§ 13 Verordnung über die Informatiksicherheit und über die Nutzung von Informatikmitteln (Informatiksicherheitsverordnung) - Zugriffsschutz und Zutrittskontrollen

1. Der Zugriff auf Informationen und Informatikmittel sowie die Vergabe und Mutation von Berechtigungen sind durch die Organe in einem Zugriffskonzept zu regeln.

2. Sicherheitsbereiche müssen durch angemessene Zutrittskontrollen geschützt sein, damit sichergestellt ist, dass nur autorisierten Personen Zutritt gewährt wird.

3. Benutzerpasswörter für die Informatikmittel müssen den Anwenderinnen und Anwendern (Angestellten, Auftragnehmern und Drittbenutzern) durch die Organe in einem geregelten und kontrollierbaren Verfahren zugeteilt werden. Die Anwenderinnen und Anwender müssen dabei auf ihre Verantwortung für die Aufrechterhaltung effektiver Zugriffskontrollen, insbesondere in Bezug auf die Nutzung des Passworts gemäss der entsprechenden Weisung zur Passwort-Policy, und auf die Sicherheit der Benutzergeräte hingewiesen werden.

4. Privilegierte Zugriffsrechte sowie Zugriffsrechte auf vertraulich und geheim klassifizierte Informationen und Informatikmittel dürfen nur in dem für die Ausübung der jeweiligen Rolle erforderlichen Ausmass vergeben werden. Solche Zugriffe müssen protokolliert und die Zugriffsrechte periodisch überprüft werden.

5. Im Rahmen der einzelnen Funktionen eines Systems oder einer Anwendung sind die jeweiligen Anforderungen an die Überprüfung der Identität des Benutzers oder der Benutzerin beziehungsweise des Systems direkt zu formulieren und entsprechend in den Systemen und Anwendungen abzubilden.

6. Zur Authentifizierung des Benutzers oder der Benutzerin ist grundsätzlich das zentrale Benutzerregister zu verwenden.

← § 12 Informatiksicherheitsverordnung Verordnung über die Informatiksicherheit und über die Nutzung von Informatikmitteln (Informatiksicherheitsverordnung) - Gegenstand und Zweck § 14 Informatiksicherheitsverordnung →