WeidenNach ISIS12 zertifiziert
Die moderne Verwaltung hat heute umfangreiche und komplexe Aufgaben, deren Bewältigung ohne elektronische Kommunikationsmedien und Informationstechnologie nicht mehr denkbar ist. Damit verbunden war und ist aber immer auch die Frage nach einem angemessenen Schutz der Bürgerdaten.
Die Stadt Weiden in der Oberpfalz hat sich dieser Herausforderung gestellt. Hier misst man der Informationssicherheit einen hohen Stellenwert bei. Das Bayerische E-Government-Gesetz (BayEGovG) und die seit Mai dieses Jahres geltende Datenschutz-Grundverordnung (DSGVO) bestärkten die Kommune in dieser Hinsicht.
Weiden ist nun die erste kreisfreie Stadt in Bayern, die von der Deutschen Gesellschaft zur Zertifizierung von Managementsystemen (DQS) nach dem ISIS12-Regelwerk für Informationssicherheit zertifiziert ist. Nach eineinhalb Jahren Arbeit konnte Anfang Juni 2018 durch eine Auditorin von DQS die Überprüfung erfolgen. Der Zertifizierung vorausgegangen waren Monate intensiver Arbeit. Dabei stand dem Kern-Team, bestehend aus dem IT-Leiter, dem Informationssicherheitsbeauftragten (ISB) sowie der Datenschutzbeauftragten der Stadt Weiden, mit BSP-Security ein kompetenter externer Berater zur Seite. Wann immer es nötig war, wurde das Kern-Team zudem um Kollegen aus den Fachabteilungen der Stadtverwaltung ergänzt, etwa aus der Hochbauabteilung oder dem Gebäude-Management. Insgesamt waren 18 Personen in den ISIS12-Zertifizierungsprozess involviert, und es fanden allein 22 Meetings mit dem externen Berater statt.
Leitlinie zur Informationssicherheit
Den Startschuss für die Zertifizierung bildete die Unterzeichnung der Leitlinie zur Informationssicherheit durch Weidens Oberbürgermeister Kurt Seggewiß. Die Leitlinie macht deutlich, welch hohen Stellenwert die Leitungsebene des Rathauses der Informationssicherheit beimisst.
Für die Einführung eines nach ISIS12 zertifizierten Informations-Sicherheits-Management-Systems (ISMS) haben sich die Verantwortlichen der Stadt Weiden nach Angaben von Peter Teichmann, IT-Leiter der Stadtverwaltung, bewusst entschieden – obwohl die Kommune bereits über einen hohen technischen Sicherheitsstandard verfügte. „Mit der erfolgreichen Zertifizierung haben wir nicht nur einen Nachweis für unsere Bürger, dass wir mit großer Sorgfalt mit den Daten umgehen, sondern können auch belegen, dass wir den aktuellen gesetzlichen Anforderungen und Bestimmungen gerecht werden“, erklärt Teichmann.
ISIS12 stellt ein Modell zur Einführung eines ISMS in zwölf Schritten dar, das der IT-Planungsrat und die kommunalen Spitzenverbände offiziell für den Einsatz in der kommunalen Sicherheit empfohlen haben. Dabei geht es nicht allein um Sicherheit in der Informationstechnik, sondern auch um bauliche Maßnahmen und organisatorische Abläufe in der Verwaltung. Eine zentrale Stellung in der Informationssicherheit nimmt zudem der Faktor Mensch ein – er hat inzwischen die technischen Gegebenheiten als beliebtestes Angriffsziel überholt. Die eigenen Mitarbeiter stellen somit eine wertvolle Ressource zum Schutz sensibler Informationen dar.
Modulares Schulungskonzept
Bei der Stadt Weiden wurde daher ein modulares Schulungskonzept erstellt, um durch verschiedene Sensibilisierungsmaßnahmen den Faktor Mensch zu einer Stütze des Informationssicherheitskonzepts werden zu lassen. Unter anderem wurden in 14 Präsenzschulungen annähernd 400 Mitarbeiter geschult, vom Sachbearbeiter bis hin zum Oberbürgermeister. In einem weiteren Schritt wurde die komplette Dokumentationsstruktur überdacht und die dafür erforderlichen Rahmendokumente erstellt oder angepasst. Einen enormen Aufwand stellte dabei die Überführung der vorhandenen Dokumentationen in ein gut strukturiertes IT-Betriebshandbuch dar. Dabei stand alles auf dem Prüfstand, angefangen von den Namenskonventionen bis hin zum komplexen IT-Notfallhandbuch mit den für die Stadt Weiden individuellen und spezifischen Gegebenheiten.
Da Kommunen für eine Vielzahl von Aufgabenbereichen zuständig und verantwortlich sind, wurde ein eigenes EDV-Verfahren zur Software-Verwaltung erstellt. In diesem Verfahren sind alle Informationen für ein effizientes Software-Verzeichnis abgelegt. Neben der Anpassung und Dokumentation der Software und verschiedener Ablaufprozesse waren auch diverse bauliche Maßnahmen nötig, um alle gesetzlichen Vorgaben zu erfüllen – so etwa der Einbau neuer Tiefgaragentore.
Kontinuierliche Weiterentwicklung
Die Zertifizierung versteht die Stadt Weiden nicht als einmalige Sache. Das dem Sicherheitskonzept zugrunde liegende PDCA-Prinzip (PDCA steht für das Englische Plan, Do, Check, Act; Planen, Tun, Überprüfen, Umsetzen) überwacht kontinuierlich die Aktualität und die wirksame Umsetzung der noch offenen Sicherheitsmaßnahmen im Sinne einer Revision. Das ISMS ist nach dem ersten Durchlauf etabliert und wird durch interne und optional externe Audits permanent fortgesetzt und weiterentwickelt.
Dieser Beitrag ist in der Ausgabe Dezember 2018 von Kommune21 erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren.
Hessen: Höhere Cybersicherheit
[05.11.2024] Mit dem Aktionsprogramm Kommunale Cybersicherheit sollen hessische Kommunen umfassender in der IT-Sicherheit unterstützt und auf künftige Cyberangriffe vorbereitet werden. mehr...
SIT: Ein Jahr nach dem Ransomware-Angriff
[04.11.2024] Ein Jahr nach der Cyberattacke auf die Südwestfalen-IT haben die Mitarbeitenden gemeinsam mit den IT-Teams betroffener Kommunen die Systeme wiederhergestellt. Um künftig besser gegen Cyberbedrohungen geschützt zu sein, fordert Geschäftsführer Mirco Pinske klarere gesetzliche Regelungen – etwa die Berücksichtigung kommunaler IT-Dienstleister in der NIS2-Richtlinie. mehr...
Sachsen-Anhalt: Mehr IT-Sicherheit für Kommunen
[04.11.2024] Um die Cybersicherheit in Sachsen-Anhalts Kommunen zu stärken, startete das Land gemeinsam mit dem BSI das Pilotprojekt SicherKommunal. Durch das Projekt sollen Städte, Landkreise und Gemeinden gezielt bei der Verbesserung ihrer IT- und Informationssicherheit unterstützt werden. mehr...
Lösungen: Cybersicherheit stärken
[13.09.2024] Die NIS2-Richtlinie bietet die Chance, die IT-Sicherheit auf ein deutlich höheres Level zu heben, ist aber auch mit Herausforderungen verbunden. Kommunen benötigen zudem Lösungen, die speziellen IT-Sicherheitsanforderungen genügen. mehr...
BSI: IT-Sicherheitskennzeichen für Zoom
[11.09.2024] Für zwei seiner Produkte hat der vielfach genutzte Videokonferenzdienst Zoom das IT-Sicherheitskennzeichen vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erhalten. Geprüft wurden unter anderem der Accountschutz, Rechenzentrumsbetrieb und das Update- und Schwachstellenmanagement. mehr...
IT-Sicherheit: Feuerwehr und Firewall
[02.09.2024] Cyberattacken treffen immer öfter auch Verwaltungen. Um kommunale IT besser abzusichern, fordert Vitako eine Reihe von Maßnahmen: eine stärkere Vernetzung, mehr Mittel, den Ausbau des BSI zur Zentralstelle und die Schaffung eines regulativen Rahmens. mehr...
Schwandorf: Siegel für IT-Sicherheit
[29.08.2024] Die Stadt Schwandorf hat vom bayerischen Landesamt für Sicherheit in der Informationstechnik (LSI) jetzt das Siegel „Kommunale IT-Sicherheit“ erhalten. mehr...
Interview: Wertvolle Lehren gezogen
[14.08.2024] Nach dem umfassenden Cyberangriff arbeitet der IT-Dienstleister Südwestfalen-IT an einer strategischen Neuausrichtung. Im Kommune21-Interview berichtet Geschäftsführer Mirco Pinske, wie die Aufarbeitung vorangeht und welche Konsequenzen bereits gezogen wurden mehr...
München: Hauptabteilung für IT-Sicherheit
[02.08.2024] Die bayerische Landeshauptstadt München misst der IT-Sicherheit einen hohen Stellenwert bei. Um dies zu verdeutlichen, wurde im IT-Referat jetzt eine neue Hauptabteilung für Cybersecurity gegründet. Geleitet wird sie von Chief Information Security Officer Thomas Reeg. mehr...
ITEBO: OpenR@thaus-Vorfall aufgearbeitet
[23.07.2024] Mit seinem Verwaltungsportal OpenR@thaus liefert ITEBO zahlreichen Kommunen eine Basisinfrastruktur, um Leistungen, wie vom OZG vorgesehen, digital anbieten zu können. Im Juni war die Lösung aus Sicherheitsgründen offline gestellt worden. Nun berichtet ITEBO im Detail über den Vorfall und dessen Aufarbeitung. mehr...
Crowdstrike-Panne: Geringe Störungen bei Kommunalverwaltungen
[22.07.2024] Das Update des Sicherheitsdienstleisters Crowdstrike, das am Freitag globale IT-Ausfälle auslöste, hat auch dazu geführt, dass der kommunale IT-Dienstleister SIT seine Systeme sicherheitshalber abgeschaltet hat. Die Auswirkungen auf Kommunen waren aber lediglich geringfügig. mehr...
Interview: Angriffe wird es immer geben
[10.07.2024] Öffentliche Einrichtungen rücken zunehmend in den Fokus von Cyber-Kriminellen und staatlich gelenkten Hackern. Kommune21 sprach mit regio-iT-Geschäftsführer Stefan Wolf, wie Städte und Gemeinden den Gefahren begegnen können. mehr...
OpenR@thaus: Serviceportal nicht erreichbar
[02.07.2024] Wegen einer Sicherheitslücke wurde das Serviceportal OpenR@thaus zum zweiten Mal in kurzer Zeit vom Netz genommen. Davon betroffen sind rund 300 Kommunen. Die Wartungsarbeiten dauern derzeit an. Offenbar besteht ein Zusammenhang zu einer Schwachstelle der BundID, die es erlaubt, relativ einfach auf einer eigenen Website ein BundID-Log-in umzusetzen. mehr...
Märkischer Kreis: Bedrohungslagen nehmen zu
[27.05.2024] Eine 100-prozentige Sicherheit gibt es nicht, der Märkische Kreis geht jedoch viele richtige Wege, um einem Hacker-Angriff vorzubeugen. Das zeigt ein Bericht, den der IT-Sicherheitsbeauftragte des Märkischen Kreises jetzt im Digitalausschuss im Kreishaus Lüdenscheid vorgestellt hat. mehr...
OZG-Security: Wie sicher ist die Website?
[24.05.2024] Ein Web-Schnelltest, der im vergangenen Jahr im Rahmen einer OZG-Security-Challenge entwickelt wurde, steht jetzt als Open-Source-Software auf Open CoDE veröffentlicht – getreu dem Motto „Public Money – Public Code“. Geprüft werden sechs ausgewählte IT-Sicherheitsmaßnahmen der eingegebenen URLs. mehr...