₁Kernelement der Informationstechnologie (IT) ist die Gewährleistung von Datenverarbeitung und -übermittlung sowie die Bereitstellung von Informationen. ₂Bestandteil zur Umsetzung dieser Aufgaben ist der Betrieb eines landeskirchenweiten Intranets (EKKW.intern). ₃Die Nutzung des Intranets dient der Bereitstellung und dem Austausch dienstlicher Daten. ₄Die Nutzung des integrierten landeskirchlichen E-Mailsystems und der sonstigen sich fortlaufend weiterentwickelnden Arbeitshilfen (Workflows) dienen der dienstlichen Kommunikation. ₅Diese Richtlinie gilt für Anwender und Betreuer des Intranets.

₁Der Zugang zum Intranet erfolgt regelmäßig über die dienstlichen, zentral bereit gestellten, Rechner. ₂In begründeten Ausnahmefällen ist der Zugang über private Rechner möglich. ₃Ein begründeter Ausnahmefall liegt insbesondere vor, wenn ein Zugang über dienstliche Rechner nicht verfügbar ist. ₄Die Entscheidung hierüber trifft das zuständige vertretungsberechtigte Organ oder eine von diesem im Rahmen der vorgegebenen Zuständigkeiten beauftragte Stelle. ₅Kirchliche Körperschaften, Verwaltungs- und sonstige Stellen, die an das Intranet angeschlossen werden, nutzen die regelmäßig vorhandenen Computernetze um das Intranet zu erreichen.

(1) Sicherheitsziele der IT und des Intranets

₁Informations- und Kommunikationssysteme und dienstliche Daten sind vor unberechtigtem Zugriff und vor unerlaubter Änderung zu schützen (IT-Sicherheit). ₂Jede kirchliche Körperschaft ist verpflichtet, IT-Sicherheit zu gewährleisten. ₃Dafür ist das jeweilige Leitungsorgan verantwortlich.

₄Daten und IT-Systeme sind in ihrer Verfügbarkeit so zu sichern, dass die zu erwartenden Stillstandzeiten das laufende Dienstgeschäft nicht beeinträchtigen. ₅Fehlfunktionen und Unregelmäßigkeiten in Daten und IT-Systemen sind zu vermeiden (Integrität). ₆In den Bereichen, in denen Programme mit schutzbedürftigen Daten eingesetzt werden, insbesondere Meldewesen, Personalwesen, Haushalts-, Kassen- und Rechnungswesen, sind die IT-Sicherheitsziele (Verfügbarkeit, Integrität und Vertraulichkeit) besonders zu beachten.

₇Im Rahmen dieser Richtlinie und den sonstigen Hinweisen des Landeskirchenamtes ist jede kirchliche Körperschaft verpflichtet, zur Erreichung dieser IT-Sicherheitsziele, IT-Sicherheit zu beachten.

(2) IT- Sicherheitsmaßnahmen

₁Zur Umsetzung der IT-Sicherheit sind die Vorgaben des Landeskirchenamtes zu beachten. ₂Hierfür wird vom Landeskirchenamt ein IT-Sicherheitskonzept erstellt, das Bestandteil des Handbuchs (§ 6) ist. ₃Die im IT-Sicherheitskonzept definierten Sicherheitsmaßnahmen müssen umgesetzt werden. ₄Diese Umsetzung kann durch das Landeskirchenamt oder eine von ihr beauftragte Stelle überprüft werden. ₅Die IT-Sicherheitsmaßnahmen sollen in einem angemessenen Verhältnis zum Wert der schützenswerten Daten und IT-Systeme stehen.

₆IT-Benutzer und sonstige beteiligte Personen und Stellen sind für die Einhaltung des für die jeweilige kirchliche Körperschaft oder Untergliederung geltenden IT-Sicherheitskonzeptes verantwortlich. ₇Wenn dienstliche Daten an außerkirchliche Stellen, die nicht in EKKW.intern eingebunden sind, weitergeleitet werden müssen, ist eine größtmögliche Datensicherheit zu gewährleisten. ₈Sollte ein Sicherheitsproblem bestehen, ist dem IT-Verantwortlichen unverzüglich der entsprechende Warnhinweis zu melden. ₉Maßnahmen sollen erst nach Rücksprache mit dem IT-Verantwortlichen umgesetzt werden.

(3) Schutzmaßnahmen

₁Kirchliche Stellen haben dafür zu sorgen, dass ihr internes Netz durch eine geeignete Firewall gesichert wird. ₂Dies wird im Bereich der Pfarrämter zentral durch die Landeskirche geregelt und bereit gestellt.

₃Jeder Rechner benötigt einen aktuellen und aktivierten Schutz vor Schadsoftware. ₄Ein Virenschutzprogramm mit aktuellen Signatur-Dateien ist zu installieren. ₅Die Signatur-Dateien müssen durch Updates regelmäßig aktualisiert werden. ₆Für dienstliche Rechner ist ein einheitliches Virenschutzprogramm zu verwenden, welches durch das Landeskirchenamt festgelegt wird.

₇Aktualisierungen von Betriebssystemen und einzelne Anwendungsprogramme wie z.B. der Internet-Browser sollen ohne zeitliche Verzögerung nach Freigabe durch das Landeskirchenamt installiert werden.

₈Dienstliche Daten sind in geschützten Bereichen zu speichern. ₉Dabei sind die datenschutzrechtlichen Vorgaben einzuhalten. ₁₀Der Zugang zu zentralen Servern und Netzwerkkomponenten soll durch ausreichende Zugangskontrollen geschützt werden. ₁₁Der Zugang zu IT-Systemen soll durch angemessene Zugangskontrollen, der Zugriff auf die Daten durch ein restriktives Berechtigungskonzept geschützt werden.

₁₂Vor Ort sind Regelungen für eine angemessene Datensicherung und Maßnahmen zur Notfallvorsorge zu treffen. ₁₃IT-Benutzer haben bei Störfällen die zuständige Stelle zu benachrichtigen. ₁₄Darüber hinaus werden IT-Benutzer regelmäßig über die Gefahren im Umgang mit IT informiert; entsprechende Informationen und Hinweise finden sich bedarfsweise aktualisiert im Intranetportal der Landeskirche.

(4) Dokumentation

₁Für das Intranet der Landeskirche und diesem angeschlossene Rechner werden zur Sicherheit und Kontrolle der Daten entsprechende Protokolle auf den Servern der Netzknotenpunkte erstellt. ₂Die Protokolle werden mindestens für die Dauer eines halben Jahres aufbewahrt. ₃Längere gesetzliche Aufbewahrungspflichten bleiben unberührt.

₁Die Nutzung von E-Mails wird in einer Rundverfügung und im Handbuch gem. § 6 geregelt. ₂Für die elektronische Kommunikation mittels E-Mails gelten die Vorschriften über die Einhaltung des Dienstwegs entsprechend.

₁Downloads von Programmen und Dateien außerhalb des dienstlichen Kontextes ist mit dienstlichen Geräten untersagt. ₂Jede Datei ist grundsätzlich mit einem aktuellen Virenschutzprogramm zu überprüfen.

₁Weitere Handlungsvorgaben und Empfehlungen werden als Anlage zu dieser Richtlinie in Form eines Handbuches geregelt. ₂Das Handbuch wird vom Landeskirchenamt in digitaler Form herausgegeben, im Intranet veröffentlicht und regelmäßig aktualisiert.

Diese Richtlinie tritt am Tage nach ihrer Veröffentlichung im kirchlichen Amtsblatt in Kraft.