zur Kenntnisnahme - Berliner Beauftragter für Datenschutz und ...

Bericht des Berliner Beauftragten
für Datenschutz und Informationsfreiheit
scheinlich machen, oder weil die Maßnahmen im Falle
eines Schadens diesen ausreichend begrenzen.
Die IT-Sicherheitsgrundsätze des Senats 24
legen fest,
dass die IT-Grundschutz-Kataloge des Bundesamtes
für die Sicherheit in der Informationstechnik (BSI) 25
bei der Erarbeitung von Sicherheitskonzepten zu verwenden
sind. Um dies zu vereinfachen, hat das IT-
Kompetenzzentrum bei der Senatsverwaltung für Inneres
ein „Modellsicherheitskonzept” erstellt und aktualisiert
es laufend. Nur mit vergleichbaren und fachlich
abgesicherten Vorgehensweisen lässt sich sicherstellen,
dass die Risikoanalysen so vollständig wie
möglich sind und es nicht Zufälligkeiten unterliegt,
welche Risiken man entdeckt. Die Sicherheitsgrundsätze
verlangen auch, dass alljährlich ein IT-Sicherheitsbericht
aus Einzelberichten der Berliner Behörden
zusammengestellt wird. Der aktuell vorliegende
IT-Sicherheitsbericht 2008 stellt die Situation zum
Zeitpunkt der Erhebung im Jahre 2007 dar. Die folgenden
Angaben stützen sich also auf die Selbstdarstellungen
der Behörden und geben nicht Ergebnisse
unserer Kontrollen wieder:
Von den 71 Behörden, die mit ihren Mitteilungen am
Bericht teilgenommen haben, gaben 47 an, dass ein
behördliches Sicherheitskonzept vorliegt. Die übrigen
24 Behörden arbeiteten zum Termin der Abfrage an
einem Sicherheitskonzept. Immerhin ist daraus zu
schließen, dass die nach 2001 zunächst geübte Zurückhaltung
bei der Erarbeitung von Sicherheitskonzepten
inzwischen aufgegeben wurde. Keine Behörde
scheint mehr am Sinn von Sicherheitskonzepten zu
zweifeln. Auch die methodischen Vorgaben (Grundschutz-Kataloge
oder Modellsicherheitskonzept) werden
erfreulicherweise beachtet. Von den 47 gemeldeten
Sicherheitskonzepten waren 37 von der Behördenleitung
bestätigt. Für die übrigen zehn Behörden muss
also angenommen werden, dass eine Umsetzung in
konkrete Maßnahmen noch nicht die Billigung der
Leitungen hat und daher offen bleibt.
Erfreulich ist auch, dass in der Mehrzahl der Behörden
der vorgeschriebene IT-Sicherheitsprozess angelaufen
ist, der für die permanente Überprüfung und Ergänzung
der Sicherheitskonzepte gebraucht wird. In 32
Behörden wurde sogar ein IT-Sicherheitsmanagement
eingerichtet. Dies gilt allerdings nicht für jene sieben
Behörden, die angaben, für die IT-Sicherheit keinerlei
Ressourcen zur Verfügung zu haben. Da die Bereitstellung
von Ressourcen auch in Zeiten der Mittelknappheit
stets eine Prioritätenabwägung darstellt, ist
es diesen Behörden offenbar gleichgültig, ob die In-
Stellungnahme des Senats
Der jährlich erstellte IT-Sicherheitsbericht für die Berliner
Verwaltung ist ein Steuerungsinstrument zur Gewährleistung
des sicheren IT-Einsatzes in der Berliner
Verwaltung. Er basiert auf den Zulieferungen der einzelnen
Behörden und stellt den erreichten Sachstand
dar. Daraus werden die entsprechenden Maßnahmen
abgeleitet, um erkannten Risiken wirksam begegnen
zu können.
Dazu zählt auch die weitere Sensibilisierung aller Verantwortlichen
für die die besondere Bedeutung eines
sicheren IT-Einsatzes. Der Senat unterstützt die Auffassung
des Berliner Beauftragten für Datenschutz und
Informationsfreiheit, dass IT-Sicherheit eine hohe
Priorität besitzt.
24 Grundsätze zur Gewährleistung der notwendigen Sicherheit beim IT-Einsatz in der -Berliner Verwaltung (IT-
Sicherheitsgrundsätze) vom 11. Dezember 2007
25 http://www.bsi.de/gshb/index.htm
13