P042 - Informationssicherheits- und Datenschutzkonzept (ISDS-Konzept) - Version 4.5
Eidgenössisches Finanzdepartement EFD Nationales Zentrum für Cybersicherheit NCSC Informatiksicherheit Bund SEC
Version 4.5
P042 - Informationssicherheits- und Datenschutzkonzept (ISDS-Konzept) vom 19. Dezember 2013 (Stand 1. September 2023)
Der Delegierte für Cybersicherheit erlässt gestützt auf Artikel 11, Absatz 1, Buchstabe e der Verordnung über den Schutz vor Cyberrisiken in der Bundesverwaltung (CyRV) vom 27. Mai 2020 nachfolgende Vorgabe. Diese stellt eine Vorgabe für den erhöhten Schutz gemäss Artikel
1.1 Gültigkeit des ISDS-Konzeptes
Die Gültigkeit des ISDS-Konzepts beträgt maximal 5 Jahre.
2 Hilfsmittel zur Umsetzung von P042
Bei der Erfassung des ISDS-Konzepts sind verschiedene Dokumente zu berücksichtigen und zu erstellen:
Das ISDS-Konzept per se;
die Risikoanalyse;
das Notfallkonzept (bei Informatikschutzobjekten, die kritische Geschäftsprozesse unterstützen);
Die Hauptbearbeitung dieser Dokumente findet vorzugweise während der Konzeptphase statt.
Für jedes Dokument steht ein Hilfsmittel zur Verfügung: Dieses entspricht einem Dokumenten- Template mit dessen Hilfe die Vorgaben richtig umgesetzt werden können. Ihre Nutzung (insbesondere der Inhalt) kann für die eigenen Bedürfnisse und Ziele angepasst werden. Die Vorlagen sind so zu verstehen, dass sie ein Hilfsmittel sind, um alle Sicherheitsvorgaben richtig einzuhalten. Sie dienen als Checkliste für die Berücksichtigung aller sicherheitsrelevanten Aspekte. Alle genannten Dokumente sind bei Änderungen (am Informatikschutzobjekt) zu prüfen und wenn nötig anzupassen. Nach maximal 5 Jahren müssen sie zwingend neu bearbeitet werden. 4
Diese Dokumentation muss durch den ISBO, den Auftraggeber, den Geschäftsprozessverantwortlichen und den Leiter der Verwaltungseinheit (oder einem Geschäftsleitungsmitglied) vor der Betriebsaufnahme unterschrieben werden.
Das ISDS-Konzept gilt als Hauptdokument der Informationssicherheit und des Datenschutzes im Projekt und während des Betriebes. Es legt die nötigen Angaben zur Erhaltung und Verbesserung der Informationssicherheit und des Datenschutzes fest und fasst die Aspekte der Informationssicherheit und des Datenschutzes im Projekt zusammen. Das ISDS-Konzept enthält u. a. eine Zusammenfassung und Beurteilung der bekannte Restrisiken, die durch die verantwortlichen Stellen in Kauf genommen werden müssen. 5 Es enthält auch eine Beschreibung der sicherheitsrelevanten Funktionalitäten des Gesamtsystems. Die Ausserbetriebnahme ist auch zu berücksichtigen.
Das ISDS-Konzept kann bei sicherheitsrelevanten Systemen nicht weggelassen werden. Gewisse Unterkapitel können jedoch wegfallen, falls diese nicht relevant sind.
2.2 P042-Hi02 - Risikoanalyse
Die Risikoanalyse ist eine Beschreibung der relevanten Risikofaktoren (Verfügbarkeit, Vertraulichkeit, Integrität und Nachvollziehbarkeit) und eine Auflistung und Bewertung der Risiken. Sie zeigt ein Bild über das vorhandene Risikopotential des untersuchten Systems auf. Sofern Personendaten bearbeitet werden bei denen die Risikovorprüfung ein hohes Risiko für die Grundrechte der betroffenen Personen ausweist, müssen die jeweiligen Risiken entweder separat oder im Rahmen des ISDS-Konzepts identifiziert und bewertet werden. Dieses Hilfsmittel unterstützt die Bewertung der Auswirkungen.
2.3 P042-Hi03 - Notfallkonzept
Gemäss Massnahme 17.1.1 des IKT-Grundschutzes müssen Pläne für die Sicherstellung des Geschäftsbetriebes entwickelt, dokumentiert und umgesetzt werden. Das Notfallkonzept beschreibt die Notfallplanung und Katastrophenvorsorge, um die Aufrechterhaltung und Wiederherstellung der Geschäftsfähigkeit in ausserordentlichen Situationen zu gewährleisten. Dazu stellt das NCSC den Verwaltungseinheiten und Projektleitern ein Hilfsmittel (Template) für ein Notfallkonzept zur Verfügung.