174.102
Diese Verordnung bezweckt eine geordnete, wirksame und wirtschaftliche Informatik- und Informations-Sicherheit.
Die Verordnung bestimmt:
Diese Verordnung gilt für:
Die folgenden Ausdrücke bedeuten:
Ist aufgrund einer gesetzlichen Aufgabe nicht klar bestimmt oder nicht bestimmbar, wer Inhaber einer Datensammlung oder Betreiber einer Datenbank ist, muss dies unter allen Beteiligten schriftlich vereinbart und ein verantwortlicher Inhaber der Datensammlung bezeichnet werden.
Der Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank sind in ihren jeweiligen Aufgabenbereichen verpflichtet, Informatiksysteme, ‑anwendungen, Daten oder Informationen gegen Verlust und unerwünschte Einwirkungen zu sichern, vor unbefugtem Zugriff und unbefugter Bearbeitung zu schützen, die diesbezüglich notwendigen Notfallvorsorgemassnahmen sicherzustellen und die Grundsätze dieser Verordnung gemeinsam durchzusetzen.
Sofern die Gesetzgebung nichts anderes vorsieht, gelten für die Ordnungsmässigkeit und Sicherheit im Umgang mit Informatiksystemen, ‑anwendungen, Daten oder Informationen die anerkannten internationalen und nationalen Standards für das Informatiksicherheits- und das Informationsmanagement.
Die KSD:
Der Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank sind in ihrem Zuständigkeitsbereich in Bezug auf die eingesetzten Informatiksysteme, ‑anwendungen, Daten oder Informationen verantwortlich für:
Der Informatiksicherheitsbeauftragte (ISB) der KSD ist verantwortlich für den Aufbau, die Implementierung, die Umsetzung und die Anpassung der gesamten Sicherheitsgrundsätze für den Informatik- und Telekommunikationsbetrieb der KSD als zentrale IT-Servicedienstleisterin und gegenüber allen dieser Verordnung unterstehenden Organisationseinheiten.
Der Fachausschuss der KSD ernennt ein Sicherheits-Gremium (Security-Board), bestehend aus mindestens drei Personen, wovon mindestens zwei Fachspezialisten, welche mit den Fragen der Informatiksicherheit vertraut und erfahren sind. Dieses Gremium berät den ISB, ist Kontrollorgan über die Tätigkeiten des ISB und Eskalationsstelle im Sinne von § 16 Abs. 1 dieser Verordnung.
Für Informatiksysteme, ‑anwendungen und Informationen gelten folgende Schutzziele:
Der Inhaber der Datensammlung und der Betreiber einer Datenbank haben den Schutzbedarf der Daten und Informationen anhand dieser Schutzziele festzulegen.
Die Informatiksysteme, ‑anwendungen sowie die Daten und Informationen sind von allen dieser Verordnung unterstehenden Organisationseinheiten nach folgenden Kriterien zu klassifizieren:
Die KSD erlässt eine Weisung betreffend Klassifizierung von Daten und Informationen.
Die Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank sind befugt, für ihren Zuständigkeitsbereich die Klassifizierung zu verfeinern und zusätzliche interne Weisungen für ihre eigene Organisationseinheit zu erlassen.
Die Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank erstellen einen Plan der organisatorischen und technischen Massnahmen, welche die Erreichung der ermittelten Schutzziele sicherstellt. Die Massnahmen richten sich nach den Anforderungen an den Betrieb und die Sicherheit (§ 9 ff.) sowie nach den weiteren Vorgaben der KSD (§ 14 und § 17). Dabei sind der Grundsatz der Verhältnismässigkeit, der Stand der Technik und die verfügbaren Mittel zu berücksichtigen.
Der Massnahmenplan enthält für alle im Einsatz stehenden Informatiksysteme, ‑anwendungen, Daten oder Informationen folgende Angaben:
Die Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank informieren ihre Mitarbeitenden über die Sicherheitsmassnahmen, die sie zu beachten haben.
Sie sorgen für eine periodische Schulung ihrer Mitarbeitenden.
Zur Verhinderung von Verlust, Beschädigung und Missbrauch von Informatiksystemen, ‑anwendungen, Daten oder Informationen und zur Verhinderung eines Unterbruchs von Geschäftsaktivitäten müssen die Gebäude, Räume und Geräte vor Sicherheitsbedrohungen geschützt werden.
Die KSD stellt sicher, dass Verletzungen der Sicherheitsgrundsätze gemäss dieser Verordnung mit angemessenem Aufwand nachvollzogen und beweistauglich reproduziert werden können.
Der Zugriff auf Informatiksysteme, ‑anwendungen, Daten oder Informationen wird über die Mitgliedschaft in Berechtigungsgruppen und/oder ‑rollen geregelt. Die Benutzer werden in die zur Ausübung ihrer Tätigkeiten erforderlichen Berechtigungsgruppen und/oder ‑rollen aufgenommen. Sie haben sich an Informatiksystemen entsprechend zu authentisieren.
Für die Zuordnung der Zugangsrechte sowie für deren laufende Aktualisierung ist der Inhaber einer Datensammlung zuständig und verantwortlich. Informatiksysteme müssen in der Lage sein, Benutzer entsprechend ihren Berechtigungen zu authentifizieren.
Authentifizierungsmethoden sind der Risikosituation und dem Stand der Technik laufend anzupassen.
Die Zugangsrechte von Mitarbeitenden, Auftragnehmern oder Drittbenutzern zu Informatiksystemen, ‑anwendungen, Daten oder Informationen müssen vom Inhaber einer Datensammlung sofort entzogen werden, wenn ihre Anstellung, ihr Auftrag oder eine entsprechende Nutzung beendet sind oder ein Missbrauch oder eine Verletzung der Sicherheitsgrundsätze gemäss dieser Verordnung festgestellt werden.
Ändern Anstellung, Auftrag oder Nutzung, sind die Zugangsrechte vom Inhaber einer Datensammlung umgehend anzupassen.
Für die Datensicherung auf den zentralen Informatiksystemen der kantonalen Verwaltung ist die KSD zuständig. Die Sicherung umfasst:
Die Datensicherung kann auch Protokollierungsdateien umfassen.
Die gesicherten Daten werden gesondert und sicher aufbewahrt und können zur Rekonstruktion von verlorenen Daten beigezogen und im Rahmen der festgelegten Sicherungskonzepte auch ausgewertet werden. Deren beweistaugliche, gesetzeskonforme und revisionssichere Aufbewahrung sowie deren digitale Langzeitarchivierung bleiben im Verantwortungsbereich des Inhabers einer Datensammlung.
Für die Datensicherung auf den lokalen oder dezentralen Informatiksystemen ist der Inhaber einer Datensammlung selber verantwortlich.
Die KSD kann im Rahmen von Richtlinien oder Weisungen die nötigen Anforderungen an den Betrieb und die Sicherheit weiter definieren oder konkretisieren, insbesondere betreffend:
Die KSD kann für die Ausarbeitung von Richtlinien oder Weisungen die Fachkräfte der Inhaber von Datensammlungen beiziehen und anhören.
Auftretende Unregelmässigkeiten, unerklärliches Systemverhalten, Verlust oder Veränderung von Informatiksystemen, ‑anwendungen, Daten oder Informationen, Verdacht auf Missbrauch der eigenen Benutzererkennung oder andere sicherheitsrelevante Vorkommnisse sind umgehend dem Informatiksicherheitsbeauftragten der KSD (ISB) zu melden. Der ISB orientiert den Datenschutzbeauftragten.
Der Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank richten Verfahren ein, welche eine schnelle, wirksame und planmässige Erkennung und Reaktion auf sicherheitsrelevante Vorkommnisse ermöglichen. Die KSD unterstützt sie dabei.
Die Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank überprüfen regelmässig, jedoch mindestens einmal jährlich, die Schutzziele und die Klassifizierung der in ihrem Zuständigkeitsbereich liegenden Informatiksysteme, ‑anwendungen, Daten und Informationen, die Einhaltung und Angemessenheit der Sicherheitsmassnahmen sowie die Zugangsrechte.
Der Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank führen die notwendigen Dokumentationen gemäss dieser Verordnung aktuell nach und informieren die KSD angemessen und zeitnah.
Ändern Aufgaben, Organisation oder eingesetzte Informatiksysteme, ‑anwendungen oder die damit bearbeiteten Daten und Informationen, treffen der Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank die nötigen Anpassungen (vgl. auch § 11).
Der Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank können die Schutzziele und die Klassifizierung sowie die getroffenen Massnahmen in Abstimmung mit der KSD zusätzlich durch eine qualifizierte unabhängige externe Stelle prüfen lassen. Die Finanzkontrolle von Kanton und Stadt Schaffhausen, die KSD sowie der oder die kantonale Datenschutzbeauftragte können Einsicht in die Berichte nehmen.
Ist der Inhaber einer Datensammlung oder der Betreiber einer zentralen Datenbank nicht mit den Vorgaben der KSD einverstanden, ist das Security Board der KSD (§ 4 Abs. 6) anzurufen. Das Security Board versucht unter Einbezug der anrufenden Stelle eine einvernehmliche Lösung zu finden.
Kann innert drei Monaten seit Anmeldung der Differenz beim Security Board keine einvernehmliche Lösung gefunden werden, entscheidet der Regierungsrat. Der Datenschutzbeauftragte kann vorgängig angehört werden.
Die KSD erlässt und publiziert alle notwendigen Weisungen, Richtlinien oder Reglemente über die Nutzung der Informatiksysteme, ‑anwendungen, Daten und Informationen, für die Sicherstellung eines sicheren und wirtschaftlichen Einsatzes und Betriebes der Informatik und für die Konkretisierung der Schutzziele und die Sicherheitsanforderungen.
Die KSD unterstützt die Inhaber einer Datensammlung und die Betreiber einer zentralen Datenbank in allen Belangen des Vollzuges dieser Verordnung.
Die Inhaber einer Datensammlung und der Betreiber einer zentralen Datenbank haben für alle Informatiksysteme, ‑anwendungen, Daten und Informationen innerhalb von zwei Jahren nach Inkrafttreten dieser Verordnung die Schutzziele (§ 5), die Klassifizierung (§ 6) und den Massnahmenplan (§ 7) in Abstimmung mit der KSD zu erstellen.
Das Reglement über den Schutz und die Sicherung von Daten bei der «KSD Kanton und Stadt Schaffhausen Datenverarbeitung» (Datenschutzreglement) vom 22. April 1980 wird aufgehoben.
Diese Verordnung tritt auf den 1. Januar 2015 in Kraft.
Sie ist im Amtsblatt zu veröffentlichen[1] und in die kantonale Gesetzessammlung aufzunehmen.
| Beschluss | Inkrafttreten | Element | Änderung | Fundstelle |
|---|---|---|---|---|
| 02.12.2014 | 01.01.2015 | Erlass | Erstfassung | Abl. 2014, S. 1759 |
| Element | Beschluss | Inkrafttreten | Änderung | Fundstelle |
|---|---|---|---|---|
| Erlass | 02.12.2014 | 01.01.2015 | Erstfassung | Abl. 2014, S. 1759 |