Einführung eines Informationssicherheits-Managementsystems (ISMS) in der Stadt Osnabrück
Stadt: osnabrueck
Drucksache: VO/2017/0560
Datum: 2017-05-18
Vorlagenart: Beschlussvorlage

Seite: 1/5
Stadt Osnabrück 14.02.2017 
Der Oberbürgermeister
Fachbereich Personal und Organisation
Beschlussvorlage Vorlage-Nr:
Öffentlichkeitsstatus:
VO/2017/0560
öffentlich
Einführung eines Informationssicherheits-Managementsystems 
(ISMS) in der Stadt Osnabrück
Beratungsfolge:
Gremium Datum Sitzungs-
art
Zuständigkeit TOP- 
Nr.
 Vorstandskonferenz 09.05.2017 N Vorberatung
 Organisations-, Personal- und 
Gleichstellungsausschuss 17.05.2017 Ö Vorberatung
 Ausschuss für Finanzen und 
Beteiligungssteuerung 22.08.2017 Ö Vorberatung
 Verwaltungsausschuss 05.09.2017 N Vorberatung
 Rat der Stadt Osnabrück 05.09.2017 Ö Entscheidung
Beschluss:
Ein umfassendes Informationssicherheits-Managementsystem (ISMS) im Bereich der 
Informationstechnik der Stadt wird bis Ende 2020 entwickelt und umgesetzt.
A. Finanzielle Auswirkungen: 
x Ja
Nein
I. Gesamtkosten der Maßnahme : jährlich ca. 112.000 €
II. davon für den laufenden Haushalt vorgesehen: _____/______ €
Betroffener Haushaltsbereich
x Ergebnishaushalt Finanzhaushalt/Investitionsprogramm
Produktnummer / Projektnummer:
Bezeichnung:
Die erforderlichen Mittel stehen im lfd. Haushaltsjahr zur Verfügung.
Den erforderlichen Mitteln stehen Einzahlungen / Erlöse zur Deckung gegenüber in
Höhe von ___________________ €.
Die erforderlichen Mittel stehen im lfd. Haushaltsjahr nicht zur Verfügung und müssen   
außer-/überplanmäßig bereitgestellt werden (Ausführungen zu der Deckung sind der
Begründung zu entnehmen).
III. Auswirkung auf die mittelfristige Finanzplanung:
x Der Betrag ist jährlich wiederkehrend einzuplanen
Die Gesamtkosten von _____________ € beziehen sich auf die Jahre ______________
Es entstehen jährliche Folgekosten in Höhe von _____________ €
Durch die Maßnahme werden jährliche Erträge erwartet in Höhe von ______________ €.
B. Personelle Auswirkungen: 
Lfd. Haushaltsjahr: Im Stellenplan nicht vorhanden
                                                           Seite: 2/5
Folgejahre: Im Stellenplan sind ab 2018 2 Vollzeitstellen aufzunehmen.
C. Integrations- /Gleichstellungspolitische Auswirkungen: ´Keine
D. Ggf. Alternativen zum Beschlussvorschlag: Keine
E. Beteiligte Stellen: 
Rechnungsprüfungsamt, Fachbereich Finanzen und Controlling im Rahmen des 
Haushaltsverfahrens 2018
 
Der Inhalt der Vorlage unterstützt folgende/s strategische/n Stadtziel/e:
 Finanzielle Handlungsfähigkeit (Ziel 2016 - 2020)
Sachverhalt:
Ausgangslage
Die Bedeutung und auch die Anforderungen der Informationstechnik in der Stadtverwaltung 
Osnabrück sind in den letzten Jahren stetig gewachsen. Daraus resultierend muss die IT-
Sicherheit in den Verwaltungen einen immer größeren Stellenwert bekommen. 
Kommunen und deren Fachanwendungen waren für Hacker bis vor ein paar Jahren noch 
uninteressant. In den letzten Jahren haben jedoch Systemeindringlinge, Virenmailings und 
gezielte Systemangriffe exponentiell zugenommen.
In den letzten Jahren haben Schadprogrammvarianten weltweit einen starken Anstieg zu 
verzeichnen, über 400 Millionen Verschiedene sind bekannt:
Abbildung: Entwicklung der Schadprogrammviren
Quelle: BSI-Sicherheitsreport 2015
Die IT-Strategie 2020 der Stadt Osnabrück sieht vor, dass steigenden Fachanforderungen 
der Dienststellen und auch der Bürger durch innovative, digitale Lösungen entsprochen wird. 
Dieses birgt jedoch ein gesteigertes natürliches Risiko, dass auch Sicherheitsbedrohungen 
zunehmen. Hierbei handelt es  sich um kein spezifisches Problem der Stadt Osnabrück, 
sondern alle öffentlichen und privatwirtschaftlichen Organisationen sind davon betroffen. 
Beispielhaft sind der Cyberangriff auf das Lukaskrankenhaus Neuss, bei dem die 
kompletten überlebenswichtigen Systeme lahmgelegt wurden und die E-Mail-Attacke auf 
den Deutschen Bundestag zu nennen. Sicherheitsprobleme und –risikopotentiale sind 
allgegenwärtig. 
                                                           Seite: 3/5
Die Stadt Osnabrück kann und muss sich dagegen schützen. 
Dieses geht jedoch nicht ohne einen strukturierten Managementansatz, da die Risiken des 
Ausspähens, der Systempenetrationen und der Außerbetriebnahme von einzelnen oder auch 
der kompletten Fachbereichs-Applikationslandschaft stetig steigen. 
Konzeptioneller Ansatz
Die Eintrittswahrscheinlichkeit von Schadensereignissen oder das mögliche 
Schadensausmaß werden durch höherwertige Sicherheitsmaßnahmen verringert. Das 
Bundesamt für Sicherheit in der Informationstechnik (BSI) hat hierzu einen IT-Grundschutz 
entwickelt. 
Der IT-Grundschutz beschreibt mit Hilfe der BSI-Standards 100-1, 100-2, 100-3 und der IT-
Grundschutz-Kataloge eine Vorgehensweise zum Aufbau und zur Aufrechterhaltung eines 
Managementsystems für Informationssicherheit (ISMS). Das damit aufgebaute ISMS erfüllt 
die Anforderungen der ISO-Normen 27001 und 27002. 
Die ISO-Norm 27001 spezifiziert Anforderungen für die Einrichtung, Umsetzung, 
Aufrechterhaltung und die fortlaufende Verbesserung eines dokumentierten 
Informationssicherheits-Managementsystems unter Berücksichtigung des Kontexts einer 
Organisation (Quelle: Wikipedia).
Die ISO-Norm 27002 ist ein internationaler Standard, der Empfehlungen für diverse 
Kontrollmechanismen für die Informationssicherheit beinhaltet (Quelle: Wikipedia).
Der Aufbau eines ISMS und die Durchführung der regelmäßigen konzeptionellen Aufgaben 
erfordern einen zusätzlichen Einsatz von Personal und finanziellen Mitteln. 
Vor dem Hintergrund der finanziellen Lage der Stadt Osnabrück ist das ISMS zielgerichtet 
aufzubauen und weiterzuführen. 
Hierzu wurde vom BSI eine Arbeitshilfe zur Bedarfsplanung hinsichtlich des notwendigen 
Personals in der öffentlichen Verwaltung ausgearbeitet. 
Auf die Stadt Osnabrück übertragen, bedeutet dies:
Bedarf bei der Stadt Osnabrück
Abbildung: Berechnungsgrundlage

                                                           Seite: 4/5
Erläuterung: Das BSI geht in ihren Berechnungen davon aus, dass durch teilausgelagerte IT-
Systeme der Fachdienst Informationstechnik entlastet werden kann. Bei der Stadt 
Osnabrück ist von 25% auszugehen, da die Serversysteme durch einen IT-Dienstleister 
betreut (gehostet) werden.
Unter Berücksichtigung dieser Teilauslagerung ergibt sich ein rechnerischer Wert für das 
erste Jahr in Höhe von 2,74 Fachkräften sowie laufend in Höhe von 1,93 Fachkräften. 
Darstellung der Personalkosten
[1] für 2018 2,74 Mitarbeiter ca. 159.000 Euro
[2] ab 2019 1,93 Mitarbeiter ca. 112.000 Euro
Bei dem errechneten Personalbedarf handelt es sich um die Minimalabdeckung. Sie spiegeln 
lediglich den realen Bedarf an dem einzusetzenden Personal für das Thema des Aufbaus 
und der Pflege eines Managementsystems für Informationssicherheit in der Stadt wider. Die 
Aufwände für die technische, organisatorische und/oder personelle Umsetzung von 
Sicherheitsmaßnahmen sind nicht berücksichtigt. Diese Tätigkeiten werden bereits 
von zwei 0,5 Fachkräften ausgeübt. (Im Abschlussbericht zur „Untersuchung des IT-
Einsatzes der Stadt Osnabrück (IT-Reorganisation)“ vom 17.07.2012 wurde bereits 
dargestellt, dass für den Betriebsbereich im IT-Sicherheitsmanagement zwei 0,5 VZE zu 
schaffen sind. Die Umsetzung hierzu erfolgte im Jahr 2016.)
Der aktuell errechnete Mehrbedarf (BSI konform) begründet sich durch die Veränderung der 
Sicherheitslage weltweit. Hinzu kommt, dass die exponentiell angestiegenen 
Sicherheitsvorfälle in Kommunen die vollständige Umsetzung des 
Informationssicherheitssystems erforderlich machen.  
Im Prüfbericht IT-Umfeld/ IT-Organisation vom Rechnungsprüfungsamt vom 22.04.2016 
wurden dringend die Einführung, der Aufbau und der Betrieb eines umfangreichen ISMS 
empfohlen:
„Ein bedeutender Grundstein für ein geeignetes IT-Umfeld und einer geeigneten IT-
Organisation wurde mit der Reorganisation der städtischen IT-Landschaft gelegt. Auf 
Grundlage der IT-Untersuchung wurden bereits zahlreiche organisatorische, personelle und 
technische Maßnahmen umgesetzt, die eine wichtige Basis für einen effektiven, effizienten 
und sicheren städtischen IT-Betrieb in der Zukunft bilden. Dieser eingeschlagene Weg muss 
konsequent weiter gegangen werden (…). Die wohl wichtigsten dieser Themen sind die IT-
Sicherheit und das IT-Kontrollsystem. Beide sind eng miteinander verknüpft und sollten bzw. 
können nicht losgelöst voneinander betrachtet werden.
Aus Sicht des RPA liegen daher die wesentlichen IT-Schwerpunkte in den nächsten Jahren 
im konsequenten Ausbau der städtischen IT-Sicherheit und des IT-Kontrollsystems. Hierfür 
ist es notwendig, personelle und finanzielle Ressourcen bereitzustellen, denn diese sind 
notwendig, um hohe materielle und immaterielle Schäden abzuwenden, die der Stadt 
Osnabrück durch Datenmanipulation, Datenverlust oder Datensicherheit entstehen könnten“
Planung für die Einrichtung eines ISMS
In der nachstehenden Programmplanung wird für die Einführung und die regelmäßige 
Umsetzung des ISMS von einem Zeitraum bis Ende 2020 ausgegangen. Dieser Zeitraum 
wird im Kontext der IT-Strategie der Stadt Osnabrück als notwendig angesehen, um neben 
den oben angeführten Effekten die Strategie der Stadt ganzheitlich fördern zu können.
                                                           Seite: 5/5
Abbildung: Programmplanung
Zusammenfassung
Die vielseitige Aufgabenerfüllung der Stadt Osnabrück ist sehr eng mit der städtischen IT-
Sicherheit verbunden. Ein Großteil der städtischen Geschäftsprozesse wird IT-gestützt 
erbracht. Die Komplexität der IT und die interne und auch externe Grad der Vernetzung 
nehmen stetig zu.
Ein Verzicht auf die Installation eines ISMS würde ein Ignorieren der natürlichen 
Sicherheitsbedrohungen in der Stadt Osnabrück bedeuten. Diese können zu schweren 
Schäden an Systemen, Anwendungen, aber auch an personenbezogenen Daten und 
Verfahren führen. 
Schwerwiegende Virenbefälle, externer Datenklau und Datenmanipulation könnten zu 
Datenverlusten bzw. –verfälschungen führen, die ggf. nicht korrigiert oder nur mit großem 
Ressourceneinsatz wiederhergestellt werden können.