Direktionsverordnung über Informationssicherheit und Datenschutz (ISDS DV)   1  152.040.2  Direktionsverordnung über Informationssicherheit und Datenschutz (ISDS DV)  vom 03.01.2011 (Stand 01.04.2011)  Die Finanzdirektion des Kantons Bern,  gestützt  auf  Artikel  38  des  Datenschutzgesetzes  vom  19.  Februar  1986 (KDSG1))  und  Artikel  9  der  Datenschutzverordnung  vom  22.  Oktober  2008 (DSV2))  beschliesst:  1 Allgemeine Bestimmungen  Art.  1 Gegenstand 1 Diese Verordnung regelt die Grundsätze und das Verfahren zur Umsetzung von Informationssicherheit und Datenschutz (ISDS) beim Einsatz von Informati- ons- und Telekommunikationstechnologie (ICT) durch die Kantonsverwaltung.  Art.  2 Geltungsbereich 1 Diese Verordnung gilt für Projekte, Anwendungen und Komponenten der ICT. 2 Sie gilt für die ganze Kantonsverwaltung. 3 Bei der Gewährung von Abgeltungen im Sinne des Staatsbeitragsgesetzes vom 16. September 1992 (StBG 3)) für ICT-Projekte, deren Datenbearbeitungen dem KDSG unterstehen, haben die Gesuchstellerinnen und Gesuchsteller ent- weder die materiellen Bestimmungen dieser Verordnung (Art. 5 und die fachli- chen Weisungen gemäss Art. 12) oder die Bestimmungen eines ausgewiese- nen, anerkannten und gleichwertigen ISDS-Standards einzuhalten.  Art.  3 Verantwortlichkeiten 1 Verantwortlich für ISDS sind diejenigen Stellen, die Daten, insbesondere Per- sonendaten, zur Erfüllung ihrer gesetzlichen Aufgaben bearbeiten oder durch Dritte bearbeiten lassen (verantwortliche Stellen).  1) BSG 152.04 2) BSG 152.040.1 3) BSG 641.1  * Änderungstabellen am Schluss des Erlasses  11-12      152.040.2  2  2 Bearbeiten mehrere Stellen Daten gemeinsam, so ist schriftlich festzulegen, welche Stelle für ISDS die Hauptverantwortung trägt.  Art.  4 Pflichten der verantwortlichen Stelle 1 Die verantwortliche Stelle sorgt dafür, dass bei allen ICT-Anwendungen, mit denen Personendaten bearbeitet  werden, die gesetzlichen und vertraglichen Datenschutzvorschriften eingehalten werden und dass bei der Bearbeitung von Daten die Informationssicherheit in angemessener Weise gewährleistet ist.  2 ISDS bei der Abwicklung von ICT-Projekten  Art.  5 ISDS-Analyse und ISDS-Konzept 1 Bei  jedem  ICT-Projekt  bestimmt  der  Projektausschuss  im  Rahmen  der Projektorganisation  eine ISDS-Verantwortliche  oder  einen ISDS-Verantwortli- chen. 2 Die verantwortliche Stelle beurteilt in der Phase Voranalyse mit einer ISDS- Analyse die datenschutzrechtliche Konformität  des Vorhabens und bestimmt mit einer Schutzbedarfsklassifizierung, ob bei dem Projekt erhöhte ISDS-Anfor- derungen bestehen. 3 Erhöhte ISDS-Anforderungen bestehen insbesondere, wenn  a der Wiederbeschaffungswert der Infrastruktur hoch ist, b ein Ausfall der ICT-Systeme von mehr als einem Arbeitstag gravierende  Folgen für die Auftragserfüllung hat, c eine Wiederherstellung der Daten mit erheblichen Problemen oder Kosten  verbunden ist, d die bearbeiteten Daten besonderen gesetzlichen oder vertraglichen Ge-  heimhaltungsvorschriften unterliegen (z.B. dem Berufsgeheimnis) oder e eine Datenschutzverletzung für die Betroffenen spürbar nachteilige Folgen  hat, was in der Regel bei der Bearbeitung von besonders schützenswer- ten Personendaten der Fall ist.  4 Ergibt die ISDS-Analyse, dass keine erhöhten ISDS-Anforderungen bestehen, sorgt die verantwortliche Stelle dafür, dass auf den Zeitpunkt der Inbetriebnah- me der ICT-Anwendung die massgeblichen Datenschutzvorgaben eingehalten werden und die Informationssicherheit  mindestens durch die Umsetzung der ISDS-Grundschutzmassnahmen gewährleistet ist.       3  152.040.2  5 Ergibt  die  ISDS-Analyse,  dass  erhöhte  ISDS-Anforderungen  bestehen,  ist spätestens in der Phase Konzept ein ISDS-Konzept zu erstellen. Im Rahmen dieses Konzepts sind auf der Grundlage einer Risikoanalyse  a die nach Umsetzung der ISDS-Grundschutzmassnahmen für eine ange- messene Informationssicherheit  und einen angemessenen Datenschutz zusätzlich erforderlichen organisatorischen und technischen Massnahmen zu bestimmen sowie  b die Voraussetzungen dafür zu schaffen, dass diese auf den Zeitpunkt der Inbetriebnahme der ICT-Anwendung umgesetzt werden.  Art.  6 Unterlagen für die Bewilligung von ICT-Projekten und der entspre- chenden Ausgaben  1 Anträge auf Kreditbewilligungen und Unterlagen zur Vorabkontrolle von Da- tenbearbeitungen (Art. 17a KDSG) enthalten die erarbeiteten ISDS-Unterlagen. Diese sind von der oder dem ISDS-Verantwortlichen des Projekts zu visieren. 2 Bestehen bei einem Vorhaben erhöhte ISDS-Anforderungen, enthält der An- trag auf Kreditbewilligung eine Stellungnahme der kantonalen Datenschutzauf- sichtsstelle, die beurteilt, ob das KDSG und die anderen ISDS-Bestimmungen eingehalten werden (Vorabkontrollbericht). 3 ISDS-Unterlagen, die der kantonalen Datenschutzaufsichtsstelle zur Stellung- nahme unterbreitet werden, sind gleichzeitig auch dem Informationssicherheits- beauftragten des Kantons (IT-SIBE) (Art. 10) zuzustellen. 4 Bei  der  Gewährung  von  Abgeltungen  an  mit  ISDS-Auflagen  versehene Projekte, für die ein anderer ISDS-Standard gewählt wurde (Art. 2 Abs. 3), tre- ten die nach Massgabe des gewählten ISDS-Standards erforderlichen Doku- mente an die Stelle von ISDS-Analyse und -Konzept. In diesem Fall finden Ab- satz 2 und 3 unabhängig davon Anwendung, ob bei dem Vorhaben erhöhte ISDS-Anforderungen bestehen oder nicht, und auf Anfrage hin sind auch die Unterlagen, die den gewählten ISDS-Standard selbst definieren, zuzustellen.  Art.  7 Konsequenzen bei Nichteinhalten 1 Fehlen die ISDS-Analyse bzw. ein aktuelles ISDS-Konzept oder ergibt sich aus den Abklärungen, dass das Projekt nicht datenschutzkonform oder die In- formationssicherheit nicht gewährleistet ist, so erteilt der Auftraggeber die Frei- gabe der weiterführenden Projektierungsphase nur unter der Bedingung der Behebung der Mängel, und der Betrieb darf nicht vor der Mängelbehebung auf- genommen werden.       152.040.2  4  2 Die Informationssicherheit  ist  insbesondere dann nicht  gewährleistet,  wenn bei der Inbetriebnahme der ICT-Anwendung noch als hoch bewertete Sicher- heitsrisiken bestehen.  3 ISDS bei bestehenden ICT-Anwendungen  Art.  8 1 Für die ICT-Anwendungen, die nicht bereits im Projektstadium Gegenstand einer ISDS-Analyse waren, ist eine solche zu erstellen. 2 Für die Anwendungen, bei denen sich auf Grund der Schutzbedarfsklassifizie- rung ein erhöhter Schutzbedarf ergibt, ist ein ISDS-Konzept zu erstellen, das namentlich eine Risikoanalyse und eine verbindliche Massnahmenplanung zur Beseitigung hoher Risiken umfasst.  4 ISDS bei ICT-Komponenten  Art.  9 1 ICT-Komponenten sind die körperlichen oder unkörperlichen Teile der ICT- Infrastruktur, die zur elektronischen Datenbearbeitung durch Anwendungen die- nen, beispielsweise Geräte mit oder ohne eigene Bearbeitungsfunktionen, Pro- zesse oder Dienstleistungsangebote («services»). 2 Für  ICT-Komponenten,  deren Informationssicherheit  und Datenschutz nicht bereits Gegenstand des ISDS-Konzepts eines Projekts oder einer Anwendung sind, ist mindestens der ISDS-Grundschutz sicherzustellen. 3 Ergibt sich aus ISDS-Anforderungen an Projekte oder Anwendungen, für wel- che die ICT-Komponenten eingesetzt  werden, ein weitergehender Schutzbe- darf, nimmt die für das Projekt verantwortliche Stelle die entsprechenden Si- cherheits- und Schutzmassnahmen vor oder sorgt für deren Vornahme durch die für die ICT-Komponenten verantwortliche Stelle. 4 Die Umsetzung der Sicherheits- und Schutzmassnahmen wird in geeigneter Form  protokolliert.  Der  kantonalen  Datenschutzaufsichtsstelle  und  der  oder dem IT-SIBE ist auf Anfrage Einsicht in die Dokumentation zu gewähren.  5 Aufsicht und Ausführungsbestimmungen  Art.  10 Aufsicht 1 Die Aufsicht über die Einhaltung der Datenschutzvorgaben und die Gewähr- leistung der Informationssicherheit obliegt für die Bearbeitung von Personenda- ten der kantonalen Datenschutzaufsichtsstelle (Art. 34 KDSG).       5  152.040.2  2 Die kantonale Datenschutzaufsichtsstelle arbeitet mit der oder dem IT-SIBE zusammen und wird durch den oder die IT-SIBE bei ihrer Aufsicht unterstützt. 3 Der oder dem IT-SIBE obliegt die Aufsicht über die Gewährleistung der In- formationssicherheit bei Tätigkeiten, bei denen keine Personendaten bearbeitet werden. Sie oder er kann zur Mitarbeit in beratender Funktion in ICT-Projekten eingeladen werden. 4 ISDS-relevante Weisungen der Stellen, für die diese Verordnung gilt (Art. 2 Abs. 2), sind spätestens eine Woche vor ihrem Erlass der kantonalen Daten- schutzaufsichtsstelle und der oder dem IT-SIBE informationshalber zuzustellen. In ISDS-relevante Rechtsetzungsvorhaben sind die kantonale Datenschutzauf- sichtsstelle und die oder der IT-SIBE in geeigneter Weise einzubeziehen.  Art.  11 IT-SIVE 1 Die  Direktionen und die  Staatskanzlei  bezeichnen eine Informationssicher- heitsverantwortliche  oder  einen  Informationssicherheitsverantwortlichen  (IT- SIVE) als hauptsächliche Kontaktstelle der oder des IT-SIBE.  Art.  12 Weisungen des Amtes für Informatik und Organisation 1 Das Amt für Informatik und Organisation (KAIO) erlässt nach Konsultation der Direktionen, der Staatskanzlei und der kantonalen Datenschutzaufsichtsstelle und der kantonalen Informatikkonferenz (KIK) die erforderlichen Ausführungs- weisungen, namentlich über  a die bei ICT-Vorhaben durchzuführende ISDS-Analyse und Schutzbedarfs- klassifizierung,  b das bei ICT-Vorhaben zu erstellende ISDS-Konzept, c den zu beachtenden ISDS-Grundschutz, d allgemeine  ISDS-Geschäftsbedingungen des  Kantons  (AGB ISDS),  die  für ICT-Vorhaben verbindlich einzuhalten bzw. vorzugeben sind. 2 Die allgemeinen ISDS-Geschäftsbedingungen gemäss Absatz 1 Buchstabe d können vorsehen, dass vertragliche Regelungen die im Einzelfall gestützt auf Absatz 1 Buchstaben a bis c erarbeiteten ISDS-Grundlagen enthalten müssen. 3 Das KAIO stellt  geeignete Hilfsmittel  (Erläuterungen, Checklisten usw.)  zur Verfügung und sorgt für ein angemessenes Beratungs- und Schulungsangebot.  Art.  13 Inkrafttreten 1 Diese Verordnung tritt am 1. April 2011 in Kraft.       152.040.2  6  Bern, 3. Januar 2011 Die Finanzdirektorin:Simon       7  152.040.2  Änderungstabelle - nach Beschluss  Beschluss Inkrafttreten Element Änderung BAG-Fundstelle 03.01.2011 01.04.2011 Erlass Erstfassung 11-12       152.040.2  8  Änderungstabelle - nach Artikel  Element Beschluss Inkrafttreten Änderung BAG-Fundstelle Erlass 03.01.2011 01.04.2011 Erstfassung 11-12