Art. 5 Direktionsverordnung über Informationssicherheit und Datenschutz (ISDS DV) - ISDS-Analyse und ISDS-Konzept

1. Bei jedem ICT-Projekt bestimmt der Projektausschuss im Rahmen der Projektorganisation eine ISDS-Verantwortliche oder einen ISDS-Verantwortlichen.

2. Die verantwortliche Stelle beurteilt in der Phase Voranalyse mit einer ISDS-Analyse die datenschutzrechtliche Konformität des Vorhabens und bestimmt mit einer Schutzbedarfsklassifizierung, ob bei dem Projekt erhöhte ISDS-Anforderungen bestehen.

3. Erhöhte ISDS-Anforderungen bestehen insbesondere, wenn

a der Wiederbeschaffungswert der Infrastruktur hoch ist,

b ein Ausfall der ICT-Systeme von mehr als einem Arbeitstag gravierende Folgen für die Auftragserfüllung hat,

c eine Wiederherstellung der Daten mit erheblichen Problemen oder Kosten verbunden ist,

d die bearbeiteten Daten besonderen gesetzlichen oder vertraglichen Geheimhaltungsvorschriften unterliegen (z.B. dem Berufsgeheimnis) oder

e eine Datenschutzverletzung für die Betroffenen spürbar nachteilige Folgen hat, was in der Regel bei der Bearbeitung von besonders schützenswerten Personendaten der Fall ist.

4. Ergibt die ISDS-Analyse, dass keine erhöhten ISDS-Anforderungen bestehen, sorgt die verantwortliche Stelle dafür, dass auf den Zeitpunkt der Inbetriebnahme der ICT-Anwendung die massgeblichen Datenschutzvorgaben eingehalten werden und die Informationssicherheit mindestens durch die Umsetzung der ISDS-Grundschutzmassnahmen gewährleistet ist.

5. Ergibt die ISDS-Analyse, dass erhöhte ISDS-Anforderungen bestehen, ist spätestens in der Phase Konzept ein ISDS-Konzept zu erstellen. Im Rahmen dieses Konzepts sind auf der Grundlage einer Risikoanalyse

a die nach Umsetzung der ISDS-Grundschutzmassnahmen für eine angemessene Informationssicherheit und einen angemessenen Datenschutz zusätzlich erforderlichen organisatorischen und technischen Massnahmen zu bestimmen sowie

b die Voraussetzungen dafür zu schaffen, dass diese auf den Zeitpunkt der Inbetriebnahme der ICT-Anwendung umgesetzt werden.

← Art. 4 Direktionsverordnung über Informationssicherheit und Datenschutz (ISDS DV) Gegenstand Art. 6 Direktionsverordnung über Informationssicherheit und Datenschutz (ISDS DV) →