Aufbau eines Informationssicherheitsmanagementsystems (ISMS) - Leitlinie für Informationssicherheit und Datenschutz
Stadt: leipzig
Drucksache: VI-DS-07111
Datum: 2019-08-07
Vorlagenart: Beschlussvorlage

1/5
 
Dienstberatung des 
Oberbürgermeisters 
 
 
Beschlussvorlage Nr. VI-DS-07111 
 
Status: öffentlich 
 
  
 
Eingereicht von  
Dezernat Allgemeine Verwaltung 
 
 
 
Betreff: 
Aufbau eines Informationssicherheitsmanagementsystems (ISMS) - Leitlinie für 
Informationssicherheit und Datenschutz 
 
Beratungsfolge (Änderungen vorbehalten): 
Gremium 
voraussichtlicher 
Sitzungstermin 
 
Zuständigkeit 
   
Dienstberatung des Oberbürgermeisters   Beschlussfassung 
FA Allgemeine Verwaltung   Information zur Kenntnis 
DB OBM - Vorabstimmung    
DB OBM - Vorabstimmung    
 
 
Beschluss des Oberbürgermeisters vom 06.08.2019: 
 
1. Die Leitlinie für „Informationssicherheit und Datenschutz“ wird bestätigt. 
2. Die Leitline für „Informationssicherheit und Datenschutz“ wird auf leipzig.de 
veröffentlicht. 
Zusammenfassung: 
 
Anlass der Vorlage:  
 
 Rechtliche Vorschriften    Stadtratsbeschluss    Verwaltungshandeln 
 Sonstiges: 
 
Ein angemessenes Informationssicherheits- und Datenschutzniveau lässt sich in größeren 
Organisationen nur dann erreichen, wenn Schritt für Schritt die Einrichtung eines 
umfassenden Informationssicherheitsmanagementsystems (ISMS) vorgenommen wird. 
Die Leitlinie bildet hierfür die erforderliche Grundlage für die Stadtverwaltung.  
 
 
 
 
 
 
 
 
  

2/5
 
 
 
 
Finanzielle Auswirkungen  x nein  wenn ja, 
Kostengünstigere Alternativen geprüft x nein  ja, Ergebnis siehe Anlage zur Begründung 
Folgen bei Ablehnung  nein x ja, Erläuterung siehe Anlage zur 
Begründung 
Handelt es sich um eine Investition (damit aktivierungspflichtig)? x nein  ja, Erläuterung siehe Anlage zur 
Begründung 
  
Im Haushalt wirksam von bis Höhe in EUR wo veranschlagt 
Ergebnishaushalt Erträge     
 Aufwendungen     
Finanzhaushalt Einzahlungen     
 Auszahlungen     
Entstehen Folgekosten oder Einsparungen? x nein  wenn ja, 
 
Folgekosten Einsparungen wirksam von bis Höhe in EUR 
(jährlich) wo veranschlagt 
Zu Lasten anderer OE Ergeb. HH Erträge     
 Ergeb. HH Aufwand     
Nach Durchführung der 
Maßnahme zu erwarten Ergeb. HH Erträge     
 Ergeb. HH Aufwand (ohne 
Abschreibungen)     
 Ergeb. HH Aufwand aus 
jährl. Abschreibungen      
 
Auswirkungen auf den Stellenplan x nein  wenn ja, 
Beantragte Stellenerweiterung:  Vorgesehener Stellenabbau:  
Beteiligung Personalrat x nein  ja, 
 
 
 
Beschreibung des Abwägungsprozesses: 
 
nicht relevant 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
3/5
Sachverhalt:  
 
1. Anlass 
Die Stadtverwaltung Leipzig besitzt eine enorme Aufgabenvielfalt, von der Daseinsfürsorge 
bis zu Dienstleistungen für Bürgerinnen und Bürger, Unternehmen und Vereine, welche 
zusätzlich permanenten Änderungen unterliegt.  
Eine wirtschaftliche, zeitnahe Aufgabenerfüllung stützt sich dabei stetig zunehmend auf die 
Möglichkeiten der Informationstechnologie. Informationen sind somit ein wesentlicher Wert 
für die Stadtverwaltung und müssen daher angemessen geschützt werden.   
Verschiedene Rechtsvorschriften (insb. BSI-Gesetz, SächsEGovG, DSGVO, geplantes IT-
Sicherheitsgesetz) verpflichten die Stadtverwaltung Leipzig, technische und organisatorische 
Maßnahmen zu treffen, die dem Stand der Technik entsprechen und ein angemessenes 
Schutzniveau gewährleisten. 
 
Eine wirksame, effektive und effiziente Umsetzung setzt eine Aufbau- und Ablauforganisation 
sowie eine entsprechende Zuweisung von Aufgaben voraus.  
 
2. Strategische Ziele 
Durch die Gewährleistung eines angemessenen Informationssicherheits- und 
Datenschutzniveaus werden die Rechtmäßigkeit des Verwaltungshandels und die 
Erreichung der strategischen Ziele unterstützt. 
 
3. Operative Umsetzung 
Mit der Leitlinie für „Informationssicherheit und Datenschutz“  
- bekennt sich die Behördenleitung zur Informationssicherheit und zum Datenschutz 
- werden die Informationssicherheits- und Datenschutzziele bestimmt und 
- wird festgelegt, mit welcher Aufbau- und Ablauforganisation diese Ziele erreicht 
werden sollen. 
 
Die Leitlinie schafft die Grundlage für die Einführung und den Aufbau eines 
Informationssicherheits- und Datenschutzmanagementsystems. Sie ist Bestandteil des 
Konzeptes Moderne Verwaltung (MoVe) HF4-8 – Initiierung des 
Informationssicherheitsprozesses in der Stadtverwaltung Leipzig. 
Die operative Umsetzung der Leitlinie erfolgt mit Einzel-Anweisungen in Form von 
Dienstanweisungen, Richtlinien und Konzepten gem. folgender Systematik. 
 
 
Abbildung 1: Dokumentenstruktur des Informationssicherheitsmanagementsystems 
  
4/5
 
Die Umsetzung erfolgt als vierphasiger Prozess (PDCA-Zyklus, Plan-Do-Check-Act), der 
vom Bundesamt für Sicherheit in der Informationstechnik und den 
Datenschutzaufsichtsbehörden (im Rahmen des Standard-Datenschutzmodells) empfohlen 
wird. Hierfür notwendige Vorgaben und Aufgabenzuweisungen werden durch 
Dienstanweisungen geregelt. Es ist herauszuheben, dass die Gewährleistung von 
Informationssicherheit und Datenschutz keine neue Aufgabe ist. Mit der Leitlinie erfolgt 
vielmehr eine Anpassung an die aktuelle Sach-/Rechtslage und den Stand der Technik. 
 
 
Abbildung 2: Plan-Do-Check-Act - Zyklus 
 
Der Prozess wird vom Informationssicherheitsmanagement-Team gesteuert. 
 
 
Abbildung 3: Informationssicherheitsteam 
 
5/5
4. Folgen bei Nichtbeschluss 
Notwendige, konkretisierende Maßnahmen zur Umsetzung rechtlicher Verpflichtungen 
werden nicht umgesetzt. 
Die Leitlinie ist die notwendige Grundlage für den Aufbau eines 
Informationssicherheitsmanagementsystems (ISMS) in der Stadtverwaltung, ohne das ISMS 
können bestimmte Herausforderungen wie der Schutz kritischer Infrastrukturen (gem. BSI-
Gesetz, Verordnung zur Bestimmung kritischer Infrastrukturen) oder die Digitalisierung der 
Verwaltungen in Bezug auf Informationssicherheit und Datenschutz nicht sichergestellt 
werden.     
 
 
 
 
 
 
 
Leitlinie für 
Informationssicherheit und Datenschutz 
 
 
 
 
 
 
 
 
Inhaltsverzeichnis 
1. Vorbemerkung ................................ ................................ ................................ .............. 1 
2. Geltungsbereich ................................ ................................ ................................ ........... 1 
3. Leitbild und Selbstverpflichtung ................................ ................................ ................. 1 
4. Verantwortlichkeiten und Rollen ................................ ................................ ................. 2 
4.1. Gesamtverantwortung ................................ ................................ ............................. 2 
4.2. Zentrales Datenschutz- und Informationssicherheitsmanagement ........................... 2 
4.3. Dezentrale Gewährleistung von Datenschutz und Informationssicherheit ................ 3 
5. Sicherheitsziele ................................ ................................ ................................ ............ 3 
6. Sicherheitsstrategie ................................ ................................ ................................ ..... 4 
7. Umsetzung der Sicherheitsstrategie ................................ ................................ ........... 5 
8. Verpflichtung zur kontinuierlichen Verbesserung ................................ ..................... 6 
 
  
 
 1 
 
 
1. Vorbemerkung 
Diese Leitlinie beschreibt die strategischen Grundlagen zur Gewährleistung der Informations-
sicherheit und des Datenschutzes in der Stadt Leipzig.  
Die Leitlinie für Informationssicherheit und Datenschutz  
 beschreibt den Stellenwert der Informationssicherheit und des Datenschutzes, 
 enthält das Bekenntnis der Behördenleitung zu ihrer Verantwortung für die Informati-
onssicherheit und den Datenschutz, 
 legt die Sicherheitsstrategie fest, 
 formuliert die allgemeinen Sicherheitsziele,  
 definiert die Sicherheitsorganisation, 
 verpflichtet zur kontinuierlichen Fortschreibung des Regelwerks zur Informationssi-
cherheit und des Datenschutzes, 
Diese Leitlinie bezieht sich auf: 
 BSI-Standard 200-2 (IT-Grundschutz-Methodik) 
 EU-Datenschutz-Grundverordnung (EU-DSGVO) 
 Standard-Datenschutzmodell (SDM) 
2. Geltungsbereich 
Die Leitlinie für Informationssicherheit und Datenschutz gilt für alle Organisationseinheiten 
der Stadtverwaltung Leipzig. Die Leitlinie und die daraus resultierenden Vorschriften und 
Maßnahmen sind von allen Bediensteten der Stadtverwaltung Leipzig zu beachten und ein-
zuhalten.  
Den Eigenbetrieben der Stadt Leipzig wird die Anwendung und Umsetzung dieser Leitlinie 
empfohlen. 
3. Leitbild und Selbstverpflichtung 
Die Behördenleitung und die Bediensteten der Stadt Leipzig sind sich ihrer Verantwortung 
bei der Verarbeitung von personenbezogenen und anderen Daten und im Umgang mit den 
dafür eingesetzten informationstechnischen Infrastrukturen bewusst. Die Umsetzung von In-
 
2  
 
formationssicherheit und Datenschutz hat einen hohen Stellenwert. Es werden alle notwendi-
gen geeigneten und angemessenen Maßnahmen getroffen, um negative materielle und im-
materielle Folgen für Betroffene und die Stadt Leipzig auszuschließen. 
Vor diesem Hintergrund ist ein angemessenes Niveau der Informationssicherheit für die 
Fachaufgaben / Geschäftsprozesse zu organisieren, welches gleichzeitig den Anforderungen 
des Datenschutzes gerecht wird. 
4. Verantwortlichkeiten und Rollen 
4.1. Gesamtverantwortung 
Der Oberbürgermeister trägt die Gesamtverantwortung für die Informationssicherheit  
und die Einhaltung des Datenschutzes. 
Die Verantwortung umfasst: 
 die Schaffung organisatorischer Rahmenbedingungen zur nachhaltigen 
Gewährleistung von Informationssicherheit und Datenschutz,  
 die Definition und Festlegung der erforderlichen Verantwortlichkeiten und Befugnisse,  
 die Einrichtung eines Informationssicherheits- und Datenschutz-Managements,  
 die Bereitstellung der erforderlichen Ressourcen, für die Planung und Umsetzung von 
organisatorischen, personellen, infrastrukturellen und technischen 
Sicherheitsmaßnahmen, 
 das Einbetten der Informationssicherheit und des Datenschutzes in die Strukturen, 
und Arbeitsabläufe der Stadtverwaltung.  
4.2. Zentrales Datenschutz- und Informationssicherheitsmanagement 
4.2.1 Informationssicherheitsbeauftragter 
Die Stadt Leipzig hat als zentrale Sicherheitsinstanz einen Informationssicherheitsbeauftrag-
ten (ISB) ernannt. Der ISB ist dem Oberbürgermeister direkt unterstellt, arbeitet fachlich wei-
sungsfrei und ist gegenüber allen Bediensteten weisungsbefugt, soweit Belange der Informa-
tionssicherheit betroffen sind.  
Der Informationssicherheitsbeauftragte hat Zutrittsrecht zu allen Räumen der Stadtverwal-
tung.  
Er hat ein direktes Vortragsrecht bei allen Amtsleitern, Beigeordneten und dem Oberbürger-
meister. 
4.2.2 Datenschutzbeauftragter 
Für die Wahrnehmung der Aufgaben gem. Art. 39 DSGVO hat die Stadtverwaltung einen be-
hördlichen Datenschutzbeauftragten (bDSB) benannt. Der bDSB ist dem Oberbürgermeister 
 
 3 
 
 
direkt unterstellt, arbeitet fachlich weisungsfrei und ist nicht weisungsbefugt. 
Er hat ein direktes Vortragsrecht bei allen Amtsleitern, Beigeordneten und dem Oberbürger-
meister. 
4.2.3 Informationssicherheitsmanagementteam 
Zur Unterstützung des ISB und bDSB wird ein Informationssicherheitsmanagement-Team 
(ISM-Team) gebildet, um bei strategischen Entscheidungen, bei der Bewältigung von Sicher-
heitsvorfällen oder Einzelmaßnahmen (z.B. bei Projekten entsprechender Größenordnung) 
die Informationssicherheits- und Datenschutzbelange ausreichend zu berücksichtigen. 
4.3. Dezentrale Gewährleistung von Datenschutz und Informationssicherheit 
4.3.1 Informationseigentümer 
Die Gewährleistung von Informationssicherheit und Datenschutz ist integraler Bestandteil 
jeder Fachaufgabe. Für jede Fachaufgabe / jeden Geschäftsprozess gibt es einen 
Informationseigentümer, der für alle Fragen der Informationsverarbeitung verantwortlich ist. 
Die Zuständigkeit der Informationseigentümer umfasst daher auch Maßnahmen zur 
Umsetzung und Aufrechterhaltung von Datenschutz und Informationssicherheit. 
Im Rahmen der Aufgabenzuständigkeit der Dezernate, Ämter und Referate obliegt diese 
Funktion der jeweiligen Leitung, die hierzu mit dem zentralen Informationssicherheits- und 
Datenschutzmanagement zusammenarbeitet. 
4.3.2 Die Verantwortung der Bediensteten 
Alle Bedienstete gewährleisten die Informationssicherheit und den Datenschutz durch ver-
antwortungsbewusstes Handeln und halten die für die Aufgabenerfüllung relevanten Ge-
setze, Vorschriften, Richtlinien, Anweisungen und vertraglichen Verpflichtungen ein. 
5. Sicherheitsziele 
Zur Abbildung des hohen Stellenwertes der Informationssicherheit werden für die Stadtver-
waltung die nachstehenden Sicherheitsziele festgelegt, für die geeignete Sicherheitsniveaus 
definiert werden: 
 Vertraulichkeit 
Informationen dürfen ausschließlich einem berechtigten Personenkreis zur Verfügung 
stehen. 
 Integrität 
Die physische und logische Unversehrtheit von Systemen, Anwendungen und Daten 
 
4  
 
muss jederzeit gewahrt sein. Dieses umfasst auch die unberechtigte Erstellung oder 
Änderung von Informationen. 
 Verfügbarkeit 
Systeme, Anwendungen und Daten müssen den Berechtigten in jeder Situation wie 
vorgesehen zur Verfügung stehen. 
Bei der Verarbeitung personenbezogener Daten sind zusätzlich folgende Sicherheitsziele zu 
gewährleisten: 
 Nichtverkettung 
Datenverarbeitung ist auf den Erhebungszweck und rechtmäßige Zweckänderung 
beschränkt. 
 Transparenz 
Information und Auskunft der betroffenen Personen, welche Daten wofür verarbeitet 
werden gewährleistet. Sämtliche Verarbeitungstätigkeiten sind vordefiniert und 
nachvollziehbar dokumentiert. 
 Intervenierbarkeit 
Wahrnehmung der Betroffenenrechten ist gewährleistet. 
6. Sicherheitsstrategie 
Die Sicherheitsstrategie der Stadtverwaltung Leipzig ist es, mit wirtschaftlichem Ressourcen-
einsatz ein Risiko-angemessenes Sicherheitsniveau zu erreichen und aufrechtzuerhalten. 
Dazu wird ein Informationssicherheitsmanagementprozess eingeführt, der sich an der IT-
Grundschutzvorgehensweise des Bundesamtes für Sicherheit in der Informationstechnik 
(BSI) orientiert und als kontinuierlicher Prozess unter besonderer Berücksichtigung des Da-
tenschutzes gestaltet wird.  
Der Prozess umfasst die Schritte 
 Planung: Festlegung der Vorgaben für den Sicherheitsprozess und das ISMS 
 Umsetzung: Aufbau eines ISMS, Erstellung und Umsetzung eines 
Sicherheitskonzeptes sowie Etablierung des Sicherheitsprozesses  
 Überprüfung: Erfolgskontrolle der Erreichung der Sicherheitsziele  
 Aufrechterhaltung: Durchführung von Korrekturen zur Optimierung des 
Sicherheitsprozesses und der Sicherheitsorganisation  
Die Sicherheitsstrategie umfasst die gesamte Informationsverarbeitung in der Stadtverwal-
tung. 
Das ISMS soll dem jeweiligen Schutzzweck angemessene Sicherheitsmaßnahmen definie-
ren und für deren wirtschaftliche Umsetzung sorgen. Bei der Auswahl der Umsetzung von 
 
 5 
 
 
Sicherheitsmaßnahmen ist darauf zu achten, dass das erforderliche Sicherheitsniveau er-
reicht wird, ohne den Ablauf von Geschäftsprozessen / Fachaufgaben unnötig zu beeinträch-
tigen. 
Die Sicherheitsstrategie wird von den folgenden Grundsätzen geprägt: 
 Zentrale Rolle der Informationssicherheit / Datenschutz: Die 
Informationssicherheit und der Datenschutz wird bei Änderungen und Neuerungen 
von Beginn an mitberücksichtigt. 
 Verhältnismäßigkeit der Sicherheitsmaßnahmen: Aufwand und Ergebnis der 
eingesetzten Sicherheitsmaßnahmen müssen in einem angemessenen Verhältnis 
zueinanderstehen. 
 Sicherheit für nachhaltige Verfügbarkeit: Um eine langfristige Verfügbarkeit zu 
erreichen, ist eine kurzfristige Einschränkung bei Funktionalität und Komfort 
vertretbar. 
 Prinzip des Schutzbedarfs: Zweck der Schutzbedarfsfeststellung ist es, zu 
ermitteln, welcher Schutz für die Geschäftsprozesse und Fachaufgaben, die dabei 
verarbeiteten Informationen und die eingesetzte Informationstechnik ausreichend und 
angemessen ist. Hierzu werden für jede Anwendung und die verarbeiteten 
Informationen die zu erwartenden Schäden betrachtet, die bei einer Beeinträchtigung 
Sicherheitsziele entstehen können. Wichtig ist es dabei auch, die möglichen 
Folgeschäden sowie Risiken für die Rechte und Freiheiten natürlicher Personen 
realistisch einzuschätzen. 
 Minimalprinzip des Zugriffs: Der Zugriff auf IT-Systeme und Daten wird auf die 
notwendigen Personen und Systeme beschränkt. 
 Restriktives Nutzungsprinzip: Es werden nur Berechtigungen erteilt, die zur 
Erfüllung der jeweiligen Aufgabe tatsächlich benötigt werden. 
 Bereitstellung von ausreichenden Ressourcen: Um ein angemessenen 
Sicherheitsniveaus zu erreichen und aufrecht zu erhalten, werden ausreichende 
finanzielle und personelle Ressourcen und letzteren der notwendige zeitliche 
Freiraum bereitgestellt. 
 Einbindung aller Bedienstete: Alle Bedienstete werden in den 
Sicherheitsmanagementprozess zur Unterstützung der Sicherheitsstrategie 
eingebunden und hinsichtlich der Informationssicherheit sensibilisiert. 
7. Umsetzung der Sicherheitsstrategie 
Auf der Grundlage dieser Leitlinie werden eine Dienstanweisung zur Informationssicherheit 
und Datenschutz sowie weitere, auch fachspezifischer Richtlinien und Informationssicher-
heitskonzepte zur Umsetzung der Sicherheitsstrategie erstellt. 
 
6  
 
Die für die Umsetzung der erforderlichen und angemessenen Sicherheitsmaßnahmen not-
wendigen Ressourcen sind bereitzustellen. Diese Maßnahmen müssen in einem angemes-
senen Verhältnis zu den mit der Datenverarbeitung verbundenen Risiken für die betroffenen 
Personen, Dritter und der Stadt Leipzig stehen. 
8. Verpflichtung zur kontinuierlichen Verbesserung  
Die Verwaltungsleitung unterstützt den Prozess zur Optimierung der Informationssicherheit 
und des Datenschutzes. Der Prozess muss regelmäßig auf seine Aktualität, Wirksamkeit und 
die Übereinstimmung mit den Informationssicherheitszielen überprüft werden. Die Sicher-
heitsmaßnahmen sind regelmäßig daraufhin zu untersuchen, ob sie den Bedienstete be-
kannt, umsetzbar und in den Betriebsablauf integrierbar sind. 
Durch eine kontinuierliche Revision der Regelungen und deren Einhaltung wird das ange-
strebte Sicherheits- und Datenschutzniveau sichergestellt. Abweichungen werden mit dem 
Ziel analysiert, die Informationssicherheit und den Datenschutz zu verbessern und ständig 
auf dem aktuellen Stand zu halten.