§ 8 Verordnung über die Informationssicherheit (ISV) - Dateneignerin oder Dateneigner

1. Die Verantwortung für den Umgang mit Informationen trägt dasjenige öffentliche Organ, das die Informationen zur Erfüllung seiner gesetzlichen Aufgaben bearbeitet. Dieses ist insbesondere zuständig für die Ermittlung des Schutzbedarfs der vorhandenen Informationsbestände und IKT-Anwendungen nach den Schutzzielen gemäss § 8 Abs. 2 IDG. Ergibt eine entsprechende Ermittlung einen über den Grundschutz hinausgehenden Schutzbedarf, ist eine Risikoanalyse inkl. Massnahmenplan zur Risikosenkung durchzuführen.

2. Der Massnahmenplan ist jährlich auf seine Zweckmässigkeit und Aktualität zu überprüfen und muss als Teil des Grundschutzes mindestens Regelungen zu den folgenden Punkten enthalten

a) das Erstellen und Verwalten eines Zugriffs- und Berechtigungskonzepts;

b) die Datenaufbewahrung und -löschung unter Einhaltung der Archivierungsvorschriften;

c) den sicheren Informationsaustausch mit Dritten;

d) den Einbezug der Mitarbeitenden in den Sicherheitsprozess und

e) die Dokumentation von bewilligten und abgelehnten Ausnahmen von Informationssicherheitsmassnahmen sowie des Risikoregisters.

3. Die Dateneignerin oder der Dateneigner berichtet über die Umsetzung von Informationssicherheitsmassnahmen im Rahmen der jährlichen departementalen Berichterstattung.

← § 7 ISV Verordnung über die Informationssicherheit (ISV) - Gegenstand und Zweck § 9 ISV →