Auf Mastodon teilen

Antrag nach dem Informationsfreiheitsgesetz NRW, UIG NRW, VIG Guten Tag, bitte senden Sie mir Folgendes zu:

Sehr << Antragsteller:in >> Ihre Anfrage ist eingegangen und wird derzeit bearbeitet. Mit freundlichen Grüßen

Sehr << Antragsteller:in >> zu Ihrer Anfrage auf der Grundlage des Informationsfreiheitsgesetzes (#285656) erhalten Sie die folgenden Antworten. 1.a.) Unterlagen, aus welchen Angaben zu den getroffenen Maßnahmen zum Schutz der in Ihrer Zuständigkeit verarbeitenten Informationen hervorgehen. Dies kann insbesondere die Informationssicherheitsrichtlinie, das IT-Sicherheitskonzept oder die IT-Sicherheitsrichtlinie sein. 1.b.) Sollte ein solches oder vergleichbares Dokument nicht vorliegen, bitte ich um Übersendung einer kurze Übersicht über die Maßnahmen, die getroffen werden, um die Ihnen anvertrauten Informationen zu schützen. Antwort zu 1a) und 1b) Die vom Rhein-Kreis Neuss vorgenommen Schutzmaßnahmen und die damit verbundenen Sicherheitskonzepte werden nicht offengelegt. Behördliche Unterlagen über die technischen und organisatorischen Maßnahmen gemäß Artikel 32 der Verordnung (EU) 2016/679 unterliegen nicht dem allgemeinen Informationszugang nach dem Informationsfreiheitsgesetz Nordrhein-Westfalen (§ 3 Abs. 3 DSG NRW). Ihr Begehren würde dazu führen, dass die Sicherheitsvorkehrungen entwertet würden, weil entweder Schwachstellen offenkundig würden, gezielte Maßnahmen gegen die Sicherheitsmaßnahmen planbar sind oder in anderer Form ein rechtswidriges Vorgehen eine Sicherheitsmaßnahme aushebeln könnte. Das Recht auf Informationsfreiheit schließt keine Informationen ein, die womöglich zu einer Gefährdung der öffentlichen Sicherheit beitragen können. Gemäß § 6 Satz 1 lit. a) IFG NRW ist der Antrag auf Informationszugang abzulehnen, soweit und solange das Bekanntwerden der Information die öffentliche Sicherheit beeinträchtigen würde. Zum Schutzgut der öffentlichen Sicherheit gehört auch die IT-Sicherheit der Kreisverwaltung. § 6 Satz 1 lit. a) IFG NRW findet auch Anwendung auf den sehr hohen Schutzbedarf (BSI Standard 200-2) der IT-Infrastruktur des Rhein-Kreises Neuss. Die BSI konformen Konzepte des Rhein-Kreises Neuss sind ein wesentlicher Bestandteil zum Schutz der IT-Umgebung. Durch das Bekanntwerden der Informationen könnte eine zielgerichtete Manipulation eine erhebliche Schwächung der Cyber Resilienz des Rhein-Kreises Neuss verursachen. 2.a.) Wird die IT-Umgebung komplett eigenständig betrieben? b.) Falls nein: Welche Teile werden durch einen Dienstleister betreut und welche werden selbst betreut? c.) Bei der Beauftragung von Dienstleistern: Welche Dienstleister werden eingesetzt und über welche Zertifizierung hinsichtlich der Informationssicherheit verfügen diese? Antwort zu 2a) Nein. Antwort zu 2b) und 2c) Siehe Antwort zu 1a) und 1b). 3.a.) Wie viele Mitarbeitenden werden in der IT eingesetzt? b.) Gibt es einen oder mehrere Beauftragte(n) für Informationssicherheit oder Chief Information Security Officer (CISO)? c.) Falls ja, wird diese Funktion in eigener Zuständigkeit wahrgenommen oder ist sie an externe Dienstleister ausgelagert? d.) Sollte diese Funktion ausgelagert sein, bitte ich um Angabe des Dienstleisters und Übersendung der vertraglichen Vereinbarung zum Umfang der übertragenen Aufgaben. Aufgrund des Sachzusammenhangs werden die Fragen 3a) bis 3d) zusammen beantwortet. In der IT sind ca. 20 Personen beschäftigt und es gibt bestellte Personen im eigenen Haus. 4.a.) Wird ein Informationsmanagement-System (ISMS) eingesetzt? b.) Falls ja, nach welchem Standard? (IT-Grundschutzprofil Basisabsicherung Kommunen, BSI IT-Grundschutz, ISO 27001, ISIS12/CISI12, oder andere?) c.) Unterliegt dieses ISMS einer Zertifizierung und durch welche Stelle wird diese vorgenommen? d.) In welchem Abstand werden Audits durchgeführt und wann fand das letzte Audit statt? Ich bitte um Übersendung des letzten Auditberichts. Antwort zu 4a) Ja, es gibt ein nach BSI Standard praktiziertes ISMS. Aufgrund des Sachzusammenhangs werden die Fragen 4b) bis 4d) zusammen beantwortet. Es wird auf die Antwort zu 1a) bis 1b) verwiesen. 5.) Gibt es Unterlagen oder eine Auswertung über IT-Sicherheitsvorfälle und erfolgreich abgewehrte Angriffe auf Ihre IT-Infrastruktur in den letzten 36 Monaten? Antwort zu 5) IT-Sicherheitsvorfälle werden dokumentiert. 6.) Halten Sie ein eigenes Computer Emergency Response Team (CERT) vor, oder gibt es Beteiligungen an einem solchen? Antwort zu 6) Sowohl intern als auch extern. 7.) Welche Kosten sind in den Jahren 2021 und 2022 jeweils für die IT-Sicherheit aufgewendet worden? Sofern kein zentrales, einheitliches IT-System eingesetzt wird und die nachfolgend aufgeführten Aufgaben in Ihrem Zuständigkeitsgebiet bearbeitet werden, bitte ich um differenzierte Angaben nach den Bereichen: - I. Verwaltung - II. Gefahrenabwehr - III. Energie- und Wasserversorgung, sowie Abwasserentsorgung - IV. Schule - V. Gesundheitssystem Antwort zu 7) Die Kosten sind nicht separiert ausgewiesen. Aufwände des Rhein-Kreises Neuss können Sie dem öffentlich gemachten Haushaltsplan entnehmen: https://www.rhein-kreis-neuss.de/de/verwaltung-politik/aemterliste/amt-fuer-finanzen/dienstleistungen/haushalt-haushaltsplan-haushaltssatzung/