Source: https://www.rehm-verlag.de/verwaltung/aktuelle-beitraege-zum-e-government/sicherheit-der-it-systeme-in-den-behoerden-anforderungen-umsetzungsmassnahmen-und-unterstuetzungsangebote/
Timestamp: 2019-12-10 11:05:13
Document Index: 316794194

Matched Legal Cases: ['Art. 11', 'Art. 8', 'Art. 19', 'Art. 11', 'Art. 11', 'Art. 32', 'Art. 32', 'Art. 11']

Sicherheit der IT-Systeme in den Behörden – Anforderungen, Umsetzungsmaßnahmen und Unterstützungsangebote | rehm. Beste Antwort
Sicherheit der IT-Systeme in den Behörden – Anforderungen, Umsetzungsmaßnahmen und Unterstützungsangebote
Newsletter September 2019: Die Gewährleistung der Sicherheit der informationstechnischen Systeme der Behörden ist und bleibt eine Herausforderung.
I. Überblick über die Gefährdungslage
So schätzt das Bundesamt für Sicherheit in der Informationstechnik die Gefährdungslage in seinem Bericht zur Lage der IT-Sicherheit in Deutschland 2018 als „weiterhin hoch“ ein und geht gleichzeitig davon aus, dass die Angriffe und Gefährdungen in einer zunehmend digitalisierten und vernetzten Welt weiter zunehmen werden (Bundesamt für Sicherheit in der Informationstechnik [Hrsg.], Die Lage der IT-Sicherheit in Deutschland 2018, September 2018, S. 91 f.).
Dies deckt sich auch mit den im April 2019 veröffentlichten Ergebnissen der sog. Cyber-Sicherheitsumfrage, an der 1.039 Unternehmen und weitere Institutionen (auch aus der öffentlichen Verwaltung) teilgenommen haben.
88 % der Befragungsteilnehmer sind der Auffassung, dass die Digitalisierung mit zusätzlichen Cyber-Risiken einhergehe und dass neben den sichtbaren Chancen auch die unsichtbaren Gefahren wachsen.
Daneben haben unter den befragten Organisationen 43 % der großen Unternehmen angegeben, 2018 von Cyber-Sicherheits-Vorfällen betroffen gewesen zu sein. Bei den kleinen und mittelständischen Unternehmen lag der Wert bei 26 % (Allianz für Cyber-Sicherheit [Hrsg.], Ergebnisse der Cyber-Sicherheits-Umfrage 2018, S. 7, S. 11):
Quelle: Allianz für Cyber-Sicherheit (Hrsg.), Ergebnisse der Cyber-Sicherheits-Umfrage 2018, S. 11.
Dabei ist zu berücksichtigen, dass in der Regel nur ein Teil der Angriffe auch erkannt wird; die Anzahl der tatsächlichen Angriffe dürfte daher höher sein. In der Hälfte der Fälle waren die Angreifer erfolgreich, d. h. sie konnten sich zum Beispiel Zugang zu IT-Systemen verschaffen, deren Funktionsweise beeinflussen oder Internet-Auftritte von Firmen manipulieren. 87 % der erfolgreichen Angriffe führten dabei zu Betriebsstörungen oder -ausfällen. Hinzu kamen häufig noch Kosten für die Aufklärung der Vorfälle und die Wiederherstellung der IT-Systeme (bei 65% der Betroffenen) sowie Reputationsschäden (bei 22 % der Betroffenen) – (Allianz für Cyber-Sicherheit [Hrsg.], Ergebnisse der Cyber-Sicherheits-Umfrage 2018, S. 11, 13).
II. Sicherheit informationstechnischer Systeme als Behördenaufgabe
Aufgrund dieser Gefährdungslage und weil die Sicherheit in der Informationstechnik eine unerlässliche Voraussetzung für gelingendes E-Government ist, enthält das Bayerische E-Government-Gesetz (BayEGovG) auch diesbezügliche Pflichten für die Behörden. Art. 11 Abs. 1 BayEGovG (bis 30.11.2017 waren diese Pflichten in Art. 8 Abs. 1 BayEGovG geregelt) verpflichtet die Behörden (u.a. staatliche Behörden, Landratsämter und Gemeinden) dazu, die Sicherheit ihrer informationstechnischen Systeme im Rahmen der Verhältnismäßigkeit sicherzustellen. Zur Umsetzung dieser Verpflichtung müssen die Behörden angemessene technische und organisatorische Maßnahmen treffen und die hierzu erforderlichen Informationssicherheitskonzepte erstellen; der Gesetzgeber sieht hierfür eine Umsetzungsfrist bis 1.1.2020 vor (Art. 19 Abs. 2 Satz 2 Nr. 3 BayEGovG).
Art. 11 Abs. 1 Satz 1 BayEGovG verpflichtet die Behörden dazu, die Sicherheit ihrer informationstechnischen Systeme im Rahmen der Verhältnismäßigkeit sicherzustellen. Die Gewährleistung der Informationssicherheit wird damit zugleich als öffentliche Aufgabe definiert.
Im Rahmen der Prüfung der Verhältnismäßigkeit sind insbesondere
III. Umzusetzende Maßnahmen – Informationssicherheitskonzepte
Die von den Behörden konkret umzusetzenden Maßnahmen ergeben sich aus Art. 11 Abs. 1 Satz 2 BayEGovG. Diese Vorschrift verpflichtet die Behörden dazu, angemessene technische und organisatorische Maßnahmen i. S. v. Art. 32 Datenschutz-Grundverordnung und Art. 32 BayDSG zu treffen und die hierzu erforderlichen Informationssicherheitskonzepte zu erstellen.
Die entsprechenden Verpflichtungen treten am 1.1.2020 in Kraft.
zu gewährleisten, dass,
IV. Informationssicherheits-Managementsysteme
Neben der Erstellung (und Fortschreibung) eines Informationssicherheitskonzepts können die Verpflichtungen aus Art. 11 Abs. 1 BayEGovG auch durch Implementierung eines Informationssicherheits-Managementsystems (ISMS) erfüllen.
Die nachfolgende Abbildung stellt die wesentlichen ISMS mit ihren jeweiligen Merkmalen kurz im Überblick dar:
VdS 10000 (vormals VdS 3473)
VdS Schaden-verhütung GmbH
Netzwerk Informations-sicherheit für den Mittelstand
Organisationen jeder Größen-ordnungen
Organisationen jeder Größen-ordnungen und öffentliche Verwaltung
Minimal verweisend
Minimalistisch abstrakt
Maximal detailliert (Überarbeitung 2017 Bausteine und Umsetzungs-hinweise)
Selektierte Bausteine und Maßnahmen
Umfassende Bausteine, Gefährdungen und Maßnahmen
Umfang des Maßnahmen-kataloges
ca. 18 Kapitel plus Anhang, ca. 100 Maßnahmen
ca. 400 Maßnahmen
ca. 150 Maßnahmen
ca. 1.100 Maßnahmen
Verweise auf andere Regelwerke
enthalten (ergänzend für höheren Schutzbedarf)
Verweise auf andere Regelwerke; konkret formulierte Maßnahmen Um-setzen
konkret formulierte Maßnahmen umsetzen
allgemeingültig formulierte Maßnahmen umsetzen
Auswahl konkret formulierte Maßnahmen umsetzen
ISO-Zertifizierung nach IT-Grundschutz
Bezug der Standards für Kommunen
ca. 300 EUR (ISO 27001+27002)
Quelle: Deutscher Landkreistag (Hrsg.), Handreichung zur Ausgestaltung der Informationssicherheitsleitlinie in Kommunalverwaltungen, März 2017, S. 9, mit eigenen Ergänzungen.
In der Praxis kommt dabei häufig das InformationsSIcherheitsmanagementSystems in 12 Schritten (ISIS12) zum Einsatz. Das Vorgehensmodell von ISIS12 ist daher nachfolgend kurz dargestellt:
Quelle: Bayerischer IT-Sicherheitscluster e.V.
V. Unterstützungsangebote des Freistaats Bayern
Das Staatsministeriums des Innern, für Sport und Integration unterstützt die Kommunen finanziell bei der Einführung eines ISMS, das die Mindestanforderungen an ein ISMS gemäß der jeweiligen Beschlusslage des IT-Planungsrates abdeckt sowie dessen Zertifizierung oder abschließende Prüfung der vollständigen Implementierung durch einen zugelassenen Auditor (Richtlinie zur Förderung der Informationssicherheit durch Implementierung eines Informationssicherheits-Managementsystems bei kommunalen Gebietskörperschaften vom 11.12.2018, AllMBl. S. 1229).
Förderfähig ist die Einführung des IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) und ISO/IEC 2700X. Die Förderung bezieht sich auch auf die Implementierung von ISIS12 als vom IT-Planungsrat als ausreichend anerkannte Basis, die aber auch für ein eventuell später gewünschtes Aufstocken zu BSI-Grundschutz oder ISO/IEC 2700X genutzt werden kann.
Das im Dezember 2017 ins Leben gerufene Landesamt für Sicherheit in der Informationstechnik (LSI) hat u.a. die Aufgabe, die Kommunen in Fragen der IT-Sicherheit zu beraten und aktiv zu unterstützen. Das LSI berät die Kommunen derzeit insbesondere zu folgenden Themen:
Managementsystemen für Informationssicherheit (ISMS)
Mit dem Siegel „Kommunale IT-Sicherheit“ bietet das LSI daneben gerade auch kleineren bayerischen Städten, Märkten und Gemeinden die Möglichkeit:
Die gesetzeskonforme Einführung eines Informationssicherheitskonzeptes zu belegen und nachzuweisen, dass das Informationssicherheitskonzept die wichtigsten Aspekte hinsichtlich der Grundwerte der Informationssicherheit adressiert - nach aktuellem Stand der Technik und Rechtslage.
Bürgern gegenüber den sicheren IKT-Einsatz darzustellen und über die Gültigkeitsdauer von zwei Jahren das Siegel zu verwenden.
Das Siegel ist auf die Bedürfnisse von kleineren Städten und Gemeinden ausgerichtet und ist unabhängig von einem ISMS-Standard. Das Siegel kann als Vorstufe zu einer Zertifizierung betrachtet werden.
Auch größeren Kommunen steht es grundsätzlich frei, das Siegel des LSI zu beantragen. Je größer die Kommune, desto mehr wird jedoch das Informationssicherheitskonzept der Organisationsgröße, der komplexeren Netzarchitektur und arbeitsteiligeren Prozessen Rechnung tragen müssen.