Bemerkungen des Bundesrechnungshofes 2005 - Beispielklagen

Drucksache 16/160 – 138 – Deutscher Bundestag – 16. Wahlperiode
Betreuungskapazitäten bleiben die auch vom Bundesministerium
als primäres Ziel bezeichneten Wirtschaftlichkeitsvorteile
ungenutzt. Das Bundesministerium sollte die
Konzeption für die Informationstechnik in den Verkehrszentralen
umgehend überprüfen. Den Planungen sollten
diejenigen Ergebnisse, die die Wirtschaftlichkeit und
technische Verfügbarkeit der Verkehrszentralen schnell
Bundesministerium der Verteidigung
(Einzelplan 14)
17 IT-Sicherheitsbericht und Vorschriften
zur IT-Sicherheit nicht aktuell
17.0
Die vom Bundesministerium der Verteidigung erstellten
IT-Sicherheitsberichte sind – wie auch Vorschriften zur IT-
Sicherheit – nicht aktuell und beschreiben den Zustand
der IT-Sicherheit im Verteidigungsbereich nur unzureichend.
Die Bundeswehr kann sie daher kaum als Controlling-Instrument
nutzen. Der Bundesrechnungshof hat
empfohlen, die Berichte wie vorgesehen jährlich zu erstellen.
Die Vorschriften zur IT-Sicherheit sollten den aktuellen
Stand der technischen Entwicklung berücksichtigen.
Die Bundeswehr sollte die aktuellen, ressortübergreifenden
Empfehlungen des Bundesamtes für Sicherheit in der
Informationstechnik stärker beachten.
17.1
Dienststellen der Bundeswehr untersuchen in regelmäßigen
Abständen, ob in ihrem nachgeordneten Bereich die
IT-Sicherheit gewährleistet ist (IT-Sicherheitsinspektion).
Das Ergebnis fassen sie anhand einer dreistufigen
Skala zusammen (IT-Sicherheit ist gewährleistet, eingeschränkt
gewährleistet oder nicht gewährleistet). Jeder
Organisationsbereich stellt die Ergebnisse seiner IT-Sicherheitsinspektionen
zusammen und teilt sie dem Bundesministerium
der Verteidigung (Bundesministerium)
mit, das – unabhängig von Maßnahmen bei aktuellen Sicherheitsvorfällen
– nach der Zentralen Dienstvorschrift
zur „IT-Sicherheit in der Bundeswehr“ (Zentrale Dienstvorschrift)
jährlich einen IT-Sicherheitsbericht erstellen
soll.
Der Bundesrechnungshof prüfte mit Unterstützung des
Prüfungsamtes des Bundes Koblenz die Vorschriften zur
IT-Sicherheit in der Bundeswehr und deren Anwendung.
Er stellte fest, dass das Bundesministerium den jährlich
vorgesehenen IT-Sicherheitsbericht zuletzt für das Jahr
2000 erstellt hatte. Die Erkenntnisse der Sicherheitsinspektionen
der Jahre 2001 und 2002 hatte es zu einem Bericht
zusammengefasst. Die IT-Sicherheitsberichte informierten
weder über die Anzahl durchgeführter IT-Sicher-
steigern, zugrunde gelegt werden. Das Bundesministerium
muss unverzüglich die Systembetreuung bündeln
und qualifizieren. Außerdem sollte es alsbald die Einhaltung
der vorgeschriebenen Systemverfügbarkeit nachweisen
und ein auf einer Risikoanalyse basierendes IT-
Sicherheitskonzept sowie ein Wartungs- und Pflegekonzept
erarbeiten.
heitsinspektionen noch über deren jeweilige Ergebnisse.
Sie wiesen auch nicht auf Risiken mangelhafter IT-Sicherheit
hin. Das Bundesministerium beabsichtigt, auch
für die Jahre 2003 und 2004 einen zusammengefassten
IT-Sicherheitsbericht zu erstellen.
Das Bundesamt für Sicherheit in der Informationstechnik
(BSI) verfasst regelmäßig aktuelle Hinweise, wie die IT-
Sicherheit gewährleistet werden kann. Diese Hinweise
nutzt grundsätzlich die gesamte Bundesverwaltung. Einige
Verwaltungen erließen eigene ergänzende Vorschriften.
Für den Verteidigungsbereich regelte das Bundesministerium
die gesamte IT-Sicherheit mit einer Vielzahl
eigener Vorschriften. Bis auf eine Ausnahme stammten
alle Regelungen aus den 90er-Jahren. Das Bundesministerium
überarbeitete u. a. die Zentrale Dienstvorschrift
seit mehreren Jahren ohne abschließendes Ergebnis. Einige
Dienststellen der Bundeswehr nutzten neben den
Vorschriften des Bundesministeriums die Empfehlungen
des BSI.
17.2
Der Bundesrechnungshof hat beanstandet, dass
● das Bundesministerium keinen eindeutigen Maßstab
festgelegt hat, wie es die Ergebnisse der IT-Sicherheitsinspektionen
für den IT-Sicherheitsbericht bewertet,
● der IT-Sicherheitsbericht nicht darüber informiert, zu
welchen Risiken mangelhafte IT-Sicherheit führt,
● der IT-Sicherheitsbericht veraltet ist, weil das Bundesministerium
ihn nicht wie vorgesehen jährlich erstellt,
● die Bundeswehr überwiegend ohne aktuelle und
brauchbare IT-Sicherheitsvorschriften arbeitet, weil es
jahrelanger Abstimmungsprozesse bedarf, bis sie eigene
IT-Sicherheitsvorschriften erstellt oder fortschreibt,
● das Bundesministerium die Zentrale Dienstvorschrift
noch nicht aktualisiert hat, obwohl es dem Bundesrechnungshof
zugesagt hatte, dies bis zum Jahre 2003
zu tun.