanalyse bzw. Datenschutz-Folgeabschätzung ist ein individuelles Sicherheitskonzept zu erstellen. Hierbei gelten die Maßnahmen nach dem IT-Grundschutz als Mindeststandard. Unter Berücksichtigung des höheren Schutzbedarfs sind die zusätzlich erforderlichen Maßnahmen zu treffen. 10 Sicherheitsmaßnahmen 10.1 Sicherheitsvorfälle Sicherheitsvorfälle oder Ereignisse, die Indiz für ein Sicherheitsproblem sein können, sind dem IT-Sicherheitsbeauftragten umgehend zu melden. Als sicherheitsrelevante Vorfälle werden Ereignisse bezeichnet, die die Vertraulichkeit, Verfügbarkeit oder Integrität der Informationen, Geschäftsprozesse oder IT- Anwendungen derart beeinträchtigen, dass ein Schaden für die Funktionsfähigkeit der Verwaltung entstehen kann. Die Vorfälle sind zu dokumentieren und auszuwerten. Hierbei ist zu überprüfen, welche Konsequenzen aus diesen Ereignissen zu ziehen sind. 10.2 Notfallvorsorge Für jede Dienststelle ist ein Notfallvorsorgekonzept zu erstellen, das detailliert die Vorgehensweise bei einem Schadensfall beschreibt. Hierbei sind insbesondere folgende Punkte zu beachten: • Alarmierungsplan mit Meldewegen und Kontaktdaten der beteiligten Stellen und Personen • Festlegung von Entscheidungsträgern in der Notfallsituation • Pläne für den Wiederanlauf von IT-Systemen • Pläne für die Wiederherstellung von Daten • Szenarien für Ausweichmöglichkeiten Die Pläne sollen alle angewendeten Verfahren auf der Grundlage der Schutzbedarfs- und Risikoanalyse betrachten. Für gleichartige Dienststellen innerhalb eines Geschäftsbereichs (z.B. Finanzämter) kann ein gemeinsames Notfallvorsorgekonzept erstellt werden. 11 Schlussvorschriften 11 10.3 Revision Die Wirksamkeit der technischen und organisatorischen Maßnahmen zur Informationssicherheit sowie die Einhaltung der Richtlinien sind regelmäßig und nach jeder Änderung der Hard- oder Software zu überprüfen. Jede Änderung ist zu dokumentieren. Bei der Vergabe der Prüfaufgaben an externe Auftragnehmer sind nur Anbieter mit Zertifikaten des BSI oder vergleichbar zu berücksichtigen. 11 Schlussvorschriften Diese Richtlinie tritt am Tag nach ihrer Veröffentlichung im Amtsblatt des Saarlandes in Kraft. Darüber hinaus ist die Richtlinie jedem Bediensteten in geeigneter Form bekannt zu geben. Diese Richtlinie bedarf der regelmäßigen Überprüfung und Überarbeitung. Die Gewährleistung der Aktualität wird durch die StIKS im Ministerium für Finanzen und Europa sichergestellt. Mit Inkrafttreten dieser Richtlinie tritt die „Richtlinie für die Planung und Realisierung der Sicherheit der Informationstechnik im Rahmen informationstechnischer und kommunikationstechnischer Verfahren“2 vom 05.06.2003 außer Kraft. 2 Gmbl Saarland Nr.8 S. 326 12 Anhänge 12 12 Anhänge 12.1 Detailrichtlinien ("Blaupausen") Die Blaupausen mit den Nummern 1-4 werden den Ressorts mit Inkrafttreten der vorliegenden Richtlinie vorgelegt (vgl. Tz. 3). Die weiteren Richtlinien, die nachstehend kursiv gedruckt sind, werden von der Stabsstelle für Informationstechnik und Informationssicherheitsmanagement noch erarbeitet und den Ressorts nach Abstimmung im Kompetenzteam Informationssicherheit vorgelegt. 1. Richtlinie für die IT-Anwender 2. Richtlinie für die Erstellung und den Gebrauch von Passwörtern 3. Richtlinie für die Regelung elektronischer Kommunikationsdienste 4. Richtlinie für den Gebrauch mobiler Geräte 5. Richtlinie zur Telearbeit 6. Richtlinie zum Schutz der Dienstgebäude 7. Zutrittsschutzkonzept 8. Richtlinie für die Beschaffung und den Einsatz von IT-Verfahren und Hardware 9. Richtlinie zum Outsourcing 10. Regelungen für das IT-DLZ 11. Regelungen für das Wartungsmanagement 12. Regelungen für Administratoren 13. Regelungen für Systembetreuer 14. Notfallvorsorgekonzept 12.2 Grundbegriffe der Informationssicherheit Authentizität bedeutet, dass Daten jederzeit ihrem Ursprung zugeordnet werden können. Authentisierung Nachweis, dass der Nutzer das Zielsystem benutzen darf (z.B. durch Passwörter) Integrität ist gewährleistet, wenn Daten unversehrt und vollständig bleiben. Revisionsfähigkeit ist gewährleistet, wenn Änderungen an Daten nachvollzogen werden können. Transparenz ist gewährleistet, wenn Betroffene die Verarbeitung ihrer Daten vollständig nachvollziehen können Verfügbarkeit bezieht sich auf Daten und Verfahren und bedeutet, dass sie zeitgerecht zur Verfügung stehen Vertraulichkeit ist gewährleistet, wenn nur Personen, die dazu berechtigt sind, von Daten Kenntnis nehmen können