153.320 - Verordnung über die Informationssicherheit (ISV)   Informationssicherheit: Verordnung 153.320  Verordnung über die Informationssicherheit (ISV)  Vom 13. Dezember 2016 (Stand 18. Dezember 2016)  Der Regierungsrat des Kantons Basel-Stadt,  gestützt auf das Gesetz betreffend die Organisation des Regierungsrates und der Verwaltung des   Kantons Basel-Stadt (Organisationsgesetz, OG) vom 22. April 1976 1) und das Gesetz über die In- formation und den Datenschutz (Informations- und Datenschutzgesetz, IDG) vom 9. Juni 2010 2), unter  Verweis auf seine Erläuterungen Nr.     P161893  ,  beschliesst:  Kapitel I: Allgemeine Bestimmungen  §  1 Gegenstand und Zweck 1 Diese Verordnung regelt die Informationssicherheit im Kanton Basel-Stadt. 2 Die Informationssicherheit bezweckt die Gewährleistung der Vertraulichkeit, der Integrität und der   Verfügbarkeit  von  Informationen  sowie  die  Zurechenbarkeit  und  Nachvollziehbarkeit  von  diese  betreffende Handlungen oder Abläufen durch angemessene Massnahmen.  §  2 Geltungsbereich 1 Diese Verordnung gilt für die Organisationseinheiten des Kantons im Sinne von § 3 Abs. 1 lit. a IDG  mit Ausnahme der Gerichte.  Kapitel II: Zuständigkeiten und Aufgaben  1. Strategische Ebene  §  3 Regierungsrat 1 Der Regierungsrat trägt die Gesamtverantwortung für die Informationssicherheit. 2 Er legt die Informationssicherheitsstrategie fest und steuert mit einem Informationssicherheits-Mana- gement-System die Umsetzung der Informationssicherheitsstrategie und stellt deren zeitgerechte An- passung an veränderte Verhältnisse sicher.  §  4 Steuerungsorgan für Informationssicherheit 1 Das Steuerungsorgan für Informationssicherheit steht dem Regierungsrat als beratendes Gremium zur  Seite und stellt die Anträge zur Anpassung der Informationssicherheitsstrategie. Die oder der Vorsit- zende des Steuerungsorgans für Informationssicherheit erstattet dem Regierungsrat einmal jährlich Be- richt über die Erreichung der Ziele der Strategie in den Departementen. 2 Das Steuerungsorgan für Informationssicherheit erlässt Weisungen und kontrolliert deren Einhaltung  über eine jährliche Berichterstattung durch die kantonale Beauftragte oder den kantonalen Beauftrag- ten für Informationssicherheit (ISB). 3 Es entscheidet abschliessend über Ausnahmen von Informationssicherheitsmassnahmen.  1) SG 153.100. 2) SG 153.260.  1  https://www.gesetzessammlung.bs.ch/data/153.100/de http://www.regierungsrat.bs.ch/geschaefte/regierungsratsbeschluesse.html?previousAction1=geschaeft&previousAction2=search&previousAction3=&previousAction4=&action=download&dokumentId=459bbf0345ab49f780cfc62545d45465-332&dokumentVersion=1&dokumentAnsicht=Dokument&bis=&geschaeftId=c6d8eb82bb3d47f6ae38278b34995776&jahr=&monat=&praesidialNr=P161893&searchTerm=&sitzungId=&sort=&von= https://www.gesetzessammlung.bs.ch/data/153.260/de   Informationssicherheit: Verordnung 153.320  2. Taktische Ebene  §  5 Die oder der kantonale Beauftragte für Informationssicherheit (ISB) 1 Die oder der ISB führt die zentrale Fachstelle für Informationssicherheit und hat folgende Aufgaben:  a) die Erarbeitung der Informationssicherheitsstrategie unter Berücksichtigung der kantona- len Informatikstrategie;  b) die Erstellung eines jährlichen Berichts über die Informationssicherheit zu Handen des  Steuerungsorgans für Informationssicherheit;  c) die Erhebung der gesamtkantonalen Informationssicherheitsrisiken auf Basis anerkannter  Methoden;  d) die Überprüfung der von der Dateneignerin oder dem Dateneigner erhobenen Schutzbe- darfs- und Risikoanalysen und die Empfehlung von risikomindernden Massnahmen;  e) die Erstellung und Aktualisierung eines Verzeichnisses über die vorhandenen Informati- onsbestände  und  Informations-  und  Kommunikations-Anwendungen  (IKT-Anwendun- gen) inkl. Auflistung der jeweils verantwortlichen Dateneignerin oder des verantwortli- chen Dateneigners, der Schutzstufe sowie die Führung eines Risiko- und Ausnahmenre- gisters;  f) die Leitung der Kommission Informationssicherheit; g) die Unterstützung des Steuerungsorgans für Informationssicherheit und der Departemente   bei der Wahrnehmung ihrer Aufgaben zur Einhaltung der Informationssicherheit; h) die Durchführung von Informationssicherheitsprüfungen in den Departementen in Ab-  sprache mit dem zentralen Leistungserbringer; i) die erstinstanzliche Entscheidung über Ausnahmebewilligungen von Informationssicher-  heitsmassnahmen - die Bewilligungen sind zeitlich zu befristen; j) die Ausarbeitung von Ausführungsbestimmungen zur Umsetzung der Informationssicher-  heitsstrategie.  §  6 Kommission Informationssicherheit 1 Die Kommission Informationssicherheit unterstützt das Steuerungsorgan für Informationssicherheit   und die oder den ISB bei der Wahrnehmung der ihnen übertragenen taktischen Aufgaben. 2 Sie  koordiniert  die  Tätigkeiten  der  departementalen  Beauftragten  für  Informationssicherheit  (ISBD) und entwickelt Sensibilisierungskampagnen zuhanden des Steuerungsorgans für Informations- sicherheit.  3. Operative Ebene  §  7 Departemente 1 Die Departemente gewährleisten die operative Umsetzung der Informationssicherheitsstrategie mit  angemessenen Massnahmen und dem Informationssicherheits-Management-System sowie eine jährli- che Berichterstattung an die oder den ISB. 2 Jedes Departement bezeichnet eine oder einen ISBD, die oder der die Departemente bei der Umset- zung der Massnahmen und der Berichterstattung gemäss Abs. 1 unterstützt.  3 Die Aufgaben der Departemente umfassen insbesondere:  a) die Bereitstellung der finanziellen und personellen Ressourcen zur Umsetzung der In- formationssicherheitsmassnahmen;  b) die Erstellung eines Verzeichnisses über die vorhandenen Informationsbestände und IKT- Anwendungen, deren Schutzstufen inkl. Bezeichnung der verantwortlichen Dateneignerin  oder des verantwortlichen Dateneigners sowie eines Risikoregisters;  c) die regelmässige Aktualisierung des Verzeichnisses gemäss Bst. b und Meldung der Ver- änderungen an die oder den ISBD.  2    Informationssicherheit: Verordnung 153.320  §  8 Dateneignerin oder Dateneigner 1 Die Verantwortung für den Umgang mit Informationen trägt dasjenige öffentliche Organ, das die In- formationen zur Erfüllung seiner gesetzlichen Aufgaben bearbeitet. Dieses ist insbesondere zuständig  für die Ermittlung des Schutzbedarfs der vorhandenen Informationsbestände und IKT-Anwendungen  nach den Schutzzielen gemäss § 8 Abs. 2 IDG. Ergibt eine entsprechende Ermittlung einen über den  Grundschutz hinausgehenden Schutzbedarf, ist eine Risikoanalyse inkl. Massnahmenplan zur Risiko- senkung durchzuführen. 2 Der Massnahmenplan ist jährlich auf seine Zweckmässigkeit und Aktualität zu überprüfen und muss  als Teil des Grundschutzes mindestens Regelungen zu den folgenden Punkten enthalten:  a) das Erstellen und Verwalten eines Zugriffs- und Berechtigungskonzepts; b) die Datenaufbewahrung und -löschung unter Einhaltung der Archivierungsvorschriften; c) den sicheren Informationsaustausch mit Dritten; d) den Einbezug der Mitarbeitenden in den Sicherheitsprozess und e) die Dokumentation von bewilligten und abgelehnten Ausnahmen von Informationssicher-  heitsmassnahmen sowie des Risikoregisters. 3 Die Dateneignerin oder der Dateneigner berichtet über die Umsetzung von Informationssicherheits- massnahmen im Rahmen der jährlichen departementalen Berichterstattung.  §  9 Die oder der departementale Beauftragte für Informationssicherheit (ISBD) 1 Die oder der ISBD:  a) ist Ansprechpartnerin oder Ansprechpartner für die oder den ISB und die Datenschutzbe- auftragte oder den Datenschutzbeauftragten;  b) führt  und aktualisiert  ein Risikoregister  auf Ebene Departement und dokumentiert  die  Ausnahmebewilligungen;  c) prüft die Umsetzung der organisatorischen und technischen Sicherheitsmassnahmen; d) empfiehlt Sicherheitsmassnahmen zur Umsetzung; e) ist die zentrale Anlaufstelle für Sicherheitsfragen im Bereich der IKT-Anwendungen; f) unterstützt die Departementsführung bei der Erstellung der organisatorischen Sicherheits-  vorgaben; g) unterstützt die Dateneignerin oder den Dateneigner, dass die Informationen im Departe-  ment durch angemessene organisatorische und technische Massnahmen geschützt wer- den;  h) verwaltet die internen und externen Sicherheitsprüfungen; i) meldet technische Informationssicherheitslücken der oder dem ISB; j) vertritt das Departement in der Kommission Informationssicherheit; k) organisiert  Informationsveranstaltungen  zur  Informationssicherheit  auf  Stufe  Departe-  ment.  §  10 Der zentrale Leistungserbringer 1 Der zentrale Leistungserbringer ist für die Entwicklung, Beschaffung, Bereitstellung, den Unterhalt   von IKT-Anwendungen sowie die Einhaltung und Umsetzung der Vorgaben im Bereich der Informati- onssicherheit zuständig, welche die Departemente unter Einhaltung der datenschutz- und informati- onssicherheitsrechtlichen Vorgaben zur Erfüllung ihrer gesetzlichen Aufgaben benötigen, soweit diese  Anwendungen nicht dezentral beschafft werden. 2 Werden die IKT-Anwendungen von Dritten bezogen, ist sicherzustellen, dass diese die Vorgaben ge- mäss Abs. 1 einhalten. 3 Der zentrale Leistungserbringer erstellt den entsprechenden Bericht gemäss § 7 Abs. 1. 4 Die oder der Informationssicherheitsbeauftragte des zentralen Leistungserbringers (ISBZ) übernimmt  bei diesem die Funktionen der oder des ISBD.  3    Informationssicherheit: Verordnung 153.320  5 Der zentrale Leistungserbringer ist befugt, Dienstleistungen Dritten ausserhalb des Geltungsbereichs  gemäss § 2 zu erbringen, wenn diese sich verpflichten, mindestens die kantonalen Sicherheitsvorgaben  zu gewährleisten. Der zentrale Leistungserbringer ist befugt, entsprechende Kontrollen vorzunehmen  oder zu delegieren.  Schlussbestimmung    Diese Verordnung ist zu publizieren. Sie wird sofort wirksam. Auf den gleichen Zeitpunkt wird die   Verordnung zur Informatiksicherheit (ISV) vom 9. April 2002 aufgehoben. Die Änderung der Verord- nung über das Informatiksystem der Staatsanwaltschaft wird am 1. Februar 2017 wirksam.  4   	Kapitel I: Allgemeine Bestimmungen 	§ 1 Gegenstand und Zweck 	§ 2 Geltungsbereich  	Kapitel II: Zuständigkeiten und Aufgaben 	1. Strategische Ebene 	§ 3 Regierungsrat 	§ 4 Steuerungsorgan für Informationssicherheit  	2. Taktische Ebene 	§ 5 Die oder der kantonale Beauftragte für Informationssicherheit (ISB) 	§ 6 Kommission Informationssicherheit  	3. Operative Ebene 	§ 7 Departemente 	§ 8 Dateneignerin oder Dateneigner 	§ 9 Die oder der departementale Beauftragte für Informationssicherheit (ISBD) 	§ 10 Der zentrale Leistungserbringer