Für einen individuellen Ausdruck passen Sie bitte dieEinstellungen in der Druckvorschau Ihres Browsers an. Regelwerk Anlagensicherheit Information/Kommunikation
| Für einen individuellen Ausdruck passen Sie bitte die Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk Anlagensicherheit Information/Kommunikation | |
ISRL-Datensicherung - Informationssicherheitsrichtlinie über die Datensicherung
- Niedersachsen -
Vom 23. Oktober 2013
(Nds. MBl. Nr. 44 vom 27.11.2013 S. 865; 10.04.2017 S. 487 17; 25.11.2020 S. 1492*; 05.03.2021 S. 473 aufgehoben)
Gem. RdErl. d. MI, d. StK u. d. übr. Min. v. 23.10.2013
- CIO-02850/0110-0005 -
Bezug: Gem. RdErl. v. 9.11.2016 (Nds. MBl. S. 1193) - VORIS 20500 - 17
1. Gegenstand und Geltungsbereich 17
Diese Informationssicherheitsrichtlinie über die Datensicherung (ISRL-Datensicherung) regelt auf Grundlage der Leitlinie zur Gewährleistung der Informationssicherheit (ISLL) - Bezugserlass - in Form von Mindestanforderungen die Grundsätze der Datensicherung in der niedersächsischen Landesverwaltung. Diese Grundsätze gelten für alle elektronisch verarbeiteten Informationen (z.B. Dokumente in Dateiform, Inhaltsdaten der Fachanwendungen, Systemdaten, Protokolldaten).
Diese Informationssicherheitsrichtlinie gilt im gesamten Geltungsbereich der Leitlinie zur Gewährleistung der Informationssicherheit (Nummer 1.1 bis 1.3 des Bezugserlasses).
2. Begriffsbestimmungen
Im Sinne dieser Informationssicherheitsrichtlinie ist
2.1 "Datensicherung" das Kopieren von elektronisch gespeicherten Daten und erforderlichen Metainformationen, um sie im Fall eines Datenverlustes wiederherstellen zu können;
2.2 "Datenwiederherstellung" die Rekonstruktion der elektronisch gespeicherten Daten in ihren vorherigen Kontext aus einer Datensicherung.
3. Organisatorische und technische Maßnahmen der Behördenleitung
Die Behördenleitung ist im Rahmen ihrer Zuständigkeit für die Gewährleistung der Informationssicherheit verantwortlich. Zur Umsetzung dieser Informationssicherheitsrichtlinie sind durch die Behördenleitung die notwendigen organisatorischen und technischen Maßnahmen zu veranlassen. Die Sicherheitsanforderungen können auch dadurch erfüllt werden, dass die Behördenleitung einen Dritten (z.B. IT-Dienstleister, Landesbetrieb) mit der Umsetzung von Maßnahmen beauftragt. Entsprechende Vereinbarungen oder Verträge mit dem Dritten sind aktenkundig zu machen.
Soweit sichergestellt ist, dass die durch diese Informationssicherheitsrichtlinie festgelegten Mindestanforderungen vollständig umgesetzt werden, ist die weitere Ausgestaltung der Maßnahmen in Art und Umfang freigestellt.
4. Umsetzung
4.1 Die Umsetzung der Sicherheitsanforderungen (Nummer 6) soll vorrangig durch technische Maßnahmen erfolgen, die durch organisatorische Maßnahmen ergänzt werden.
4.2 Zur organisatorischen Umsetzung der Sicherheitsanforderungen werden die Erstellung eines Anforderungskatalogs zur Datensicherung auf der Basis der in der Anlage 1 dargestellten Checkliste sowie die Erstellung einer Datensicherungskonzeption auf der Basis der in der Anlage 2 dargestellten Gliederung vorgeschlagen.
4.3 Es sind ggf. ergänzende organisatorische Maßnahmen zu ergreifen, insbesondere wenn sich Sicherheitsanforderungen unmittelbar an die Anwenderinnen und Anwender richten. Bei der Gestaltung organisatorischer Maßnahmen, insbesondere bei der Erstellung von Dienstanweisungen, ist zu beachten, dass diese auch für Anwenderinnen und Anwender ohne vertiefte IT-Kenntnisse verständlich und tatsächlich umsetzbar sind. Die spezifischen Sicherheitsmaßnahmen der einzelnen Sicherheitsdomänen müssen in einem angemessenen Verhältnis zur praktischen Handhabbarkeit durch die Anwenderinnen und Anwender stehen.
5. Innerbehördliche Zuständigkeit und Organisation
Die Behördenleitung legt die innerbehördlichen Zuständigkeiten (zuständige Stellen) und ggf. die erforderlichen Prozesse für die Umsetzung der technischen und organisatorischen Maßnahmen aufgrund dieser Informationssicherheitsrichtlinie in eigener Zuständigkeit fest.
6. Sicherheitsanforderungen
6.1 Grundsatz der zentralen Datenspeicherung
Die Datenspeicherung soll grundsätzlich zentral auf serverbasierten IT-Systemen der Dienststellen, einer Behörde, einer Fachverwaltung oder eines IT-Dienstleisters erfolgen.
6.2 Grundsätze zur Datensicherung
6.2.1 Die Datensicherung soll regelmäßig, automatisiert und zentral erfolgen.
6.2.2 Die gesicherten Daten sollen räumlich getrennt von den zu sichernden Daten aufbewahrt werden.
6.3 Anforderungen an die Datensicherung
6.3.1 Die Behördenleitung verantwortet die fachlichen Anforderungen an die Sicherung der Daten, einschließlich der Daten auf mobilen Endgeräten und Speichermedien. Es ist dabei unter Berücksichtigung der Risiken für die Verfügbarkeit der zu sichernden Daten sowie für die Vertraulichkeit und Integrität der gesicherten Daten und unter Wirtschaftlichkeitsaspekten zu bestimmen, welche Daten wie zu sichern und wie die Sicherungsdaten aufzubewahren sind. Der Anforderungskatalog ist aktenkundig zu machen.
6.3.2 Für die betriebliche Umsetzung der fachlichen Anforderungen hat die Behördenleitung eine Datensicherungskonzeption zu veranlassen, die mindestens die Festlegungen zur Datensicherung, zur Aufbewahrung der Sicherungsdaten, zur Datenwiederherstellung und zur Überprüfung der Wiederherstellbarkeit der gesicherten Daten umfasst.
6.4 Datenverlust
Die Behördenleitung stellt sicher, dass die oder der zuständige Informationssicherheitsbeauftragte im Fall eines Datenverlustes informiert wird.
6.5 Datenwiederherstellung
Die Entscheidung zur Datenwiederherstellung und zu deren Umfang ist ausschließlich von der dafür zuständigen Stelle zu treffen und aktenkundig zu machen.
6.6 Vertraulichkeit und Datenschutz
6.6.1 Die Vertraulichkeitsanforderung an die gesicherten Daten ergibt sich grundsätzlich aus der höchsten Vertraulichkeitsanforderung der zu sichernden Daten. Aus der Konzentration einer Vielzahl vertraulicher Daten kann sich eine höhere Vertraulichkeitsanforderung der gesicherten Daten ergeben.
6.6.2 Die Behördenleitung stellt sicher, dass Sicherungsmedien gelöscht oder vernichtet werden, sobald die Zweckbestimmung eine weitere Aufbewahrung der Sicherungsdaten nicht mehr erfordert.
6.7 Information der Anwenderinnen und Anwender
Die Anwenderinnen und Anwender sind über den Umfang der Datensicherung und das Verfahren zur Datenwiederherstellung zu informieren.
6.8 Sicherstellung der Wirksamkeit
Die Behördenleitung verantwortet die Überprüfung, ob
Die ordnungsgemäße Funktion der Datensicherungsprozesse ist insbesondere durch regelmäßige Überprüfungen der Wiederherstellbarkeit der gesicherten Daten festzustellen. Die Ergebnisse der Prüfungen sind aktenkundig zu machen.
Dieser Gem. RdErl. tritt am 01.11.2013 in Kraft und mit Ablauf des 30.06.2021 außer Kraft.
| Checkliste für einen Anforderungskatalog zur Datensicherung | Anlage 1 17 |
1. Betroffener Datenbestand
1.1 Die Datensicherung soll folgende(s) Verfahren betreffen: [ ... ].
1.2 Es sollen die Daten des genannten Verfahrens gesichert werden, soweit sie in folgenden Systemumgebungen gespeichert sind:
1.3 Die Datensicherung soll folgende vom Verfahren genutzten IT-Systeme umfassen: [ ... ].
2. Spezifikation der zu sichernden Daten
Es ist festzulegen, für welche der folgenden gespeicherten Daten die Datensicherung durchzuführen ist:
3. Katalog der Anforderungen
3.1 Anforderungen an die Verfügbarkeit der zu sichernden Daten
Die Anforderungen an die Verfügbarkeit der zu sichernden Daten sind anhand der Schutzkategorien "normal", "hoch" oder "sehr hoch" gemäß der ISRL-Konzeption zu beschreiben; dabei ist zu entscheiden,
3.2 Anforderungen an die Integrität der gesicherten Daten
Die Anforderungen an die Integrität der Daten sind anhand der Schutzkategorien "normal", "hoch" oder "sehr hoch" der gemäß der ISRL-Konzeption für die Datensicherung, die Aufbewahrung der Sicherungsdaten und die Datenwiederherstellung zu beschreiben.
3.3 Anforderungen an die Vertraulichkeit der gesicherten Daten
Die Anforderungen an die Vertraulichkeit der Daten sind nach folgenden Maßstäben für die Datensicherung, die Aufbewahrung der Sicherungsdaten und die Datenwiederherstellung zu beschreiben:
3.4 Einflussfaktoren für die Datensicherung Festzulegen sind
4. Beauftragung der Datensicherung
Mit der Datensicherung wird [ ... ] beauftragt.
5. Beauftragung der Datenwiederherstellung
Die Datenwiederherstellung wird von [...] veranlasst und von [ ... ] durchgeführt.
6. Beauftragung von Übungen
Die Wirksamkeit der Datensicherung wird monatlich/halbjährlich/jährlich/[ ... ] mittels einer Übung überprüft.
7. Beauftragung von Kontrollen
[ ... ] kontrolliert im Abstand von [...] die Konsistenz, Vollständigkeit, Lesbarkeit und Rekonstruierbarkeit der Sicherungsdaten.
| Gliederung für eine Datensicherungskonzeption | Anlage 2 |
1. Fachliche Vorgaben
Die fachlichen Vorgaben für eine Datensicherungskonzeption ergeben sich aus dem Anforderungskatalog zur Datensicherung:
1.1 betroffener Datenbestand;
1.2 Spezifikation der zu sichernden Daten;
1.3 Anforderungen an die Verfügbarkeit der Daten;
1.4 Anforderungen an die Vertraulichkeit der Daten;
1.5 Anforderungen an die Integrität der Daten;
1.6 fachliche Vorgaben zu folgenden Einflussfaktoren:
2. Betriebliche Konzeption
Die Datensicherungskonzeption soll in strukturierter Form Festlegungen für die Datensicherung, die Aufbewahrung der Sicherungsdaten, die Datenwiederherstellung und für Übungen zur Datenwiederherstellung treffen, und zwar
Insbesondere können folgende Festlegungen in Betracht kommen:
2.1 für die Datensicherung:
2.2 für die Aufbewahrung der Sicherungsdaten:
2.3 für die Datenwiederherstellung:
2.4 für die Übungen zur Datenwiederherstellung:
 | ENDE |