Reglement über den Betrieb und die Sicherheit der städtischen Informatik

Dieses Reglement gilt für die gesamte Stadtverwaltung, einschliesslich der städtischen Schulen² und Betriebe.

Informatiksysteme umfassen Hard- und Software inkl. Telefonie, Zugänge zu den Netzwerken sowie Dienste und Dienstleistungen, einschliesslich der bearbeiteten Daten.

Der Stadtrat erlässt ein ICT-Leitbild, in welchem die übergeordneten Zielsetzungen, die Verantwortlichkeiten und die Aufgaben mittel- bis langfristig festgelegt werden.

Das ICT-Leitbild wird regelmässig aktualisiert.

Die Informatikdienste (IDS) sind für den Betrieb der städtischen Informatiksysteme zuständig.

Die Zuständigkeiten bei Cloud-Services richten sich nach der vom Informatik-Lenkungsausschuss (ILA) erlassenen Cloud-Strategie. Weitere besondere Zuständigkeiten richten sich nach dem ICT-Leitbild.

Die Beschaffung, Installation, Anpassung und Entsorgung der städtischen Informatiksysteme erfolgen ausschliesslich gemäss den im ICT-Leitbild festgelegten Zuständigkeiten.

Die zuständigen Stellen sind für die umweltgerechte und sichere Entsorgung einschliesslich Löschung der Daten verantwortlich.

Der Informatik-Lenkungsausschuss (ILA) unterstützt den Stadtrat in allen Informatikfragen.

Er setzt sich wie folgt zusammen:

1. als Vorsitzende bzw. Vorsitzender: Direktorin bzw. Direktor Inneres und Finanzen;

2. als Geschäftsführung: Leiterin bzw. Leiter Informatikdienste;

3. als Vertretung der Direktion Inneres und Finanzen sowie von Bürgerschaft und Behörden: Leiterin bzw. Leiter Finanzen;

4. als Vertretung der übrigen Direktionen: je eine vom Stadtrat gewählte Person, die Leiterin bzw. Leiter einer Dienststelle oder eines Bereichs ist.

Er tagt nach Bedarf, das Sekretariat wird von den Informatikdiensten geführt.

Der Informatik-Lenkungsausschuss (ILA):

1. prüft alle Informatikgeschäfte, die dem Stadtrat unterbreitet werden;

2. erlässt im Rahmen dieses Reglements Weisungen;

3. nimmt alle weiteren Aufgaben gemäss ICT-Leitbild wahr.

Der Ausschuss für Sicherheit und Innovation (ASI) unterstützt den Stadtrat, den Informatik-Lenkungsausschuss (ILA) und die Informatikdienste im Bereich Informationssicherheit.

Er setzt sich wie folgt zusammen:

1. Chief Information Security Officer³ (Vorsitz);

2. weitere, durch den Stadtrat gewählte, stadtinterne Fachpersonen, insbesondere aus den Bereichen Informatik, KI, Recht und Datenschutz;

3. eine vom ASI gewählte externe Fachperson aus dem Bereich der Informationssicherheit.

Er tagt nach Bedarf, das Sekretariat wird von den Informatikdiensten geführt.

Der Ausschuss für Sicherheit und Innovation (ASI) beurteilt ihm vorgelegte Fragen zu Informationssicherheit, insbesonders in Hinblick auf Bedrohungslage, Risiken und governance-relevante Aspekte und unter spezieller Berücksichtigung der ICT-Sicherheit. Nötigenfalls schlägt er den zuständigen Stellen geeignete Massnahmen vor.

Er beurteilt städtische Informatik‑, Digitalisierungs‑ und Innovationsvorhaben, insbesondere Projekte, Konzepte, Reglemente, Richtlinien, Weisungen sowie KI‑basierte Anwendungen, und verabschiedet entsprechende Empfehlungen zu Handen des Informatik‑Lenkungsausschusses (ILA).

Die bzw. der Chief Information Security Officer (CISO) ist für sicherheitsrelevante Problemstellungen der Stadt verantwortlich und bei den Informatikdiensten eingegliedert.

Die bzw. der Chief Information Security Officer (CISO):

1. koordiniert die Informatiksicherheit für die Stadtverwaltung und die städtischen Schulen;

2. berät die Dienststellen bei der Risikobeurteilung, der Festlegung des Schutzbedarfs, der Ermittlung der Sicherheitsmassnahmen sowie deren Umsetzung und Überprüfung.

Die Direktion Technische Betriebe hat für ihre technische Informatik eine eigene IT-sicherheitsverantwortliche Person (CISO-DTB).

Jede Dienststelle ernennt eine Informatikkoordinatorin bzw. einen Informatikkoordinator.

Diese Person:

1. ist erste Ansprechstelle für alle ICT-bezogenen Angelegenheiten innerhalb der Dienststelle;

2. koordiniert mit den Informatikdiensten den täglichen Betrieb und die Planung der Informatiksysteme der Dienststelle;

3. unterstützt die Benutzenden bei Fragen zur Informationssicherheit;

4. meldet festgestellte Risiken und ungewöhnliche Ereignisse umgehend an die Leiterin bzw. den Leiter der Dienststelle.

Daten werden wie folgt klassifiziert:

1. vertraulich: besonders schützenswerte Personendaten, vertraglich geschützte Daten sowie Daten, deren Missbrauch eine Person in gesellschaftlicher oder wirtschaftlicher Hinsicht benachteiligt;

2. intern: Daten, die weder vertraulich noch öffentlich sind;

3. öffentlich: für die Öffentlichkeit bestimmte Daten.

Der Stadtrat legt die Einzelheiten fest.

Der Informatik-Lenkungsausschuss (ILA)

1. erlässt eine Weisung zur Festlegung des Schutzbedarfs;

2. legt einen Massnahmenkatalog pro Schutzbedarfsklasse fest;

3. legt die minimal einzuhaltenden Sicherheitsvorgaben (Grundschutz) fest.

Vom Grundschutz darf nur aufgrund von Einzelfallbewilligungen der bzw. des Chief Information Security Officer (CISO) abgewichen werden.

Leistungsbeziehende Dienststellen legen für ihre Daten (inkl. zugehörige Prozesse, Applikationen und Systeme) den Schutzbedarf fest. Sie sorgen für die Umsetzung der zu treffenden Sicherheitsmassnahmen.

Leistungserbringende Dienststellen ermitteln die zu treffenden Sicherheitsmassnahmen; sie berücksichtigen dabei den Stand der Technik und die Wirtschaftlichkeit. Sie sorgen für die Umsetzung der ihrerseits zu treffenden Sicherheitsmassnahmen.

Die Informatikdienste erteilen den Angestellten die für die Aufgabenerfüllung nötigen Zugriffsrechte, soweit die nötigen Befähigungen nachgewiesen sind. Massgebend ist die organisatorische Zuordnung, soweit die jeweilige Dienststelle nichts anderes anordnet.

Die Dienststellen melden den Informatikdiensten Ein- und Austritte von Angestellten sowie andere Veränderungen, welche für die Festlegung der Zugriffsrechte relevant sind, bevor sie wirksam werden.

Dienststellen, welche für Cloud-Services verantwortlich sind, verwalten die entsprechenden Zugriffsrechte selbst.

In dienstlichen Notfällen kann die Dienststellenleitung die Informatikdienste beauftragen, auf das Postfach oder auf Dateien des persönlichen Laufwerkes eines oder einer nicht erreichbaren Angestellten zuzugreifen, um wichtige und dringend benötigte dienstliche Informationen zu beschaffen. Die bzw. der Chief Information Security Officer (CISO) führt den Auftrag in Begleitung der Fachstelle für Datenschutz aus und informiert die betroffene Person nachträglich schriftlich.

Ist bei einer Abwesenheit von mehr als zwei Arbeitstagen der Abwesenheitsassistent eines bzw. einer Angestellten nicht eingerichtet, so kann die Dienststellenleitung mit Einverständnis der bzw. des Chief Information Security Officers (CISO) die Informatikdienste beauftragen, diese Einrichtung vorzunehmen.

Wenn eine Dienststelle Daten durch Dritte, welche diesem Reglement nicht unterstehen, bearbeiten lässt, wird im Zusammenarbeitsvertrag vereinbart, welche Pflichten die Leistungserbringerin bzw. der Leistungserbringer zu übernehmen hat und wie deren Einhaltung sowie die Einhaltung der gesetzlichen Bestimmungen kontrolliert wird.

Vor Vertragsunterzeichnung nimmt die Dienststelle Rücksprache mit der bzw. dem Chief Information Security Officer (CISO) und der Datenschutzfachstelle.

Der Datenaustausch über öffentliche Netze ist nur über gesicherte Zugangspunkte zulässig. Als öffentlich gelten alle Netze ausserhalb des städtischen Netzwerkverbundes.

Der Zugriff von öffentlichen Netzen auf den städtischen Netzwerkverbund erfolgt über die von den Informatikdiensten bereitgestellten, gesicherten Netzübergänge.

Die bzw. der Chief Information Security Officer (CISO) kann Ausnahmen bewilligen.

Wer Leistungen erbringt, sorgt für die Feststellung der Schwachstellen und plant allfällige Nachbesserungen.

Bei Neu- oder Ersatzbeschaffungen von Informatiksystemen legen die jeweiligen Projektverantwortlichen in Absprache mit der bzw. dem Chief Information Security Officer (CISO) und der Datenschutzfachstelle die erforderlichen Informationssicherheits- und Datenschutzmassnahmen im Rahmen der Projekte fest.

Die Dienststellen informieren ihre Angestellten über die Sicherheitsmassnahmen, die sie zu beachten haben.

Sie sorgen dafür, dass diese die angebotenen städtischen Ausbildungsmassnahmen zur Informationssicherheit absolvieren.⁴

Die Dienststellen sind verantwortlich, dass die Einhaltung und die Angemessenheit der Informationssicherheitsmassnahmen regelmässig, mindestens alle drei Jahre, überprüft werden. Sie erstatten dem bzw. der Chief Informations Security Officer (CISO) darüber Bericht.