Microsoft Word - 174.102.docx    174.102   Schaffhauser Rechtsbuch 1997 1   Verordnung  betreffend Informatiksicherheit  (Informatiksicherheitsverordnung, ISV)   vom 2. Dezember 2014   Der Regierungsrat des Kantons Schaffhausen    beschliesst:   I. Grundsatz und Geltungsbereich   § 1  1 Diese Verordnung bezweckt eine geordnete, wirksame und wirt- schaftliche Informatik- und Informations-Sicherheit.   2 Die Verordnung bestimmt  a) das Verfahren, die Zuständigkeiten und Verantwortlichkeiten   zur Gewährleistung der Sicherheit von Daten und Informatio- nen, die mit Informatiksystemen und -anwendungen bearbeitet  werden,   b) die grundsätzlichen Sicherheitsanforderungen, die bei der Be- arbeitung von Daten oder Informationen mit Informatiksystemen  und -anwendungen einzuhalten sind.    § 2  Diese Verordnung gilt für:  a) die kantonale Verwaltung, die Justizbehörden und öffentlich-  rechtliche Anstalten,  b) für die Gemeinden und für alle öffentlich-rechtlichen Körper-  schaften im Kanton Schaffhausen, soweit sie gemeinsam mit  der kantonalen Verwaltung Informatiksysteme und - anwendungen betreiben, Daten oder Informationen austau- schen oder eigene Anwendungen bei der KSD betreiben las- sen,                                                               Amtsblatt 2014, S. 1759   Grundsatz    1/2015   Geltungsbereich     174.102 Informatiksicherheitsverordnung, ISV     2 Schaffhauser Rechtsbuch 1997   c) Dienststellen oder Verwaltungseinheiten, die Bundesrecht voll- ziehen oder Bundesaufgaben erfüllen und dafür eigene oder  fremde Informatiksysteme oder -anwendungen einsetzen, so- weit keine Sicherheitsanforderungen seitens des Bundes vor- handen sind.   II. Allgemeine Bestimmungen   § 3  1 Die folgenden Ausdrücke bedeuten:   a) Informatiksysteme: Geräte und Einrichtungen sowie die dazu-  gehörende Infrastruktur und Betriebssoftware, die zur elektroni- schen Bearbeitung oder zum elektronischen Austausch von Da- ten oder Informationen eingesetzt werden.    b) Informatikanwendungen: Programme, welche die Nutzung von  Informatiksystemen für die Erfüllung oder Unterstützung be- stimmter Aufgaben ermöglichen, einschliesslich der dabei bear- beiteten Daten.    c) Informationen: Informationen sind Ergebnisse von konkreten  Abfragen, welche aus Sach-, Finanz- oder Personendaten ge- wonnen werden.   d) Inhaber der Datensammlung: Jede Organisationseinheit der öf- fentlichen Verwaltung des Kantons, der Gemeinden oder ande- rer öffentlich-rechtlicher Körperschaften im Kanton Schaffhau- sen, welche im Rahmen einer gesetzlichen Grundlage die Be- arbeitung von Daten oder Informationen zu verantworten hat.   e) Betreiber zentraler Datenbanken: In der Regel der kantonale In- formatik-Servicedienstleister KSD, in Ausnahmefällen Dritt- betreiber oder der jeweilige Inhaber der Datensammlung, so- weit die Datenbank dezentral betrieben wird.    2 Ist aufgrund einer gesetzlichen Aufgabe nicht klar bestimmt oder  nicht bestimmbar, wer Inhaber einer Datensammlung oder Betrei- ber einer Datenbank ist, muss dies unter allen Beteiligten schriftlich  vereinbart und ein verantwortlicher Inhaber der Datensammlung  bezeichnet werden.    § 4  1 Der Inhaber einer Datensammlung und der Betreiber einer zentra- len Datenbank sind in ihren jeweiligen Aufgabenbereichen ver- pflichtet, Informatiksysteme, -anwendungen, Daten oder Informati- onen gegen Verlust und unerwünschte Einwirkungen zu sichern,  vor unbefugtem Zugriff und unbefugter Bearbeitung zu schützen,   Begriffe   Zuständigkeiten     Informatiksicherheitsverordnung, ISV 174.102     Schaffhauser Rechtsbuch 1997 3   die diesbezüglich notwendigen Notfallvorsorgemassnahmen si- cherzustellen und die Grundsätze dieser Verordnung gemeinsam  durchzusetzen.   2 Sofern die Gesetzgebung nichts anderes vorsieht, gelten für die  Ordnungsmässigkeit und Sicherheit im Umgang mit Informatiksys- temen, -anwendungen, Daten oder Informationen die anerkannten  internationalen und nationalen Standards für das Informatiksi- cherheits- und das Informationsmanagement.  3 Die KSD:  a) bewirtschaftet die Basisinfrastrukturen,  b) unterstützt alle dieser Verordnung unterstellten Organisations-  einheiten bei der Einrichtung und beim Betrieb einer sicheren  Informatik sowie bei der Umsetzung und Kontrolle der Sicher- heitsmassnahmen,    c) überwacht die Einhaltung der technischen Sicherheitsanforde- rungen,   d) ist Ansprechpartnerin für alle dieser Verordnung unterstellten  Organisationseinheiten in Fragen der Informatiksicherheit.    4 Der Inhaber einer Datensammlung und der Betreiber einer zentra- len Datenbank sind in ihrem Zuständigkeitsbereich in Bezug auf die  eingesetzten Informatiksysteme, -anwendungen, Daten oder Infor- mationen verantwortlich für:  a) die Bestimmung der Schutzziele,   b) die Klassifizierung nach den Schutzzielen,   c) die Erstellung eines Massnahmenplanes zur Erreichung der   Schutzziele und die Umsetzung der Sicherheitsanforderungen,  d) die Kontrolle des in ihrem Zuständigkeitsbereich liegenden In-  formatikbetriebes und der Informatiksicherheit.  5 Der Informatiksicherheitsbeauftragte (ISB) der KSD ist verantwort- lich für den Aufbau, die Implementierung, die Umsetzung und die  Anpassung der gesamten Sicherheitsgrundsätze für den Informa- tik- und Telekommunikationsbetrieb der KSD als zentrale IT- Servicedienstleisterin und gegenüber allen dieser Verordnung un- terstehenden Organisationseinheiten.   6 Der Fachausschuss der KSD ernennt ein Sicherheits-Gremium  (Security-Board), bestehend aus mindestens drei Personen, wovon  mindestens zwei Fachspezialisten, welche mit den Fragen der In- formatiksicherheit vertraut und erfahren sind. Dieses Gremium be- rät den ISB, ist Kontrollorgan über die Tätigkeiten des ISB und Es- kalationsstelle im Sinne von § 16 Abs. 1 dieser Verordnung.    1/2015     174.102 Informatiksicherheitsverordnung, ISV     4 Schaffhauser Rechtsbuch 1997   III. Schutzziele und Klassifizierung   § 5  1 Für Informatiksysteme, -anwendungen und Informationen gelten  folgende Schutzziele:   a) Verfügbarkeit: Informatiksysteme, -anwendungen, Daten oder   Informationen sind zugänglich und nutzbar.  b) Vertraulichkeit: Daten oder Informationen sind nur den berech-  tigten Personen zugänglich.   c) Integrität: Informatiksysteme, -anwendungen, Daten oder Infor-  mationen sind vor unberechtigten Änderungen geschützt. Alle  Daten und Informationen sind vollständig und richtig.    d) Nachvollziehbarkeit: Eine Ereigniskette kann nachträglich nach- vollzogen werden.   e) Beweistauglichkeit und Revisionssicherheit: gemäss § 12 Abs.  3 dieser Verordnung.    2 Der Inhaber der Datensammlung und der Betreiber einer Daten- bank haben den Schutzbedarf der Daten und Informationen an- hand dieser Schutzziele festzulegen.   § 6  1 Die Informatiksysteme, -anwendungen sowie die Daten und In- formationen sind von allen dieser Verordnung unterstehenden Or- ganisationseinheiten nach folgenden Kriterien zu klassifizieren:   a) Verfügbarkeit: Ausfalldauer 3 Tage und mehr (Stufe tief); Aus-  falldauer 1 – 3 Tage (Stufe mittel); Ausfalldauer bis ein Tag  (Stufe hoch)   b) Vertraulichkeit: Stufe P (public), Stufe N (nicht klassifizierte in- terne Daten), Stufe V (vertraulich), Stufe G (besonders schüt- zenswert)   c) Integrität: Ausmass einer Beeinträchtigung in der Datennutzung  dauert mehrere Jahre (Stufe sehr hoch); maximal bis zu einem  Jahr (Stufe hoch); hat einen signifikanten, jedoch nicht über ein  Jahr dauernden Einfluss auf das Geschäftsergebnis (Stufe mit- tel)    d) Nachvollziehbarkeit: keine Nachvollziehbarkeit; anonymisierte  Nachvollziehbarkeit; personenbezogene Nachvollziehbarkeit.    e) Beweistauglichkeit und Revisionssicherheit: durch elektronische  Signierung und Aufbewahrungsfristen.   2 Die KSD erlässt eine Weisung betreffend Klassifizierung von Da- ten und Informationen.   Schutzziele    Klassifizierung      Informatiksicherheitsverordnung, ISV 174.102     Schaffhauser Rechtsbuch 1997 5   3 Die Inhaber einer Datensammlung und der Betreiber einer zentra- len Datenbank sind befugt, für ihren Zuständigkeitsbereich die  Klassifizierung zu verfeinern und zusätzliche interne Weisungen für  ihre eigene Organisationseinheit zu erlassen.    § 7  1 Die Inhaber einer Datensammlung und der Betreiber einer zentra- len Datenbank erstellen einen Plan der organisatorischen und  technischen Massnahmen, welche die Erreichung der ermittelten  Schutzziele sicherstellt. Die Massnahmen richten sich nach den  Anforderungen an den Betrieb und die Sicherheit (§ 9 ff.) sowie  nach den weiteren Vorgaben der KSD (§ 14 und § 17). Dabei sind  der Grundsatz der Verhältnismässigkeit, der Stand der Technik und  die verfügbaren Mittel zu berücksichtigen.   2 Der Massnahmenplan enthält für alle im Einsatz stehenden Infor- matiksysteme, -anwendungen, Daten oder Informationen folgende  Angaben:   a) Schutzziele und Klassifizierung,   b) Inhalt,   c) Kosten,   d) Verantwortlichkeiten,   e) Umsetzungsschritte und Termine,   f) Restrisiko,   g) Dokumentation.    § 8  1 Die Inhaber einer Datensammlung und der Betreiber einer zentra- len Datenbank informieren ihre Mitarbeitenden über die Sicher- heitsmassnahmen, die sie zu beachten haben.  2 Sie sorgen für eine periodische Schulung ihrer Mitarbeitenden.   IV. Anforderungen an den Betrieb und die  Sicherheit   § 9  1 Zur Verhinderung von Verlust, Beschädigung und Missbrauch von  Informatiksystemen, -anwendungen, Daten oder Informationen und  zur Verhinderung eines Unterbruchs von Geschäftsaktivitäten müs- sen die Gebäude, Räume und Geräte vor Sicherheitsbedrohungen  geschützt werden.   Massnahmen- plan    Instruktion des  Personals   1/2015   Schutz der  Informatiksys- teme, - anwendungen  und Informatio- nen     174.102 Informatiksicherheitsverordnung, ISV     6 Schaffhauser Rechtsbuch 1997   2 Die KSD stellt sicher, dass Verletzungen der Sicherheitsgrundsät- ze gemäss dieser Verordnung mit angemessenem Aufwand nach- vollzogen und beweistauglich reproduziert werden können.    § 10  1 Der Zugriff auf Informatiksysteme, -anwendungen, Daten oder In- formationen wird über die Mitgliedschaft in Berechtigungsgruppen  und/oder -rollen geregelt. Die Benutzer werden in die zur Ausübung  ihrer Tätigkeiten erforderlichen Berechtigungsgruppen und/oder - rollen aufgenommen. Sie haben sich an Informatiksystemen ent- sprechend zu authentisieren.   2 Für die Zuordnung der Zugangsrechte sowie für deren laufende  Aktualisierung ist der Inhaber einer Datensammlung zuständig und  verantwortlich. Informatiksysteme müssen in der Lage sein, Benut- zer entsprechend ihren Berechtigungen zu authentifizieren.   3 Authentifizierungsmethoden sind der Risikosituation und dem  Stand der Technik laufend anzupassen.   § 11  1 Die Zugangsrechte von Mitarbeitenden, Auftragnehmern oder  Drittbenutzern zu Informatiksystemen, -anwendungen, Daten oder  Informationen müssen vom Inhaber einer Datensammlung sofort  entzogen werden, wenn ihre Anstellung, ihr Auftrag oder eine ent- sprechende Nutzung beendet sind oder ein Missbrauch oder eine  Verletzung der Sicherheitsgrundsätze gemäss dieser Verordnung  festgestellt werden.   2 Ändern Anstellung, Auftrag oder Nutzung, sind die Zugangsrechte  vom Inhaber einer Datensammlung umgehend anzupassen.   § 12  1 Für die Datensicherung auf den zentralen Informatiksystemen der  kantonalen Verwaltung ist die KSD zuständig. Die Sicherung um- fasst:   a) die Benutzeridentifikationen und deren Zugriffsrechte (Objekte);  b) die Fachanwendungen und deren Daten;  c) die Datenablagen;  d) die Verbindungsdaten des Internet- und E-Mail-Verkehrs;  e) alle für die Rekonstruktion der EDV-Systeme notwendigen Da-  ten- und Programmbereiche.  2 Die Datensicherung kann auch Protokollierungsdateien umfassen.   Authentisierung  und Authentifi- zierung    Beendigung  oder Änderung  der Anstellung   Datensicherung     Informatiksicherheitsverordnung, ISV 174.102     Schaffhauser Rechtsbuch 1997 7   3 Die gesicherten Daten werden gesondert und sicher aufbewahrt  und können zur Rekonstruktion von verlorenen Daten beigezogen  und im Rahmen der festgelegten Sicherungskonzepte auch aus- gewertet werden. Deren beweistaugliche, gesetzeskonforme und  revisionssichere Aufbewahrung sowie deren digitale Langzeitarchi- vierung bleiben im Verantwortungsbereich des Inhabers einer Da- tensammlung.  4 Für die Datensicherung auf den lokalen oder dezentralen Informa- tiksystemen ist der Inhaber einer Datensammlung selber verant- wortlich.   § 13  1 Die KSD kann im Rahmen von Richtlinien oder Weisungen die  nötigen Anforderungen an den Betrieb und die Sicherheit weiter de- finieren oder konkretisieren, insbesondere betreffend:  a) die Standardisierung und Organisation der Infrastrukturen;  b) den Zugriffsschutz und die Sicherheitsauswertungen;  c) die elektronische Datenkommunikation;  d)  den Datenaustausch;  e)  die Datensicherung und Datenablage;   f) die Sicherstellung des Geschäftsbetriebs;  g) Internet- und E-Mail-Nutzung;  h) den Schutz vor Bedrohungen wie Malware, Computer-Viren,   Social Engineering, Phishing, usw.;  i) mobile Speichermedien und Endgeräte;   j) Anforderungen an den Einsatz und die Sicherheitsvorkehrun-  gen von sozialen Medien;   k) den Umgang der Mitarbeitenden mit der Informatik am Arbeits-  platz und ausserhalb der Büroräumlichkeiten;  l) den Umgang bei Beendigung oder Änderung des Anstellungs-  verhältnisses;  m) neue Technologien und Infrastrukturen.  2 Die KSD kann für die Ausarbeitung von Richtlinien oder Weisun- gen die Fachkräfte der Inhaber von Datensammlungen beiziehen  und anhören.    Weitere Anfor- derungen   1/2015     174.102 Informatiksicherheitsverordnung, ISV     8 Schaffhauser Rechtsbuch 1997   V. Kontrolle und Überprüfung der Sicherheits- massnahmen    § 14  1 Auftretende Unregelmässigkeiten, unerklärliches Systemverhal- ten, Verlust oder Veränderung von Informatiksystemen, - anwendungen, Daten oder Informationen, Verdacht auf Missbrauch  der eigenen Benutzererkennung oder andere sicherheitsrelevante  Vorkommnisse sind umgehend dem Informatiksicherheitsbeauf- tragten der KSD (ISB) zu melden. Der ISB orientiert den Daten- schutzbeauftragten.  2 Der Inhaber einer Datensammlung und der Betreiber einer zentra- len Datenbank richten Verfahren ein, welche eine schnelle, wirk- same und planmässige Erkennung und Reaktion auf sicherheitsre- levante Vorkommnisse ermöglichen. Die KSD unterstützt sie dabei.   § 15  1 Die Inhaber einer Datensammlung und der Betreiber einer zentra- len Datenbank überprüfen regelmässig, jedoch mindestens einmal  jährlich, die Schutzziele und die Klassifizierung der in ihrem Zu- ständigkeitsbereich liegenden Informatiksysteme, -anwendungen,  Daten und Informationen, die Einhaltung und Angemessenheit der  Sicherheitsmassnahmen sowie die Zugangsrechte.   2 Der Inhaber einer Datensammlung und der Betreiber einer zentra- len Datenbank führen die notwendigen Dokumentationen gemäss  dieser Verordnung aktuell nach und informieren die KSD angemes- sen und zeitnah.   3 Ändern Aufgaben, Organisation oder eingesetzte Informatiksys- teme, -anwendungen oder die damit bearbeiteten Daten und Infor- mationen, treffen der Inhaber einer Datensammlung und der  Betreiber einer zentralen Datenbank die nötigen Anpassungen (vgl.  auch § 11).   4 Der Inhaber einer Datensammlung und der Betreiber einer zentra- len Datenbank können die Schutzziele und die Klassifizierung so- wie die getroffenen Massnahmen in Abstimmung mit der KSD zu- sätzlich durch eine qualifizierte unabhängige externe Stelle prüfen  lassen. Die Finanzkontrolle von Kanton und Stadt Schaffhausen,  die KSD sowie der oder die kantonale Datenschutzbeauftragte  können Einsicht in die Berichte nehmen.    Meldung von  Vorkommnissen  und Schwach- stellen   Überprüfung      Informatiksicherheitsverordnung, ISV 174.102     Schaffhauser Rechtsbuch 1997 9   § 16  1 Ist der Inhaber einer Datensammlung oder der Betreiber einer  zentralen Datenbank nicht mit den Vorgaben der KSD einverstan- den, ist das Security Board der KSD (§ 4 Abs. 6) anzurufen. Das  Security Board versucht unter Einbezug der anrufenden Stelle eine  einvernehmliche Lösung zu finden.   2 Kann innert drei Monaten seit Anmeldung der Differenz beim Se- curity Board keine einvernehmliche Lösung gefunden werden, ent- scheidet der Regierungsrat. Der Datenschutzbeauftragte kann vor- gängig angehört werden.   VI. Schlussbestimmungen    § 17  1 Die KSD erlässt und publiziert alle notwendigen Weisungen,  Richtlinien oder Reglemente über die Nutzung der Informatiksys- teme, -anwendungen, Daten und Informationen, für die Sicherstel- lung eines sicheren und wirtschaftlichen Einsatzes und Betriebes  der Informatik und für die Konkretisierung der Schutzziele und die  Sicherheitsanforderungen.   2 Die KSD unterstützt die Inhaber einer Datensammlung und die  Betreiber einer zentralen Datenbank in allen Belangen des Vollzu- ges dieser Verordnung.    § 18  Die Inhaber einer Datensammlung und der Betreiber einer zentra- len Datenbank haben für alle Informatiksysteme, -anwendungen,  Daten und Informationen innerhalb von zwei Jahren nach Inkrafttre- ten dieser Verordnung die Schutzziele (§ 5), die Klassifizierung (§  6) und den Massnahmenplan (§ 7) in Abstimmung mit der KSD zu  erstellen.    § 19  Das Reglement über den Schutz und die Sicherung von Daten bei  der «KSD Kanton und Stadt Schaffhausen Datenverarbeitung»  (Datenschutzreglement) vom 22. April 1980 wird aufgehoben.    § 20  1 Diese Verordnung tritt auf den 1. Januar 2015 in Kraft.   2 Sie ist im Amtsblatt zu veröffentlichen 1) und in die kantonale Ge- setzessammlung aufzunehmen.    Bereinigung von  Differenzen    Weisungen der  KSD   Übergangsbe- stimmung    Aufhebung bis- herigen Rechts   1/2015   Inkrafttreten     174.102 Informatiksicherheitsverordnung, ISV     10 Schaffhauser Rechtsbuch 1997   Fussnoten:  1) Amtsblatt 2014, S. 1759.