Koalitionsantrag: IT-Grundschutz und regelmäßige IT-Sicherheitsaudits

Antrag
öffentlich
241934
Antragsteller/in:
Fraktion Bündnis 90 / DIE GRÜNEN
Stefan Freitag
SPD-Fraktion im Rat der Stadt Bonn
Simon Carl Damian Brauer
DIE LINKE.-Fraktion im Rat der Stadt Bonn
Fabian Hafner
Volt-Fraktion im Rat der Stadt Bonn
Uwe Feddern
28.10.2024
Koalitionsantrag: IT-Grundschutz und regelmäßige
IT-Sicherheitsaudits
Beratungsfolge
Unterausschuss für Digitalisierung und
Organisation
19.11.2024 Empfehlung
Hauptausschuss 03.12.2024 Entscheidung
Inhalt des Antrags
Die Verwaltung wird gebeten, einen Plan zu erstellen und den entsprechenden
Gremien vorzustellen, um die IT-Sicherheit der Stadt Bonn in den kommenden
24 Monaten sukzessive mindestens auf das Niveau desIT-Grundschutz-Profil:
Basis Absicherung Kommunalverwaltung vom 16.01.2024
(https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmitt
el/Profile/Basis_Absicherung_Kommunalverwaltung.html) zu heben.
Wo immer möglich und sinnvoll, so können statt der Basis-Absicherung die
“höherwertigen” Kern- oder Standard-Absicherungen gewählt werden.
Über die direkten Anforderungen des Profils hinaus soll zudem eine dauerhaft
regelmäßig aktualisierte Übersicht der eingesetzten Fachverfahren, dem
Schutzbedarf der verarbeiteten Informationen sowie deren Beziehung zu den
Geschäftsprozessen geschaffen werden. Diese Übersicht soll sich an einer
gängigen Enterprise-Architecture-Methode orientieren.
Begleitend zur Implementierung des IT-Grundschutzes sollen die Maßnahmen
zudem durch geeignete Tests überprüft werden. Dabei ist darauf zu achten,
dass diese Tests, wann immer möglich, nicht unter Labor, sondern unter
realistischen Bedingungen erfolgen sollen.
Die Tests sollen die Grundlage sein, die sich ergebenden technischen sowie
prozessualen Schwachstellen zu dokumentieren und zu beheben. Darüber
hinaus wird die Verwaltung gebeten, die notwendigen Intervalle für die Audits
festzulegen und die Politik darüber in Kenntnis zu setzen.Seite 1 von 3
Seite 2
Begründung
Sicherheit entsteht durch sorgfältig gestaltete Vorgehensweisen im
Umgang mit Daten und IT-Infrastruktur. Um eine Grundsicherheit
herzustellen und Vorfälle wie in Südwestfalen zu vermeiden, hat das
Bundesamt für Sicherheit in der Informationstechnik im Auftrag des
Deutschen Städtetages, des Deutschen Landkreistags und des
Deutschen Städte- und Gemeindebunds das oben genannte IT
Grundschutz-Profil erstellt. Als Begründung heißt es darin:
[Zitat] „Kommunalverwaltungen sind verpflichtet, ihre IT-Systeme und
Verwaltungsvorgänge durch technische und organisatorische
Maßnahmen ausreichend abzusichern, auch wenn keine unmittelbare
Verpflichtung zur Umsetzung speziell des IT-Grundschutzes aus einer
Rechtsnorm abgeleitet werden kann. Diese Verpflichtungen ergeben
sich z. B. aus datenschutz-rechtlichen Anforderungen (u. a. EU-
Datenschutz-Grundverordnung) und dem Grundsatz des
rechtmäßigen Verwaltungshandelns (Rechtsstaatsprinzip Art. 20 Abs. 3
Grundgesetz). Darüber hinaus sind die erheblichen Investitionen der
Kommunalverwaltungen in ihre IT-Ausstattungen über angemessene
Sicherheitsvorkehrungen zu schützen. Im Hinblick auf die Grundsätze
der Wirtschaftlichkeit umfasst das hier beschriebene Profil die
Mindestanforderungen, um hohe materielle und immaterielle Schäden
(z. B. Rufschäden bzw. Vertrauensverlust) abzuwenden, die der
Kommunalverwaltung
durch den Bruch der Vertraulichkeit, Datenmanipulation oder
Nichtverfügbarkeit der IT-Unterstützung entstehen können." [Zitat
Ende]
Schließlich sollte die Bundesstadt Bonn, in denen Cyber-Sicherheit ein
wichtiger politischer, wissenschaftlicher und Wirtschaftsschwerpunkt ist,
auch mit ihrer eigenen Verwaltung ein gutes Beispiel und Vorbild sein.
Nur wenn das IT-Sicherheitssystem regelmäßig getestet wird, bleibt das Thema
über die funktionale tägliche Arbeit hinaus im Bewusstsein. Die Tests zeigen
Schwachstellen auf und machen klar, welche nächste Schritt ansteht, um einen
guten Sicherheitsstandard herzustellen und dauerhaft zu erhalten Es geht
also nicht um Luxus, sondern um die Mindestanforderungen an IT-
Sicherheit in der Kommunalverwaltung und im Cyber-Security-Zentrum
Bonn!Seite 2 von 3
Seite 3
Anlage/n
KeineSeite 3 von 3