Organisationskonzept für die Informatiksicherheit in der Kantonalen Verwaltung, Genehmigung

Auszug aus dem Protokoll des Regierungsrates des Kantons Zürich Sitzung vom 11. Februar 2015

129. Organisationskonzept für die Informatiksicherheit

Erwägungen

in der kantonalen Verwaltung (Genehmigung) Mit Beschluss Nr. 1955/2008 legte der Regierungsrat die Informatikstra- tegie der kantonalen Verwaltung als verbindliche Arbeitsgrundlage fest. Gleichzeitig beauftragte er das kantonale IT-Team (KITT), die Informa- tikstrategie umzusetzen und dem Regierungsrat Bericht zu erstatten. Zusammen mit der Informatikstrategie hatte das KITT einen Umset- zungsplan ausgearbeitet, der dem Regierungsrat als Zusatzinformation vorlag. Er umschreibt in groben Zügen die mittelfristigen Vorhaben, die für die Zielerreichung zu verwirklichen sind. Mit Beschluss Nr. 1072/2009 genehmigte der Regierungsrat den Be- schluss des KITT über die vier Teilprojekte der Umsetzungseinheit 1 Im September 2010 beschloss das KITT, in einer Umsetzungseinheit 2 (UE2) die Informatiksicherheit zu behandeln. Das KITT genehmigte den Projektauftrag «Informatiksicherheit» mit den Teilaufgaben Sicherheits- organisation, Managementsystem für die Informatiksicherheit (ISMS) und Informatiksicherheitsverordnung (ISV) am 7. Oktober 2011. Ziel der UE2 ist eine nachhaltige und flächendeckende Verbesserung der Infor- matiksicherheit in der kantonalen Verwaltung. Erstes Teilergebnis der Projektarbeit ist das Organisationskonzept für die Informatiksicherheit in der Verwaltung, das der Generalsekretären- konferenz und der Finanzkontrolle vorgestellt wurde. Die in der Sitzung vom 19. Mai 2014 angebrachten Vorbehalte wurden analysiert und in die neue, vom KITT am 19. September 2014 genehmigte Version eingear- beitet. Im Organisationskonzept werden die heutigen Strukturen berück- sichtigt. Vorgeschlagen wird die Einrichtung eines Competence Center IT-Sicherheit (CC I-Si) gemäss § 15 der KITT-Verordnung. Dieses besteht aus einer Leiterin oder einem Leiter (Informatik-Sicherheitsbeauftragte/r des Kantons Zürich, I-SiBZH) sowie aus einer Fachgruppe. Der Fach- gruppe gehören je eine oder ein IT-Sicherheitsbeauftragte/r der Direk- tionen sowie weitere Spezialistinnen und Spezialisten und/oder externe Fachleute an.

Die Stelle der Leiterin bzw. des Leiters des Competence Center IT- Sicherheit ist neu zu schaffen. Die Aufgaben sind im Organisationskon- zept beschrieben. Die Stelle ist im Budget 2015 sowie im KEF 2015– 2018 der Leistungsgruppe Nr. 4600, Direktionsübergreifende Informatik, enthalten. Für die Stelle der Leiterin bzw. des Leiters mit einem Beschäf- tigungsgrad von 100% ist die Einreihung in LK 21 VVO vorgesehen. Die Schaffung eines Competence Center IT-Sicherheit ist von strate- gischer Tragweite und deshalb gemäss § 11 der KITT-Verordnung dem Regierungsrat zur Genehmigung vorzulegen. Gemäss § 10 der KITT-Verordnung wurde der Antrag der General- sekretärenkonferenz an ihrer Sitzung vom 19. Januar 2015 vorgelegt. Diese hat keine Vorbehalte zur vorgeschlagenen Umsetzung.

Dispositiv

Auf Antrag der Finanzdirektion beschliesst der Regierungsrat:

I. Das Organisationskonzept für die Informatiksicherheit in der kan- tonalen Verwaltung vom 19. September 2014 wird genehmigt.

II. Die Schaffung eines Competence Center IT-Sicherheit in der Finanz- direktion gemäss dem Organisationskonzept wird genehmigt. Die Finanz- direktion wird beauftragt, die Schaffung der entsprechenden Stelle zu beantragen.

III. Die Direktionen und die Staatskanzlei benennen je eine oder einen IT-Sicherheitsbeauftragte/n, die bzw. der Mitglied der Fachgruppe Infor- matiksicherheit wird.

IV. Mitteilung an die Direktionen des Regierungsrates und die Staats- kanzlei.

Vor dem Regierungsrat Der Staatsschreiber:

Husi