Für einen individuellen Ausdruck passen Sie bitte die
Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk

Änderungstext

ISRL Glossar - Informationssicherheitsrichtlinie zur einheitlichen Begriffsdefinition im Informationssicherheitsmanagement des Landes Niedersachsen
- Niedersachsen -

Vom 13. Januar 2025
(Nds. MBl. Nr. 48 vom 28.01.2025)
Gl.-Nr.: 20500


Gem. RdErl. d. MI, d. StK u. d. übr. Min. v. 13.01.2025 - CIO-02850/0110-0017 -
- VORIS 20500 -

Bezug: Gem. RdErl. v. 05.05.2021 (Nds. MBl. S. 1075), zuletzt geändert durch Gem. RdErl. v. 02.11.2022 (Nds. MBl. S. 1530)

Der Bezugserlass wird mit Wirkung vom 01.01.2025 wie folgt geändert:

1. Dem Kopf wird die folgende VORIS-Nummer angefügt:

"- VORIS 20500 -".

2. Dem Bezug wird der folgende Buchstabe c angefügt:

"c) Gem. RdErl. v. 29.10.2024 (Nds. MBl. 2024 Nr. 497)
- VORIS 20500 -".

3. Nach Nummer 2.16 wird die folgende Nummer 2.16a eingefügt:

"2.16a erheblicher Sicherheitsvorfall in Übereinstimmung mit Nummer 6.7 des Bezugserlasses zu c ein Sicherheitsvorfall, der

a) schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung oder das Land Niedersachsen verursacht hat oder verursachen kann oder

b) andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann,".

4. Nach Nummer 2.30 wird die folgende Nummer 2.30a eingefügt:

"2.30a Informationssicherheitsvorfall (ISi-Vorfall) ein anhand eines sicherheitsdomänenspezifischen Katalogs bewertetes Ereignis i. S. der Informationssicherheit, das eine Einschränkung oder den Verlust der Vertraulichkeit, Verfügbarkeit oder Integrität von Informationen nach sich zieht, nach sich gezogen hat oder nach sich gezogen haben könnte,".

5. Es wird die folgende neue Nummer 2.32a eingefügt:

"2.32a Krise ein Schadensereignis, das sich in erheblicher Weise negativ auf die Institution auswirkt, dessen Auswirkungen auf die Institution nicht im Normalbetrieb bewältigt werden können und für das keine spezifischen Notfallpläne vorhanden sind (vgl. Definition in BSI-Standard 2004),".

6. Die bisherige Nummer 2.32a wird Nummer 2.32b.

7. Nach Nummer 2.34 wird die folgende Nummer 2.34a eingefügt:

"2.34a Notfall eine Unterbrechung des Geschäftsbetriebes, die mindestens einen zeitkritischen Geschäftsprozess betrifft, der nicht im Normalbetrieb innerhalb der maximal tolerierbaren Ausfallzeit wiederhergestellt werden kann. Zur Bewältigung von Notfällen wird eine Besondere Aufbauorganisation (BAO) benötigt (vgl. Definition im BSI Standard 200-4),".

8. Nummer 2.51 erhält folgende Fassung:

alt neu
2.51 schwerwiegender Sicherheitsvorfall ein Ereignis, das domänenübergreifende oder sonstige erhebliche Auswirkungen haben kann; bei domänenübergreifenden Auswirkungen ist eine Ressource beeinträchtigt, die von mehreren Sicherheitsdomänen genutzt wird oder deren vergleichbare Nutzung zu Schäden in anderen Sicherheitsdomänen führen könnte; erheblich sind Auswirkungen bei domänenspezifischen Sicherheitsvorfällen beispielsweise, wenn das Schadensausmaß hoch ist, die Wahrscheinlichkeit eines erneuten Sicherheitsvorfalles ähnlicher Ausprägung in der Landesverwaltung nicht ausgeschlossen werden kann oder die konkrete Vorgehensweise der Verursacherin oder des Verursachers darauf schließen lässt, dass Schadensereignisse in der Landesverwaltung gezielt vorbereitet werden, "2.51 schwerwiegender Informationssicherheitsvorfall (schwerwiegender ISi-Vorfall) ein Ereignis, das domänenübergreifende oder sonstige bedeutende Auswirkungen haben kann. Bei domänenübergreifenden Auswirkungen ist eine Ressource beeinträchtigt, die von mehreren Sicherheitsdomänen genutzt wird oder deren vergleichbare Nutzung zu Schäden in anderen Sicherheitsdomänen führen könnte.

Bedeutend sind Auswirkungen insbesondere bei domänenspezifischen ISi-Vorfällen, wenn

  • ein sehr hohes Schadenspotenzial zu erwarten ist,
  • die Möglichkeit besteht, dass die maximal tolerierbare Ausfallzeit (MTA) eines Geschäftsprozesses überschritten wird oder eine zentrale Informiertheit aufgrund eines besonderen öffentlichen Interesses erforderlich erscheint,
  • die Wahrscheinlichkeit eines erneuten Sicherheitsvorfalles ähnlicher Ausprägung in der Landesverwaltung nicht ausgeschlossen werden kann,
  • die konkrete Vorgehensweise der Verursacherin oder des Verursachers darauf schließen lässt, dass Schadensereignisse in der Landesverwaltung gezielt vorbereitet werden,
  • diese geeignet sind, auch die IT-Sicherheit bei anderen Stellen, deren IT-Systeme mit dem Landesdatennetz verbunden sind, zu beeinträchtigen (vgl. § 14 Abs. 2 NDIG) oder
  • eine Meldeverpflichtung gegenüber einer anderen Stelle außerhalb der Niedersächsischen Landesverwaltung ausgelöst wird,"

9. Nach Nummer 2.61 wird die folgende Nummer 2.61a eingefügt:

"2.61a Sicherheitsvorfall i. S. des Bezugserlasses zu c ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste, die über Netz- und Informationssysteme angeboten werden und/oder zugänglich sind, beeinträchtigt,".

10.

umwelt-online - Demo-Version


(Stand: 19.03.2025)

Alle vollständigen Texte in der aktuellen Fassung im Jahresabonnement
Nutzungsgebühr: ab 105.- € netto

(derzeit ca. 7200 Titel s.Übersicht - keine Unterteilung in Fachbereiche)

Preise & Bestellung

Die Zugangskennung wird kurzfristig übermittelt

? Fragen ?
Abonnentenzugang/Volltextversion