236.200
Reglement über die Fernwartung (Remote Support)
Art. 1 Gegenstand und Geltungsbereich
Dieses Reglement regelt für die gesamte Stadtverwaltung die materiellen und formellen Voraussetzungen der Fernwartung.
Art. 2 Begriffe
Fernwartung: Entwicklung/Administration/Pflege einer IT-Installation der Stadtverwaltung im Züri-Netz mit Zugriff über eine Telekommunikationseinrichtung von einem Standort ausserhalb der Stadtverwaltung aus.
Auftraggeber: Institution/Behörde der Stadtverwaltung, welche Fernwartungsdienstleistungen in Anspruch nimmt.
Auftragnehmer: natürliche oder juristische Person, die Fernwartungsdienstleistungen anbietet.
Art. 3 Verantwortung
Für die Einhaltung der Vorschriften gemäss diesem Reglement sowie übergeordnetem Recht ist der Auftraggeber verantwortlich.
Art. 4 Weisungs- und Kontrollpflicht
Auftragnehmer dürfen nur auf Weisung der Auftraggeber tätig werden.
Alle Wartungs- und Übertragungsaktivitäten müssen für den Auftraggeber kontrollier- und nachvollziehbar sein und durch ihn jederzeit abgebrochen werden können.
Die Einhaltung der getroffenen Sicherheitsmassnahmen ist durch den Auftraggeber regelmässig zu überprüfen.
Art. 5 Vertragliche Vereinbarungen
Art, Umfang und Ablauf der Wartungsarbeiten sind in einer schriftlichen Vereinbarung mit dem Auftragnehmer zu umschreiben und mittels Weisungen im Einzelfall zu konkretisieren.
Die vertraglichen Vereinbarungen dürfen längstens für die Dauer von 5 Jahren abgeschlossen werden. Sie sind verlängerbar. Jede Verlängerung darf längestens 5 Jahre betragen und bedarf der vorgänigen Bewilligung gemäss Art. 13.
Art. 6 Sicherheitsgrundsätze a. Verbindung
Der Auftraggeber hat sicherzustellen, dass eine Fernwartung nur auf seine Weisung hin und nur im Einzelfall erfolgen kann. Reglement über die Fernwartung (Remote Support)
Für die Kommunikationsverbindungen zwischen Auftragnehmer und Auftraggeber sind dem Stand der Technik entsprechende hohe Sicherheitstechnologien (z. B. Verschlüsselung) einzusetzen.
Bei ernsthafter Gefährdung der Sicherheit des Züri-Netzes ist die OIZ befugt, die Verbindung abzubrechen. Sie orientiert den Auftraggeber so bald als möglich darüber.
Art. 7 b. Protokollierung
Alle wesentlichen Fernwartungsaktivitäten und ausgeführten Arbeiten sind sowohl vom Auftraggeber wie auch vom Auftragnehmer in geeigneter Form zu protokollieren.
Die Protokolle sind mindestens 6 Monate aufzubewahren.
Art. 8 c. Zugriffsrechte
Der Auftraggeber hat durch entsprechende technische und organisatorische Massnahmen dafür zu sorgen, dass Wartungsaufträge nur auf vertraglich vereinbarte Zielsysteme und möglichst ohne Kenntnisnahme/Verwendung von Personendaten oder vertraulichen Informationen durchgeführt werden können.
Sind im Einzelfall Zugriffe auf besondere Personendaten oder vertrauliche Informationen unumgänglich, müssen die Wartungsarbeiten so ausgeführt werden, dass sie unmittelbar kontrollierbar sind.
Art. 9 d. Kopien
Besondere Personendaten, vertrauliche Informationen und Daten, die einer besonderen Geheimhaltungspflicht unterliegen, dürfen nicht auf Systeme kopiert werden, die nicht in der Verfügungsgewalt der Stadtverwaltung stehen.
Art. 10 Technische Sicherheitsbestimmungen
Die Vorsteherin bzw. der Vorsteher des Finanzdepartementes erlässt die für die Stadtverwaltung verbindlichen technischen Sicherheitsbestimmungen.
Art. 11 Allgemeine Geschäftsbedingungen (AGB)
Die Vorsteherin bzw. der Vorsteher des Finanzdepartementes erlässt allgemeine Geschäftsbedingungen (AGB) mit rechtlichen und technischen Ausführungsbestimmungen. Diese sind als integrierender Bestandteil in die vertraglichen Vereinbarungen zwischen Auftragnehmer und Auftraggeber zu übernehmen.
Art. 12 Prüfungspflicht
Die OIZ überprüft zur Gewährleistung der Sicherheit des Züri-Netzes laufend die technischen und organisatorischen Massnahmen und Anforderungen an die Fernwartung (Stand der Technik).
Sie informiert von sich aus die Stadtverwaltung über Anpassungs- oder Verbesserungsmöglichkeiten bei der Fernwartung. Reglement über die Fernwartung (Remote Support)
Der Auftraggeber ist verantwortlich für die Sicherheit der ferngewarteten Systeme. Er sorgt dafür, dass die Sicherheitsauflagen umgesetzt und eingehalten werden.
Art. 13 Bewilligung
1 1 Fernwartungen sind bewilligungspflichtig. Zuständig für die Erteilung der Bewilligung ist die OIZ. 2 Eine Fernwartung darf nur bewilligt werden, wenn angemessene technische, organisatorische und personelle Sicherheitsanforderungen gewährleistet und die notwendigen vertraglichen Vereinbarungen zwischen Auftraggeber und -nehmer rechtsgültig abgeschlossen sind. 3 Die Fernwartung durch Auftragnehmer oder deren Subunternehmer mit Sitz bzw. Wohnsitz im Ausland kann durch die OIZ direkt bewilligt werden, sofern ein angemessener Schutz gemäss der vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) publizierten Liste 2 gewährleistet ist. 4 In folgenden Fällen bedarf eine Bewilligung für Fernwartung der Vorprüfung und Stellungnahme der/des Datenschutzbeauftragten sowie der Genehmigung durch die Vorsteherin bzw. den Vorsteher des Finanzdepartements:
a. bei Abweichungen von den Technischen Sicherheitsbestim
Art. 10 mungen gemäss b. bei Abwei
; chung von den allgemeinen Geschäftsbedingun
Art. 11 gen gemäss c. sofern de seinen Sitz der vom Eidg beauftragten senen Schutz
; r Auftragnehmer oder dessen Subunternehmer bzw. Wohnsitz in einem Staat hat, der gemäss enössischen Datenschutz- und Öffentlichkeits (EDÖB) veröffentlichten Liste einen angemesnicht oder nur eingeschränkt gewährleistet.
Art. 14 Verzeichnis
Die OIZ führt ein Verzeichnis über alle Fernwartungen.
Art. 15 Übergang
Bestehende Fernwartungen sind spätestens innerhalb von 2 Jahren den neuen Anforderungen dieses Reglements anzupassen.
Folgende Stadtratsbeschlüsse werden mit Inkrafttreten dieses Reglementes aufgehoben: – STRB Nr. 334 vom 6. März 2002
Art. 16 Inkrafttreten
Dieses Reglement tritt per 1. Oktober 2008 in Kraft.
Fassung gemäss STRB vom 26. Mai 2010; Inkraftsetzung 26. Mai 2010.
Abrufbar unter www.edoeb.admin.ch (Themen/Datenschutz/Übermittlung ins Ausland/Staatenliste).