Informationssicherheit, Umsetzung in den Direktionen und der Staatskanzlei, Stellenpläne, gebundene Ausgabe

1. Ausgangslage Den rechtlichen Rahmen für die Informationssicherheit in der kantonalen Verwaltung bildet das Gesetz über die Information und den Datenschutz (IDG; LS 170.4) sowie die Verordnung über die Informationsverwaltung und -sicherheit (IVSV; LS 170.8). Die Allgemeine Informationssicherheitsrichtlinie (AISR) wurde mit RRB Nr. 795/2019 erlassen und dient der Umsetzung der rechtlichen Vorgaben zur Informationssicherheit. Ziel der AISR ist es, die Informationssicherheit in der gesamten kantonalen Verwaltung nachhaltig und wirtschaftlich zu verbessern und ein durchgehend risikoadäquates Sicherheitsniveau zu erreichen. Aus der AISR sind Besondere Informationssicherheitsrichtlinien (BISR) abgeleitet, welche die Ziele und Grundsätze der AISR konkretisieren. Die von der Fachgruppe Informationssicherheit (FAGIS) erarbeiteten BISR wurden im Juni 2020 vom Steuerungsgremium Digitale Verwaltung und IKT (SDI) festgesetzt. Die Umsetzung der BISR in den Direktionen und der Staatskanzlei erfolgt in direktionsinternen Projekten. Damit die Umsetzung zeitnah und fachgerecht erfolgen kann, müssen finanzielle Mittel bereitgestellt werden. Gleichzeitig wurde im Rahmen des Programms zur Umsetzung der IKT-Strategie im Projekt IKT-Sicherheit (RRB Nr. 625/2019) das Geschäftsorganisationskonzept Informationssicherheit erarbeitet, das die zukünftige Organisation der Informationssicherheit im Kanton Zürich beschreibt. Für die Umsetzung der zukünftigen Organisation sind personelle Mittel bereitzustellen. Wie der Regierungsrat mit Beschluss Nr. 780/2017 festgehalten hat, ist die Kantonspolizei aufgrund ihrer Sonderstellung nicht Gegenstand des vorliegenden Beschlusses zur Umsetzung der Informationssicherheit in den Direktionen und der Staatskanzlei. Ebenfalls nicht im Geltungsbereich ist das Mittelschul- und Berufsbildungsamt (MBA). Für die Sicherstellung der Informationssicherheit im MBA wurde mit Beschluss Nr. 1178/ 2019 bereits die Stelle «Informatikspezialist/in mbA (Datenschutz und Datensicherheit Schulen Sek II)» neu geschaffen.

2. Umsetzung der Sicherheitsorganisation in den Direktionen und der Staatskanzlei Die oder der «Informationssicherheitsbeauftragte der Direktion oder Staatskanzlei» (ISID) ist gemäss Geschäftsorganisationskonzept Informationssicherheit für die Informationssicherheit innerhalb einer Direktion bzw. der Staatskanzlei zuständig. Sie oder er ist auch verantwortlich für die Steuerung und Koordination der Umsetzung der BISR in der jeweiligen Direktion bzw. in der Staatskanzlei. Die Rolle der oder des ISID wird heute mehrheitlich von der oder dem Informatikverantwortlichen der Direktion oder Staatskanzlei (IVAD) wahrgenommen, was jedoch im Widerspruch zu Ziff. 4.1 «Zuständigkeiten» der AISR steht. Aus Gründen der Regelkonformität (Compliance) ist die Funktion der oder des IVAD von der Funktion der oder des ISID zu trennen. Um diese Rollentrennung zu gewährleisten und die wachsenden Anforderungen in der Informationssicherheit zu erfüllen, werden sieben unbefristete Stellen «Informationssicherheitsbeauftragte/r der Direktion / der Staatskanzlei, ISID» (Informatikspezialist/in mbA LK 21) auf den 1. Januar 2021 in den Direktionen und in der Staatskanzlei geschaffen: – Direktion der Justiz und des Innern (1,0 Stelle) – Sicherheitsdirektion (1,0 Stelle) – Finanzdirektion (0,6 Stellen) – Volkswirtschaftsdirektion (1,0 Stelle) – Gesundheitsdirektion (0,8 Stellen) – Bildungsdirektion (1,0 Stelle) – Baudirektion (1,0 Stelle) – Staatskanzlei (0,6 Stellen) Die Einreihung der neu zu schaffenden Stellen erfolgt analog zur mit RRB Nr. 625/2019 im Amt für Informatik (AFI) geschaffenen Stelle. Diese Einreihung wurde vom Personalamt überprüft. Die Direktionen und die Staatskanzlei kompensieren den jeweiligen Aufwand für die zu schaffenden Stellen nach Möglichkeit innerhalb ihrer Budgets im Jahr 2021 und stellen den jeweiligen Aufwand im Konsolidierten Entwicklungs- und Finanzplan (KEF) 2022–2025 ein.

3. Umsetzung der BISR in den Direktionen und der Staatskanzlei Für die Umsetzung der BISR fehlen den Direktionen und der Staatskanzlei das spezifische Fachwissen im Bereich Informationssicherheit sowie die personellen Mittel auf taktischer und operativer Ebene. Darum unterstützt der kantonale Informationssicherheitsbeauftragte die ISID der Direktionen und der Staatskanzlei bei der Umsetzung der BISR per- sonell und fachlich mit einem Pool von externen Informationssicherheitsexpertinnen und -experten. Der externe Expertenpool wird vom AFI bereitgestellt und finanziert. Die Expertinnen und Experten erstellen Schutzbedarfsanalysen sowie Informationssicherheits- und Datenschutzkonzepte (ISDS) einschliesslich Risikoanalysen. Sie unterstützen zudem die Direktionen und die Staatskanzlei bei der Identifikation von Abweichungen zu den BISR sowie bei der Erarbeitung von geeigneten Schutzmassnahmen. Mit dem externen Expertenpool werden vorübergehend personelle Mittel zur Verfügung gestellt, um Rückstände in Bezug auf die Anforderungen der AISR und BISR aufzuarbeiten. Die Kosten von Schutzmassnahmen können zurzeit nicht abgeschätzt werden. Sie sind davon abhängig, wie hoch die Risiken sind und wie mit diesen umgegangen wird. Es ist in der Verantwortung der Direktionen und der Staatskanzlei, die Finanzierung von Schutzmassnahmen sicherzustellen. Die Kosten für die Umsetzung der BISR werden wie folgt veranschlagt: Gemäss der Erhebung der Kantonsapplikationen im Rahmen des Programms zur Umsetzung der IKT-Strategie umfasst das Applikationsportfolio der kantonalen Verwaltung insgesamt 1274 Applikationen (Stand 1. Oktober 2020). Gemäss Erfahrungswerten weisen rund 20% dieser Applikationen einen erhöhten Schutzbedarf aus. Die nachfolgende grobe Schätzung der Personalkosten rechnet mit einem externen Tagessatz von Fr. 1800. Als Grundlage für die Schätzung des externen Personalbedarfs wird der Aufwand je Applikation mit erhöhtem Schutzbedarf mit drei Personentagen veranschlagt, für eine Applikation mit normalem Schutzbedarf mit einem Personentag. Tabelle 1: Schätzung der Personalkosten für Expertenpool Kategorie Applikationen Applikationen Applikationen Aufwand Kosten total mit erhöhtem mit normalem Expertenpool in Schutzbedarf Schutzbedarf Personentagen in Franken Kantonsapplikation 11 2 9 15 27 000 Grundversorgung 140 28 112 196 352 800

Fachapplikation 1 123 225 898 1 573 2 831 400 Total 1 274 255 1 019 1 784 3 211 200 Insgesamt ergeben sich für den Zeitraum 2021–2023 Kosten für externe Dienstleistungen von Fr. 3 211 200. Sie verteilen sich über die Jahre grob wie folgt: Tabelle 2: Jährliche Kosten für externe Dienstleistungen (in Franken) 2021 2022 2023 Total 1 300 000 1 300 000 611 200 3 211 200

4. Finanzierung des externen Personalbedarfs Bei der Finanzierung der externen Dienstleistungen handelt es sich um gebundene Ausgaben gemäss § 37 Abs. 2 lit. a des Gesetzes über Controlling und Rechnungslegung (LS 611). Die Kosten sind weder im Budget 2021 noch in den Planjahren 2022 und 2023 im KEF 2021–2024 eingestellt. Die Kosten für 2021 werden mittels Nachtragskredit beantragt. Eine Kompensation im Budget 2021 des AFI ist nicht möglich. Die Kosten für 2022 und 2023 werden in den KEF 2022–2025 eingestellt. Bei einem Verzicht können die rechtlichen Vorgaben nicht eingehalten werden. Vor allem aber müssten hohe Risiken wie Datenabflüsse, Verluste von kritischen Geschäftsinformationen oder Ausfälle der IKT-­ Infrastruktur in der kantonalen Verwaltung in Kauf genommen werden.

5. Änderung bisherigen Rechts Die Netzwerk-Sicherheitsrichtlinien (Network Security Policy NSP 2014) vom 16. Mai 2014 werden durch die neue BISR 17, Richtlinie für die Verwaltung der Netzwerksicherheit, ersetzt. RRB Nr. 1298/2014 kann daher aufgehoben werden.

6. Gremium Steuerung Digitale Verwaltung und IKT (SDI) Das Gremium SDI hat den Antrag betreffend Informationssicherheit, Umsetzung in den Direktionen und der Staatskanzlei, an seiner Sitzung vom 11. November 2020 zuhanden des Regierungsrates vorberaten und zustimmend von ihm Kenntnis genommen.