D1_LZfD-Sicherheitsleitlinie_6.0.pdf

[Seite 1]

Sicherheitsleitlinie

1

[Seite 2]

Abkürzungsverzeichnis

Begriffsverzeichnis

Für die Dokumente des ISMS des LZfD wird im LZfD-Intranet auf den Seiten des

Informationssicherheitsbeauftragten ein zentrales Begriffsverzeichnis (Glossar) geführt. Diese

Begriffsbestimmungen sind verbindlich.

2

[Seite 3]

Dokumentenhistorie

3

[Seite 4]

4

[Seite 5]

Inhaltsverzeichnis

1 Einleitung .................................................................................................................................................................... 6

1.1 Zielsetzung ....................................................................................................................................................... 6

1.2 Geltungsbereich ............................................................................................................................................. 6

1.3 Bedeutung der Sicherheit im LZfD ......................................................................................................... 6

1.4 Verwendung von Schlüsselworten ........................................................................................................ 7

2 Sicherheitsziele im LZfD ...................................................................................................................................... 8

3 Verantwortlichkeiten ............................................................................................................................................. 9

4 Sicherheitsverstöße ............................................................................................................................................. 10

5 Informationssicherheitsmanagementsystem ............................................................................................ 11

6 Übergreifende Sicherheitsanforderungen ................................................................................................. 12

7 Freigabe und Veröffentlichung ....................................................................................................................... 14

5

[Seite 6]

1 Einleitung

1.1 Zielsetzung

Durch diese Sicherheitsleitlinie werden grundlegende Kriterien für das Verhalten jeder und

jedes Einzelnen in Bezug auf sicherheitsrelevante Fragestellungen aufgezeigt sowie

allgemeine und übergreifende Sicherheitsanforderungen gestellt. Gleichzeitig bildet sie einen

verbindlichen Handlungsrahmen für das Landeszentrum für Datenverarbeitung (LZfD) und ist

Grundlage für eine rechtskonforme Aufgabenerfüllung.

Durch die Sicherheitsleitlinie soll sichergestellt werden, dass dem jeweiligen Schutzzweck

angemessene und dem Stand der Technik entsprechende Sicherheitsmaßnahmen ergriffen

werden, um alle organisationseigenen Werte und personenbezogenen Daten angemessen zu

schützen und um die Verfügbarkeit von informationstechnischen beziehungsweise

kommunikationstechnischen Verfahren zu gewährleisten.

1.2 Geltungsbereich

Der Geltungsbereich dieser Sicherheitsleitlinie umfasst alle internen und externen

Mitarbeiterinnen und Mitarbeiter, Räumlichkeiten, Geschäftsprozesse und Fachaufgaben des

LZfD.

1.3 Bedeutung der Sicherheit im LZfD

Das LZfD erbringt im Auftrag des Ministeriums für Finanzen Baden-Württemberg (FM) IT-

Dienstleistungen für Behörden und Körperschaften des öffentlichen Rechts und ist

Datenverarbeitungszentrum der Steuerverwaltung. Neben der umfassenden Betreuung der

Oberfinanzdirektion und der Finanzämter, stellt das LZfD seine Dienste auch anderen

Bereichen des Finanzressorts zur Verfügung. Ebenso nehmen andere Ressorts des Landes und

Kunden aus anderen Bundesländern die Leistungen des LZfD in Anspruch.

Für eine wirtschaftliche Erfüllung ihrer Aufgaben sind die Finanz- und Steuerverwaltung sowie

die Kunden des LZfD in erheblichem Umfang auf den Einsatz von Informations- und

Kommunikationstechnik angewiesen. Darüber hinaus sind bei der Verarbeitung von

Steuerdaten gesetzliche Vorgaben aus der Datenschutzgrundverordnung (DSGVO) sowie

ergänzend des Landesdatenschutzgesetzes (LDSG) und weitere Anforderungen (insbesondere

aus der Steuergesetzgebung) zu beachten und einzuhalten. Als IT-Dienstleister und

6

[Seite 7]

Datenverarbeitungszentrum der Steuerverwaltung bekennt sich das LZfD zu diesen

Anforderungen.

Der hohe Stellenwert der Sicherheit ergibt sich damit aus dem hohen Stellenwert der

Informations- und Kommunikationstechnik für die Finanz- und Steuerverwaltung sowie den

geltenden gesetzlichen Vorgaben für die Verarbeitung von Finanz- und Steuerdaten. Das LZfD

bekennt sich zu seiner Verantwortung für die Sicherheit in der Finanz- und Steuerverwaltung

und für die Sicherheit der Dienstleistungen für seine Kunden.

1.4 Verwendung von Schlüsselworten

Das LZfD verwendet in Vorgabedokumenten für die genauere Unterscheidung zwischen

normativen und informativen Inhalten folgende Schlüsselwörter (gegebenenfalls auch in

Pluralform):

MUSS bedeutet, dass es sich um eine absolut gültige und normative Festlegung

beziehungsweise Anforderung handelt.

DARF NICHT bezeichnet den absolut gültigen und normativen Ausschluss einer Eigenschaft.

SOLL beschreibt eine Festlegung. Abweichungen zu diesen Festlegungen sind in begründeten

und dokumentierten Fällen möglich.

SOLL NICHT kennzeichnet die Festlegung, eine Eigenschaft auszuschließen. Abweichungen

sind in begründeten und dokumentierten Fällen möglich.

DARF bedeutet, dass die Eigenschaften fakultativ oder optional sind. Diese Festlegungen

haben keinen Normierungs- und keinen allgemeingültigen Empfehlungscharakter.

7

[Seite 8]

2 Sicherheitsziele im LZfD

Das Landeszentrum für Datenverarbeitung legt folgende Sicherheitsziele bei der

Aufgabenerfüllung fest:

1. Die Voraussetzungen müssen geschaffen werden, dass die gesetzlichen Vorgaben und

die vertraglichen Vereinbarungen eingehalten werden. Dazu zählt insbesondere die

garantierte Vertraulichkeit, die Integrität und Verfügbarkeit der Steuerdaten, sowie die

Einhaltung der Datenschutzgrundverordnung und gleichermaßen die Einhaltung der

Kundenanforderungen. Weiterhin muss im LZfD ein Bewusstsein aller Mitarbeiterinnen

und Mitarbeiter geschaffen werden, damit sie sämtliche Bestimmungen der Leitlinie und

die im LZfD gesetzten Standards einhalten.

2. Die Erhaltung der Verfügbarkeit und Kontinuität als Resultat aus der Abhängigkeit der

Steuerverwaltung und der Kunden von der nach den vereinbarten Grundsätzen der

Wirtschaftlichkeit geführten IT muss gewährleistet werden.

3. Sicherheitsanforderungen von übergeordnetem Interesse, für deren Umsetzung eine

vertragliche oder gesetzliche Verpflichtung besteht, müssen erfüllt werden.

Entsprechende Vorgaben stellen den Mindeststandard bei der Formulierung

behördeninterner Vorschriften und Maßnahmen dar.

4. Die Kontinuität der Arbeitsabläufe innerhalb des LZfD und in der Zusammenarbeit mit

anderen Stellen muss gewährleistet werden.

5. Datenverlust muss vermieden werden.

6. Investitionen müssen geschützt werden, d.h. Erhaltung der in Technik, Informationen,

Arbeitsprozesse und Wissen investierten Werte.

7. Im Sinne der Kundenorientierung muss vor allem auch die Verfügbarkeit von Diensten

sichergestellt werden sowie die Wiederherstellung ausgefallener Systeme in der

vereinbarten Zeitspanne.

8. Eine Beschädigung der Reputation des LZfD und seiner Kunden muss vermieden werden.

Alle Sicherheitsmaßnahmen müssen in einem wirtschaftlich vertretbaren Verhältnis zum

möglichen Schaden stehen.

8

[Seite 9]

3 Verantwortlichkeiten

Die strategische Gesamtverantwortung für die Sicherheit liegt bei der Leitung des LZfD. Für die

fachliche Unterstützung und Koordinierung werden Beauftragte benannt.

Die Wahrung der Sicherheit ist eine Aufgabe aller Mitarbeiterinnen und Mitarbeiter.

9

[Seite 10]

4 Sicherheitsverstöße

Vorsätzliche und fahrlässige Handlungen und Unterlassungen, die geeignet sind, die

Vertraulichkeit, Verfügbarkeit oder Integrität von Informationen, Geschäftsprozessen oder

Verfahren zu beeinträchtigen, beziehungsweise Rechts- und Sicherheitsverstöße, werden

angemessen sanktioniert.

10

[Seite 11]

5 Informationssicherheitsmanagementsystem

Zur Einhaltung der Sicherheitsanforderungen wurde ein Informationssicherheits-

managementsystem (ISMS) aufgebaut. Das ISMS wird betrieben und stetig weiterentwickelt.

Die Leitung des LZfD stellt im Rahmen ihrer Befugnisse hierfür angemessene Ressourcen zur

Verfügung.

Das ISMS ist hierbei die Summe aller Verfahren, Geschäftsprozesse, Strukturen,

Verantwortlichkeiten und Ressourcen, die zur Identifikation, Erreichung, Erhaltung und

Verbesserung des erforderlichen Sicherheitsniveaus beitragen. Hierbei orientiert sich das LZfD

an den Standards des Bundesamts für Sicherheit in der Informationstechnik (BSI).

11

[Seite 12]

6 Übergreifende Sicherheitsanforderungen

Die Einhaltung der nachfolgend aufgeführten Sicherheitsanforderungen muss durch geeignete

technische und organisatorische Maßnahmen sichergestellt werden. Diese Maßnahmen

werden in nachgelagerten Vorgabedokumenten konkretisiert. Sollten einzelne

Sicherheitsanforderungen nicht konkretisiert werden, gelten automatisch die allgemeinen

Vorgaben dieser Leitlinie.

1. Es muss eine übergreifende Aufbau- und Ablauforganisation für Sicherheit betrieben und

kontinuierlich weiterentwickelt werden. Hierzu müssen alle notwendigen Rollen sowie

deren spezifische Aufgaben, Befugnisse und Verantwortungen unter Beachtung der

einzuhaltenden Funktionstrennung sowie die notwendigen Prozesse für das

Informationssicherheitsmanagement festgelegt werden.

2. Alle relevanten Informationen, Anwendungen, Verfahren, IT-Systeme und Infrastrukturen

müssen erfasst, hinsichtlich ihres Schutzbedarfs klassifiziert und einer verantwortlichen

Person zugewiesen werden. Die verantwortliche Person muss für die Angemessenheit

und Wirksamkeit der notwendigen technischen und organisatorischen

Sicherheitsmaßnahmen und für den Schutz dieser Werte gegenüber der Leitung des LZfD

sorgen.

3. Ein Datenaustausch mit Dritten darf nicht erfolgen, wenn er nicht zulässig ist und die

hierfür notwendigen Sicherheitsmaßnahmen nicht berücksichtigt wurden.

4. Es muss sichergestellt werden, dass bei Nutzung und Betrieb von Informations- und

Kommunikationstechnik die für den jeweiligen Schutzbedarf notwendigen technischen

und organisatorischen Maßnahmen ergriffen werden.

5. Es muss gewährleistet werden, dass bei Beginn und Beendigung eines

Beschäftigungsverhältnisses von Mitarbeiterinnen und Mitarbeitern sowie bei einem

Wechsel von Arbeitsaufgaben oder -bereichen die jeweils notwendigen

Sicherheitsmaßnahmen angewendet werden.

6. Es muss sichergestellt werden, dass geltende Sicherheitsanforderungen auch bei der

Auslagerung von Aufgaben an Dritte nachweisbar eingehalten werden.

7. Es muss sichergestellt werden, dass nur berechtigte Personen Zutritt zu Räumlichkeiten,

Zugang zu Informations- und Kommunikationstechnik und Zugriff auf Informationen

erhalten.

12

[Seite 13]

8. Bei Beschaffungen, Softwareentwicklungen oder sonstigen Projekten müssen neben

funktionalen und finanziellen Kriterien auch Sicherheitsanforderungen identifiziert und

deren Erfüllung nachweisbar sichergestellt werden.

9. Es muss sichergestellt werden, dass für Notfälle angemessen vorgesorgt wird und die

negativen Auswirkungen von eintretenden Notfällen auf den Geschäftsbetrieb minimiert

werden.

13

[Seite 14]

7 Freigabe und Veröffentlichung

Diese Sicherheitsleitlinie muss allen Mitarbeiterinnen und Mitarbeitern sowie relevanten

Auftragnehmern in geeigneter Weise bekannt gegeben werden.

Die Sicherheitsleitlinie tritt mit ihrer Verkündung am 15. Juli 2026 bis auf Widerruf in Kraft und

ersetzt die bisherige Version 5.0 vom 22. Dezember 2023.

Karlsruhe, 15. Juli 2026

gez. Christiane Gießer, Finanzpräsidentin

14