Source: https://security.tugraz.at/richtlinie/bbo.shtml
Timestamp: 2020-08-09 11:31:51+00:00

Document:
TU Graz - ZID: Betriebs- und Benutzungsordnung (BBO) des Zentralen Informatikdienstes (ZID) der TU Graz
Security Richtlinien BBO
Betriebs- und Benutzungsordnung (BBO) des Zentralen Informatikdienstes (ZID) der TU Graz
§ 3 Benutzerinnen und Benutzer
§ 4 Benutzungsbewilligung
§ 6 Verwaltungsübertragung von Informatik-Einrichtungen
§ 7 Zuteilung von Informatik-Ressourcen
§ 8 Verrechnung von Leistungen
§ 9 Serviceräume, Öffnungs- und Betriebszeiten
§ 11 Ergänzende Datensicherheitsvorschriften
§ 12 Ergänzende Richtlinien und Benutzungsregelungen
§ 13 Zuwiderhandeln
Der ZID ist eine Organisationseinheit gemäß § 20 (4) UG 2002 in Verbindung mit dem Organisationsplan der Technischen Universität Graz (kundgemacht im Mitteilungsblatt Nr. 7a 2003/2004).
(1) Zur Koordinierung der Angelegenheiten der Informationstechnologie hat der ZID insbesondere folgende Funktionen wahrzunehmen:
Regelmäßige Bedarfserhebungen zur Erfassung des zukünftigen Informatik-Bedarfes der Technischen Universität;
Erstellen mittelfristiger Konzepte und Vorhabensplanungen für den Bereich der Informationstechnologie der Technischen Universität;
Koordination des Erwerbes aller Informatik-Einrichtungen der Technischen Universität;
(2) Die Planung, Schaffung und Sicherstellung einer leistungsfähigen Netz-, Kommunikations- und Rechnerinfrastruktur für die Informations- und Datenverarbeitung der Universitätseinrichtungen umfasst insbesondere folgende Informatik-Einrichtungen:
(3) Der ZID hat insbesondere folgende Dienste zu erfüllen:
Beratung der Universitätsangehörigen in allen Belangen der Informationstechnologie sowie Organisation und Abhaltung von Kursen, Schulungen und Präsentationen über die Benutzung von Informatik-Einrichtungen;
Erteilung von Benutzungsbewilligungen und Zuteilung von Informatikressourcen.
(1) Benutzerinnen und Benutzer sind Universitätseinrichtungen und Universitätsangehörige, soweit sie Informatik-Einrichtungen und Dienste des ZID verwenden, sowie jene Personen und Einrichtungen außerhalb der Technischen Universität Graz, mit denen ein Benutzungsverhältnis über Informatik-Einrichtungen oder Dienste auf Grund gesetzlicher Bestimmungen oder gesonderter Vereinbarungen besteht.
(2) Angehörige der Technischen Universität Graz gemäß § 94 UG 2002 haben zur Erfüllung ihrer Aufgaben gemäß § 1 und 3 UG 2002 Anspruch auf die Benutzung der Informatik-Einrichtungen und die Dienste des ZID.
(3) Nach Maßgabe vorhandener Kapazität sowie der getroffenen Vereinbarungen können auch andere Universitäten, Hochschulen, Ministerien und die Akademie der Wissenschaften sowie deren Einrichtungen Informatik-Einrichtungen und Dienste des ZID in Anspruch nehmen.
(4) Weiters kann zum Zwecke der Bildung, Wissenschaft und Kultur sonstigen Personen und Einrichtungen außerhalb der Technischen Universität Graz die Benutzung von Informatik-Einrichtungen und Dienste des ZID nach Maßgabe vorhandener Kapazität und Vereinbarung gestattet werden
(1) Alle Benutzerinnen und Benutzer von Informatik-Einrichtungen des ZID bedürfen einer vom ZID erteilten Benutzungsbewilligung, die generell für bestimmte Benutzergruppen oder auf schriftliche Anmeldung für abgrenzbare Projekte erteilt wird. Ressourcenbedarf in einem besonders qualitativen oder quantitativen Ausmaß ist ausführlich zu begründen.
(2) Die Benutzungsbewilligung endet mit Abschluß des entsprechenden Projektes, durch Beendigung der Universitätszugehörigkeit, durch Abmeldung oder Entzug der Benutzungsbewilligung oder durch Ruhen der Nutzung von Services über einen Zeitraum von mindestens einem Jahr.
Mit Ende der Benutzungsbewilligung werden alle gespeicherten Daten der Benutzerin oder des Benutzers gelöscht. Die Benutzerin oder der Benutzer ist in geeigneter Weise vor der beabsichtigten Löschung zu benachrichtigen.
(3) Spezielle Informatik-Einrichtungen können im Rahmen der Benutzungsbewilligung entlehnt werden. Entlehnfristen und entsprechende Benutzungsregelungen sind gemäß § 12 zu veröffentlichen.
(1) Die Benutzerinnen und Benutzer und die Bediensteten des ZID sind zur Einhaltung der Bestimmungen dieser Betriebs- und Benutzungsordnung und der gemäß § 12 veröffentlichten ergänzenden Richtlinien und Benutzungsregelungen verpflichtet. Dienstverrichtungen zum Zweck der Sicherheit und des Datenschutzes haben Vorrang vor anderen Aufgaben.
(2) Die Benutzerinnen und Benutzer sind berechtigt, nach Maßgabe der vorhandenen und ihnen zugeteilten Ressourcen unter Berücksichtigung der Wirtschaftlichkeit, Sparsamkeit und Zweckmäßigkeit alle für die Bearbeitung ihrer Probleme notwendigen Informatik-Einrichtungen und sonstigen Betriebsmittel des ZID in Anspruch zu nehmen.
(3) Die Benutzerin oder der Benutzer trägt die volle Verantwortung für die Verwendung der Benutzungsbewilligung. Eine Weitergabe an andere Personen ist nicht zulässig.
Passwörter sind grundsätzlich geheim zu halten und öfters abzuändern.
(4) Bei Beschädigungen besteht Schadenersatzpflicht gemäß den einschlägigen gesetzlichen Bestimmungen.
(5) Werden Kopien von Programmen und Daten, die der ZID den Benutzerinnen und Benutzern zur Verfügung stellt, widerrechtlich angefertigt, haftet die Benutzerin oder der Benutzer gegenüber dem Lizenzgeber oder Eigentümer. Die Bestimmungen des Urheberrechtsgesetzes und der Lizenzgeber sind in allen Fällen zu beachten.
(6) Die Benutzerinnen und Benutzer haben die ZID-Einrichtungen jeweils so zu hinterlassen, dass danach eine weitere ordnungsgemäße Benutzung durch andere möglich ist.
(7) Die Benutzerin oder der Benutzer erklärt sich bereit, den ZID und Organisationen, die mit dem ZID zusammenarbeiten, bei der Untersuchung von unzulässigen Verwendungen oder Schäden von Informatik-Einrichtungen des ZID zu unterstützen.
(8) Beim Anschluss von Informatik-Einrichtungen an die zentrale Kommunikationsinfrastruktur durch die Benutzerin oder den Benutzer sind die technischen Spezifikationen und Vorgaben des ZID zu erfüllen.
(9) Die Öffnung des Netzwerkzuganges für andere als die in § 3 genannten Benutzerinnen und Benutzer („Dritte“) ist nicht gestattet. Eine Nutzung des Netzwerkes durch Dritte liegt im Allgemeinen dann vor, wenn diese über die vom ZID bereitgestellten Informatik-Einrichtungen nationale und internationale Netzwerke und Netzdienste erreichen, bzw. wenn auf Informatik-Einrichtungen der Universität Informationsdienste für Dritte betrieben werden.
(10) Wenn der ZID auf strafbare Inhalte von Datenbeständen stößt oder von dritter Seite aufmerksam gemacht wird, hat er diese Datenbestände zu löschen oder den Zugang dazu zu sperren und den Rektor oder die Rektorin über den Sachverhalt zu informieren.
(11) Der ZID hat die Benutzerinnen und Benutzer regelmäßig zu informieren. Abweichungen vom Normalbetrieb (wie z. B. Abschaltungen, Umstellungen) sind den Benutzerinnen und Benutzern möglichst frühzeitig mitzuteilen.
Der ZID kann Informatik-Einrichtungen einer Benutzerin oder einem Benutzer im Rahmen der gesetzlichen Bestimmungen vorübergehend zur Verwaltung übertragen. Der ZID kann Informatik-Einrichtungen von Benutzerinnen und Benutzern auf deren Antrag im Rahmen der gesetzlichen Bestimmungen zur Verwaltung übernehmen. Voraussetzung für eine Verwaltungsübertragung ist die Gewährleistung der Erfüllung der Aufgaben des ZID. Die Übernahme bedarf der Schriftform und hat die genaue Gerätebezeichnung, den Aufstellungsort, den Umfang der Betreuung und die Dauer der Übernahme zu enthalten.
(1) Der ZID stellt, nach Maßgabe der hierzu auf Grund von Prognosen und Kapazitätsvoranmeldungen bereitgestellten Mitteln, die zur Abdeckung der Benutzererfordernisse notwendigen Ressourcen zur Verfügung.
(2) Der ZID teilt Ressourcen durch die Festlegung von Maximalwerten in Bezug auf mögliche Engpässe der Informatik-Einrichtungen (wie z. B. CPU Auslastung, Massenspeicher, Bandbreite bei Netzwerkanschlüssen) zu.
Reicht die verfügbare Kapazität nicht aus oder treten störungsbedingte Ressourcenengpässe auf, so hat der ZID die gesetzlich vorgeschriebenen termingebundenen Arbeiten vorrangig zu unterstützen.
(1) Die Informatik-Einrichtungen und Betriebsmittel werden vom ZID nach Maßgabe der von der Rektorin oder vom Rektor bewilligten Budgetmittel zur Verfügung gestellt.
(2) Für die in § 3 Abs. 2 genannten Benutzerinnen und Benutzer besteht im Allgemeinen keine Zahlungsverpflichtung. Der ZID kann jedoch für bestimmte Dienstleistungen ein kostendeckendes Entgelt verrechnen. Die Höhe der Kostenersätze ist in geeigneter Form bekannt zu machen. Die Verrechnung erfolgt innerbetrieblich auf die jeweiligen Kostenstellen des ZID.
(3) Werden Informatik-Einrichtungen und Dienste des ZID von Benutzerinnen und Benutzern gemäß § 3 Abs. 3ff beansprucht, sind dafür Kostenersätze gemäß den gesetzlichen Bestimmungen und Kapitel VI der Satzung der Technischen Universität Graz einzufordern.
(1) Die Benutzerinnen und Benutzer des ZID haben Zugang zu den Serviceräumen des ZID, nicht jedoch zu den Sicherheitszonen.
(2) Das Entfernen aus oder Einbringen/Aufstellen von Informatik-Einrichtungen in den Serviceräumen des ZID und aus öffentlichen Räumlichkeiten der Technischen Universität Graz (z. B. Hörsäle, Verkehrsflächen, …) sowie jegliche technische Manipulationen an den bereitgestellten Informatik-Einrichtungen dürfen nur vom Personal des ZID oder von den vom ZID hierzu autorisierten Personen vorgenommen werden.
(3) Die Öffnungs- und Betriebszeiten sind in geeigneter Weise bekannt zu machen.
(1) Die Verantwortung für die Datensicherung - insbesondere die Sicherung von Programmen und Daten der Benutzerinnen und Benutzer - gegen Verlust bzw. Zerstörung bei der Verarbeitung oder Speicherung von Daten, obliegt der jeweiligen Benutzerin oder dem jeweiligen Benutzer der Informatik-Einrichtungen selbst.
(2) Der ZID führt in periodischen Abständen Datensicherungsläufe der auf seinen zentralen Servern gespeicherten Daten durch. Diese Form der Datensicherung beinhaltet, dass nach aufgetretenen Fehlern die Informationen (Dateien) von den Sicherungsbeständen des ZID rekonstruiert werden können. Darüber hinausgehende Sicherungen und Archivierungen sind von den Benutzerinnen und Benutzern selbst in eigener Verantwortung durchzuführen. Eine Information über die Frequenz der Sicherung und die Dauer der Aufbewahrung dieser Sicherheitsbestände an die Benutzerinnen und Benutzer erfolgt in geeigneter Form.
(3) Für Projekte, die eine erhöhte Datensicherheit erfordern, kann der Auftraggeber mit dem ZID besondere Regelungen zur Datensicherung vereinbaren. Dies gilt insbesondere für die Datensicherung und Archivierung zentraler Datenbanken und Datenbestände der zentralen Verwaltung und sonstiger Dienstleistungseinrichtungen.
(1) Für die automationsunterstützte Verarbeitung von personenbezogenen Daten haben Auftraggeber, Dienstleister sowie Benutzerinnen und Benutzer im Rahmen ihrer Projektverantwortlichkeit für die Erfüllung des Datenschutzes zu sorgen und die Bestimmungen der Datenschutzverordnung der Technischen Universität Graz einzuhalten.
(2) Zentrale Datenbankserver, auf denen personenbezogene Daten verarbeitet werden, sind innerhalb der Sicherheitszone des ZID aufzustellen und gegen missbräuchlichen Zugriff zu schützen. Hierzu zählt insbesondere die Einrichtung einer „Firewall“ gegenüber Zugriffen im Wege der Kommunikationseinrichtungen der Universität.
(3) Jede Art der Datensicherung von personenbezogenen Daten ist schriftlich zu protokollieren, die Datenträger sind grundsätzlich innerhalb der Sicherheitszone des ZID aufzubewahren.
(4) Zum Zwecke der Datensicherung gegen Katastrophenfälle oder der Archivierung können Datenträger auch außerhalb der Sicherheitszonen in sowohl baulich als auch technisch gesicherten Bereichen gelagert werden.
(5) Grundsätzlich werden Informationen und Daten, soweit sie für die Hardware- oder Software-Wartung überhaupt notwendig sind, nur im Verantwortungsbereich des ZID ausgewertet. Ist eine Überlassung an eine Wartungsfirma unbedingt notwendig, so ist mit dieser eine Geheimhaltungsverpflichtung zu vereinbaren. Die Benutzerinnen und Benutzer erklären sich damit einverstanden, dass eine Weitergabe von Daten unter den oben angeführten Bedingungen erfolgen darf.
(6) Zu den Sicherheitszonen des ZID haben lediglich das Personal des ZID sowie das vom ZID autorisierte Wartungspersonal, für das ein entsprechendes Protokoll zu führen ist, Zutritt.
Einschlägige Benutzungsregelungen für spezielle Informatik-Einrichtungen des ZID (z. B. Datennetzinfrastruktur, IT-Lernzentren, Telefonanlage, AV-Einrichtungen, Leihgeräte, …) sowie spezielle Richtlinien für Dienstleistungen des ZID und für Datensicherheitsmaßnahmen werden nach Vorschlag der Leiterin oder des Leiters des ZID von der Rektorin oder vom Rektor im Mitteilungsblatt der Technischen Universität Graz veröffentlicht.
(1) Benutzerinnen und Benutzern, die die zugeteilten Ressourcen für andere als die in der Benutzungsanmeldung beschriebenen Aufgaben verwenden oder die eine projektfremde Verwendung verursachen oder die die Betriebs- und Benutzungsordnung bzw. die gemäß § 12 erlassenen ergänzenden Richtlinien und Benutzungsregelungen verletzen, kann unbeschadet dienst- und strafrechtlichen Konsequenzen die Benutzungsbewilligung durch den Leiter oder der Leiterin des ZID befristet entzogen werden. Dies kann auch dann erfolgen, wenn eine Benutzerin oder ein Benutzer Informatik-Ressourcen in einer den Gesamtbetrieb störenden Weise in Anspruch nimmt bzw. Betriebsmittel nicht nach den Grundsätzen der Wirtschaftlichkeit, Sparsamkeit und Zweckmäßigkeit verwendet.
(2) Über Einsprüche gegen die Beschränkung, Verweigerung oder Entziehung der Benutzungsbewilligung entscheidet die Rektorin oder der Rektor nach Anhörung der Leiterin oder des Leiters des ZID.

References: § 3

§ 4

§ 6

§ 7

§ 8

§ 9

§ 11

§ 12

§ 13
 § 20
 § 94
 § 1
 § 12
 § 12
 § 3
 § 3
 § 3
 § 12