182.42_20.5.19_112.fm   ICT-Nutzungsreglement 182.42 Reglement  über die Nutzung der Informations-   und Kommunikationstechnik   (ICT-Nutzungsreglement) (vom 20. Mai 2019)1  Der Synodalrat,  gestützt auf Art. 41 lit. g und k der Kirchenordnung der Römisch-katho- lischen Körperschaft des Kantons Zürich vom 29. Januar 20093, § 7 des  Gesetzes über die Information und den Datenschutz vom 12. Februar  20072 sowie §§ 39 und 60 der Anstellungsordnung der Römisch-katho- lischen Körperschaft des Kantons Zürich vom 22. März 20074,  beschliesst:  I. Gegenstand  Zweck§ 1.    1 Dieses Reglement regelt für alle Mitarbeitenden und die Mitglieder des Synodalrats der Römisch-katholischen Körperschaft des  Kantons Zürich die Nutzung der elektronischen Infrastrukturen und die Nutzung von Internet mit Informatikmitteln der Organisation sowie die  Nutzung von E-Mail und Sozialen Medien.5  2 Das Interesse der Körperschaft liegt dabei in der Sicherstellung der Datensicherheit und im Datenschutz, in einer möglichst wenig be- lasteten betrieblichen Informatikinfrastruktur (Speicherplatz, Netzwerk- bandbreite) sowie in finanziellen (der Arbeitnehmer schuldet dem  Arbeitgeber seine Arbeitszeit) und ideellen Interessen (Schutz vor Re- putationsschäden). Dem stehen das Informations- und Kommunika- tionsinteresse sowie der Persönlichkeitsschutz der Arbeitnehmenden  gegenüber.  3 Für Dritte, welche die Informatikmittel der Körperschaft nutzen, wird dieses Reglement auf vertraglicher Basis für verbindlich erklärt. 11. 4. 21 - 112    182.42 ICT-Nutzungsreglement II. Nutzungsvorschriften  Arbeits- instrumente  und Arbeits- ergebnis  § 2.    1 Die geschäftlich anfallenden Daten (Dokumente, E-Mails) sind mit der von der Körperschaft zur Verfügung gestellten Hard- und  Software zu bearbeiten und in der betrieblichen Informatikstruktur (Ser- ver, Cloud) aufzubewahren.  2 Nicht ausdrücklich zugelassene Plattformen und Collaboration Tools sind verboten.  3 Nicht erlaubt sind unverschlüsselte USB-Sticks oder unverschlüs- selte externe Festplatten.  4 Die Installation von Hard- und Software sowie Kommunikations- einrichtungen durch Mitarbeitende ausser den ICT-Verantwortlichen  ist untersagt.  5 Informatiksysteme, die am Netzwerk angeschlossen sind, dürfen nicht gleichzeitig mit einem Netz oder System ausserhalb des internen  Netzwerks verbunden werden.  Sicherheits- massnahmen  § 3.    1 Das Passwort ist persönlich und darf nicht weitergegeben werden. Passwörter müssen aus mindestens acht Stellen bestehen und sollen eine Kombination von Klein- und Grossbuchstaben, Ziffern und  Sonderzeichen enthalten. Leicht zu erratende Passwörter und solche,  die einen Bezug zur eigenen Person aufweisen (z.B. Name, Name von  Angehörigen, Geburtsdatum usw.), sind nicht erlaubt. Geschäftlich ge- nutzte Passwörter dürfen nicht privat verwendet werden. Passwörter soll- ten regelmässig gewechselt werden. Sie sind sofort zu ändern, wenn ein  Verdacht besteht, dass sie Dritten zur Kenntnis gelangt sind. Ein früher bereits benutztes Passwort darf nicht erneut verwendet werden.  2 Die Mitarbeitenden dürfen nur ihre persönlichen Benutzerkennun- gen oder die ihnen zugeteilten funktionellen Kennungen verwenden. Sie sind für die mit ihren Kennungen erfolgten Zugriffe verantwortlich. Der Zugriff auf Daten, die nicht zur Aufgabenerfüllung benötigt werden, ist verboten.  3 Beim Verlassen des Arbeitsplatzes für längere Zeit ist die Arbeits- station zu sperren, oder die Benutzerin bzw. der Benutzer meldet sich  vom System ab. Laptops und Smartphones sind entsprechend zu sichern, schutzbedürftige Unterlagen vor Zugang zu schützen.  4 Es ist dafür zu sorgen, dass keine Unbefugten Zutritt zu den Arbeits- räumlichkeiten haben. Halten sich externe Personen in den Büroräum- lichkeiten auf, sind Massnahmen zu treffen, die Unbefugten einen Zu- gang zu Informationen verhindern.  5 USB-Sticks und externe Festplatten von Dritten sind vor dem Öff- nen durch einen Virenschutz zu überprüfen. Es dürfen nur Geräte aus  bekannten Quellen verwendet werden. 2    ICT-Nutzungsreglement 182.42 6 Die Mitarbeitenden dürfen die Sicherheitssoftware (Virenschutz, Firewall usw.) nicht ausschalten, blockieren oder ihre Konfiguration ver- ändern. E-Mails mit unbekanntem Absender, verdächtigem Betreff oder unüblichem Inhalt sind vorsichtig zu behandeln, da sie von der Viren- schutzsoftware nicht erkannte Viren enthalten könnten. Ihre Anhänge  sowie Links auf Websites sollen keinesfalls geöffnet werden. Jeder Ver- dacht auf Virenbefall muss sofort den ICT-Verantwortlichen gemeldet  werden.  Daten- und   Anwendungs- sicherheit  § 4.    Zur Wahrung der Daten- und Anwendungssicherheit (Verfüg- barkeit, Integrität, Vertraulichkeit) dürfen nur von den ICT-Verantwort- lichen der Körperschaft zugelassene Programme installiert werden.  Personendaten  und vertrauliche  Sachdaten  § 5.    1 Personendaten und vertrauliche Sachdaten dürfen ausserhalb des körperschaftseigenen Netzwerks oder der iKath-Cloud nur verschlüs- selt aufbewahrt werden. Sie dürfen online nicht genannt werden, also  nicht im Internet, auch nicht in Sozialen Medien, unverschlüsselten E- Mails oder sonstigen unverschlüsselten Kommunikationsmitteln.  2 Sie dürfen unverschlüsselt nur im körperschaftseigenen Netzwerk  oder innerhalb der iKath-Cloud übertragen werden.   Verwendung  von privaten  Geräten  § 6.    1 Geschäftliche Daten dürfen nicht auf privaten PCs, Laptops  und Tablets gespeichert oder aufbewahrt werden.   2 Ausnahmen bewilligt die Generalsekretärin bzw. der Generalsekre- tär nach Rücksprache mit der Leitung ICT.  3 Die Bewilligung für private Geräte wird nur erteilt, wenn es unzu- mutbar ist, ein geschäftliches Gerät zu benutzen und wenn die Sicher- heitsmassnahmen gemäss Arbeitsplatzvorgaben erfüllt sind.  4 Werden Smartphones zu geschäftlichen Zwecken genutzt, müssen sie mit sechsstelligem Passwort, Fingerprint oder Gesichtserkennung ge- sichert werden. Dokumente mit vertraulichem bzw. schützenswertem  Inhalt dürfen nicht gespeichert werden. Enthalten die Geräte schützens- werte Daten, dürfen sie nicht unbeaufsichtigt gelassen oder Dritten zur  Nutzung überlassen werden.  Private Nutzung § 7.    1 Die private Nutzung von Internet, E-Mail und Sozialen Me- dien ist während der Arbeitszeit auf ein Minimum zu beschränken und  sollte grundsätzlich nur während Pausen erfolgen.  2 Nicht erlaubt ist das Herunterladen und/oder Speichern von priva- ten Dateien in grosser Menge / mit grosser Netzwerkbelastung auf den  Server (Foto-, Video- und Musikdateien).  3 Der Zugang zum Internet mit privaten Geräten ist nur im Gäste- bereich des WLAN erlaubt. 31. 4. 21 - 112    182.42 ICT-Nutzungsreglement Rechtswidriges § 8.    Dokumente, Videos und Bilder sowie E-Mails, Webseiten und andere Webinhalte mit rassistischen, pornografischen, sexistischen, ge- waltverherrlichenden oder ganz allgemein rechtswidrigen Inhalten dür- fen weder konsumiert noch heruntergeladen oder weiterverbreitet wer- den. Ganz allgemein sind Handlungen, die nach Schweizerischem Straf- gesetzbuch unter Strafe stehen, zu unterlassen.  Private E-Mails  und Weiter- leitung von   E-Mails  § 9.    1 Das Versenden und Empfangen privater E-Mails über das Mail-Konto der Organisation ist erlaubt. Entsprechende E-Mails müs- sen in einem als «privat» bezeichneten Ordner abgelegt werden. Bei der automatischen Sicherung (Backup) der E-Mails der Arbeitnehmenden  werden auch die privaten E-Mails gesichert.   2 Private E-Mails, die nicht als solche gekennzeichnet sind, gelten als geschäftliche E-Mails.  3 Nicht erlaubt ist das Publizieren der dienstlichen E-Mail-Adresse auf Webseiten zu privaten Zwecken.  4 Das automatische Weiterleiten (Forwarding) von E-Mails an die private sowie weitere externe E-Mail-Adressen braucht die Bewilligung der Generalsekretärin bzw. des Generalsekretärs.   5 Die vorgesetzte Stelle ist bei längerer Abwesenheit (Unfall, Krank- heit oder sonstigen ausserordentlichen Ereignissen) einer bzw. eines Mit- arbeitenden nach Rücksprache oder versuchter Rücksprache mit der  bzw. dem Mitarbeitenden berechtigt, auf deren bzw. dessen E-Mail- Konto zuzugreifen. Sie macht es unter Mitwirkung der Bereichsleiterin  bzw. des Bereichsleiters Personal und der bzw. des Datenschutzverant- wortlichen.  Respekt § 10.    Alle Mitarbeitenden der Körperschaft zeigen sich jederzeit respektvoll gegenüber ihren Kommunikationspartnern. Das gilt auch für jene, über die sie allenfalls online schreiben wie Freunde, Arbeitskol- legen, Kunden, Kritiker usw., aber auch die katholische Kirche als solche.  Soziale Medien § 11.    Die Online-Präsenz der Mitarbeitenden beeinflusst auch das Image der Katholischen Kirche im Kanton Zürich. In persönlichen Blogs oder Einträgen und Profilen in Sozialen Netzwerken wie z.B. Facebook soll aus den Umständen klar ersichtlich werden, dass hier die Privatper- son ihre eigene Meinung vertritt. Sofern das nicht sowieso aus den Um- ständen deutlich erkennbar ist, müssen die Mitarbeitenden einen Hinweis darauf anbringen, dass die geäusserten Meinungen alleine jene der Auto- rin bzw. des Autors sind und nicht die Sicht der Katholischen Kirche im Kanton Zürich repräsentieren. 4    ICT-Nutzungsreglement 182.42 III. Organisation  ICT-Verantwor- tung   § 12.    1 Die ICT-Verantwortung obliegt dem Synodalrat.  2 Die operative Verantwortung obliegt der Generalsekretärin bzw.  dem Generalsekretär, technisch zuständig ist die ICT-Stabsstelle. 3 Verwaltung, Generalvikariat, Fach- und Dienststellen und Missio-  nen haben je eine Ansprechperson für Informations- und Kommunika- tionstechnik (ICT). Wird keine bezeichnet, ist diese die Stellenleiterin  bzw. der Stellenleiter.  4 Die ICT-Stabsstelle der Verwaltung unterstützt die Ansprechperso- nen und hat einen Überblick über die Verwendung der Hard- und Soft- ware in der Körperschaft. Die Einzelheiten regelt der Synodalrat in  einem ICT-Konzept.  Betreiberstelle§ 13.    1 Als Betreiberstellen gelten die Informatikdienste, die für  den Betrieb der elektronischen Infrastruktur und der Dienste der Kör- perschaft zuständig sind.  2 Durch Vertrag oder Weisung wird sichergestellt, dass die Betreiber- stellen die rechtskonforme und sichere Nutzung der elektronischen Infra- struktur und der Dienste der Körperschaft ermöglichen.  Zuständigkeit  Bereich ICT der  Verwaltung  § 14.    Der Bereich ICT der Verwaltung ist zuständig für den Be- trieb des körperschaftseigenen Servers, die körperschaftseigene Netz- werkinfrastruktur in den Fach- und Dienststellen und Missionen sowie alle Clients (Desktop-PCs und Laptops) der Körperschaft.5  2 Sie ist mithilfe der Betreiberstelle insbesondere zuständig für: a. die Installation eines Spam-Filters und die Löschung als Spam er-  kannter Daten, b. das Speichern sämtlicher E-Mails im E-Mail-Journal, c. die Bewilligung von Software gemäss §§ 2 und 4, d. das Sperren und Freischalten von Internetseiten im Einvernehmen   mit der Generalsekretärin bzw. dem Generalsekretär, e. bei Bedarf anonyme Auswertungen gemäss § 16, f. bei Bedarf personenbezogene Auswertungen gemäss § 21.  3 Bei ausserordentlichen Ereignissen (wie technische Störung oder Netzwerküberlastung) kann die ICT-Stabsstelle den Datenverkehr vo- rübergehend einschränken. Eine solche Massnahme wird im Intranet  mitgeteilt. 51. 4. 21 - 112    182.42 ICT-Nutzungsreglement Zugang zu   geschäftlichen  Daten bei   Abwesenheiten  § 15.    1 Die vorgesetzte Stelle ist bei längerer Abwesenheit einer  bzw. eines Mitarbeitenden (Unfall, Krankheit oder sonstigen ausser- ordentlichen Ereignissen) berechtigt, nach Rücksprache oder versuchter Rücksprache auf deren bzw. dessen geschäftliche Daten zuzugreifen. Sie macht es unter Mitwirkung der Bereichsleiterin bzw. des Bereichsleiters Personal und der bzw. des Datenschutzverantwortlichen.  2 Geschäftliche Daten werden der vorgesetzten Stelle ausgehändigt, private Dateien bleiben in der Datenablage der betroffenen Person. Die Vertraulichkeit und der Schutz privater Dateien kann nicht gewährleis- tet werden.  Anonymisierte  Berichte  § 16.    1 Die Betreiberstellen erstellen auf Verlangen der General- sekretärin bzw. des Generalsekretärs anonymisierte Berichte, die Auf- schluss über die angewählten Internetadressen und soweit möglich über Zeitpunkt und Anzahl der Zugriffe und übertragenen Datenmengen  geben.  2 Die Berichte dürfen keine Rückschlüsse auf einzelne Mitarbeitende zulassen. Insbesondere dürfen sich aus ihnen weder die einzelnen Mit- arbeitenden noch die einzelnen Arbeitsplätze ergeben.  IV. Missbrauch der elektronischen Infrastrukturen und Dienste   der Körperschaft  Überwachungs- massnahmen  § 17.    Gegen Missbrauch und technische Schäden setzt die Körper- schaft technische Schutzmassnahmen (z.B. Sperren bestimmter Web- dienste, Installieren von Anti-Virensoftware usw.) ein. Auch die anony- misierte technische Überwachung des Internetverkehrs ist gemäss § 16  zulässig. Besteht der begründete Verdacht, dass trotz technischen Schutz- massnahmen gegen dieses Reglement verstossen wird, erfolgt eine per- sonenbezogene Überwachung und Auswertung der Internet- und E-Mail- Protokollierungen. Der Einsatz von Spionageprogrammen ist dabei ver- boten.  Definition § 18.    Ein Missbrauch im Sinne dieses Reglements besteht bei einem Verstoss gegen §§ 2–8.  Entscheid   über personen- bezogene   Berichte  § 19.    1 Zuständig für die Anordnung einer personenbezogenen Aus- wertung ist die Generalsekretärin bzw. der Generalsekretär. Sie bzw. er trifft den Entscheid zusammen mit der Bereichsleiterin bzw. dem Be- reichsleiter Personal und der bzw. dem Datenschutzverantwortlichen  der Körperschaft.  6    ICT-Nutzungsreglement 182.42 2 Die Voraussetzungen für die Anordnung einer personenbezogenen Auswertung sind erfüllt, wenn – bei Internetzugriffen Missbräuche von erheblicher Tragweite vorlie-  gen oder – beim E-Mail-Verkehr ein konkreter Verdacht auf Missbrauch be-  steht.  Ankündigung  der personen- bezogenen   Berichte  § 20.    Die Generalsekretärin bzw. der Generalsekretär weist die be- troffenen Mitarbeitenden darauf hin, dass für einen bestimmten Zeitraum die Internetzugriffe oder der E-Mail-Verkehr personenbezogen proto- kolliert und ausgewertet werden.  Durchführung§ 21.    1 Nach erfolgter Ankündigung kann die Generalsekretärin  bzw. der Generalsekretär die Betreiberstellen beauftragen, personen- bezogene Berichte über die Internetzugriffe oder den E-Mail-Verkehr  zu erstellen.  2 Personenbezogene Berichte dürfen für höchstens drei Monate er- stellt werden. Über den Zeitraum vor der Ankündigung durch die Ge- neralsekretärin bzw. den Generalsekretär dürfen keine personenbezo- genen Berichte erstellt oder ausgewertet werden.  3 Die Betreiberstelle stellt die als vertraulich deklarierten Berichte der Generalsekretärin bzw. dem Generalsekretär zu.  Inhalt§ 22.    1 Personenbezogene Berichte über den Internetzugriff enthal- ten – den Namen der Internetnutzerin oder des Internetnutzers, – die angewählten Internetadressen, – soweit möglich den Zeitpunkt und die Anzahl der Zugriffe sowie die  übertragene Datenmenge. 2 Personenbezogene Berichte über den E-Mail-Verkehr enthalten  – den Namen der E-Mail-Nutzerin oder des E-Mail-Nutzers, – die angewählten Adressen, – den Versandzeitpunkt, – die Datenmenge der ausgehenden E-Mails.  Einleitung von  Massnahmen  § 23.    1 Die Generalsekretärin bzw. der Generalsekretär entschei- det zusammen mit der Bereichsleiterin bzw. dem Bereichsleiter Perso- nal und der bzw. dem Datenschutzverantwortlichen der Körperschaft  aufgrund der personenbezogenen Berichte, ob dem Personalausschuss  beantragt wird, gegen die betreffende Person eine Administrativunter- suchung durchzuführen, oder ob andere Massnahmen zu treffen sind.  2 Die Generalsekretärin bzw. der Generalsekretär teilt der betref- fenden Person den Entscheid mit. 71. 4. 21 - 112    182.42 ICT-Nutzungsreglement Prüfung und  Vernichtung   der Unterlagen  § 24.    Wird keine Administrativuntersuchung eingeleitet, werden die personenbezogenen Berichte und Protokolle nach 30 Tagen vernich- tet und die Mitarbeitenden informiert.  V. Schlussbestimmungen  Kenntnisnahme  des Reglements  § 25.    Jede Mitarbeiterin und jeder Mitarbeiter unterzeichnet das Reglement als Erklärung, dass sie bzw. er das Reglement gelesen und  verstanden hat und die Nutzungsvorschriften einhalten wird.  Inkrafttreten § 26.    Dieses Reglement tritt am 1. Oktober 2019 in Kraft.  1 OS 74, 488; Begründung siehe ABl 2019-06-14. 2 LS 170.4. 3 LS 182.10. 4 LS 182.41. 5 Fassung gemäss B vom 18. Januar 2021 (OS 76, 65; ABl 2021-02-05). In Kraft   seit 18. Januar 2021. 8  http://www.zhlex.zh.ch/Erlass.html?Open&Ordnr=182.42%2C74%2C488 http://www.zhlex.zh.ch/Erlass.html?Open&Ordnr=170.4 http://www.zhlex.zh.ch/Erlass.html?Open&Ordnr=182.10 http://www.zhlex.zh.ch/Erlass.html?Open&Ordnr=182.41 https://www.amtsblatt.zh.ch/#!/search/publications/detail/7fc0efa7-3312-4636-a37b-d02df170ad41 https://amtsblatt.zh.ch/#!/search/publications/detail/ad734320-09c5-40d3-9f4a-26d08e00e57e http://www.zhlex.zh.ch/Erlass.html?Open&Ordnr=182.42%2C76%2C65