1 Rechtliche Grundlagen Neben gesetzlichen Vorschriften regeln folgende Richtlinien und Verwaltungsvorschriften den Umgang· mit und die Neueinrichtung von IT-Verfahren:
- OS-Richtlinie (Richtlinie zur Datensicherheit im IT-Bereich vom 6. September 2006; MittVw Seite 90),
- DV-IT (Dienstvereinbarung nach § 83 Hamburgisches Personalvertretungsgesetz (HmbPersVG) zur Einführung und Anwendung von Informationstechnologien zwischen der BSU und dem Personalrat bei der BSU vom 1. Oktober 2005),
- Freigabe-RL (Freigaberichtlinie vom 4. April 2005; MittVw S. 46),
Haushaltsordnung der Freien und Hansestadt Hamburg (Landeshaushaltsordnung -LHO) vom 23. Dezember 1971 (HmbGVBI. 1971 Seite 261 , 1972 Seite 10), zuletzt geändert am 20. November 2007 (HmbGVBI. Seite 402 f .). Hier Fokus auf § 7 Wirtschaftlichkeit und Sparsamkeit, Kosten- und Leistungsrechnung,
Leitfaden Kosten ermitteln, Wirtschaftlichkeit prüfen, Nutzen-Kosten-Untersuchungen durchführen. 3. Auflage Herausgegeben von der Finanzbehörde - Amt für Bezirke und Verwaltungsreform - Hamburg 2005
Leitfaden "operable Ziele" für die Planung von luK-Vorhaben Herausgegeben von der Finanzbehörde - Amt für Organisation und zentrale Dienste
IUK-A-RL (luK-Architekturrichtlinie in der Fassung vom 24. November 2003; MittVw S. 371),
- Passwort-RL (Richtlinie zur Verwaltung von Passwörtern vom 1. März 2007; MittVw S. 22),
- PC-RL (Richtlinie über die Sicherheit der Datenverarbeitung auf Arbeitsplatzrechnern und sonstigen Endgeräten vom 1. Juni 2005; MittVw S. 74),
- Projektgrundsätze (Grundsätze zur Organisation von Projekten in der Verwaltung der Freien und Hansestadt Hamburg vom 1. Juli 1993; IT-Handbuch),
UNIX-RL (Richtlinie über Mindestanforderungen an die Sicherheit der Datenverarbeitung auf UNIX-Rechnern in der Fassung vom 4. April 2005; MittVw Seite 55).
SLA Esari Leistungen (Service Level Agreement über Betriebs- und Supportleistungen) 2.5.2 Endgeräte und lokale Netze (Version 2.0) Absatz „Modelllinien mit Administrationsrechten"
bie Unterlagen können im Intranet der Freien und Hansestadt Hamburg eingesehen werden.
2 Zielsetzung Gemäß Freigabe-RL und Ziffer 2.2 Absatz 2 PC-RL sind die Verantwortungsbereiche der Benutzer, Systemverwalter (Administratoren) und Entwickler, die Rechner nutzen, betreiben oder Software entwickeln, für die Verarbeitung von Daten durch Dienstanweisung zu regeln. Insbesondere die Datenschutz- und Datensicherheitsmaßnahmen sind entsprechend den konkreten Bedingungen der jeweiligen Aufgabe und der damit zusammenhängenden Aufgabenerfüllung sowie unter Berücksichtigung der Sensibilität der zu verarbeitenden Daten zu treffen.
3 Geltungsbereich Diese Dienstanweisung gilt für alle Bereiche der BSU, die an der jährlichen IT-Planung mit der Finanzbehörde (FB) über das zentrale IT-Referat teilnehmen.
2
4 Begriffsbestimmungen 4.1 IT-Verfahren IT-Verfahren sind automatisierte Arbeits- oder technische Prozesse zur Lösung einer fachlichen Aufgabe. Sie können aus einer Verknüpfung von verschiedener Software bestehen und organisatorische Zuständigkeiten sowie Abläufe festlegen. IT-Verfahren können sich auch der allgemeinen Software bedienen. Für die Bearbeitung personenbezogener Daten gelten die Bestimmungen des Hamburgischen Datenschutzgesetzes.1
4.2 IT-Vorhaben IT-Vorhaben sind die IT-Verfahren, die über den IT-Gesamtplan mit Haushaltsmitteln ausgestattet werden. Die für IT-Vorhaben zu treffenden Maßnahmen für Projektorganisation und -management hängen gemäß der Projektgrundsätze insbesondere von der Größe und von der Komplexität der IT-Vorhaben ab:
a. kleine und mittlere IT-Vorhaben (bis zu einem Investitionsvolumen von 125 T€),
b. große IT-Vorhaben {ab einschließlich einem Investitionsvolumen von 125 T€).
Bei großen IT-Vorhaben oder solchen, deren Realisierung besondere Anforderungen stellen, wird durch Einsetzungsverfügung des fachlich verantwortlichen Amtes ein Projekt eingerichtet. Bei übergreifenden und strategischen IT-Vorhaben erfolgt dieses gemäß der Verfügung des IT-Beauftragten „Organisation dnd Koordination der Informationstechnologie in der BSU" vom 11 . Februar 2005 durch die IT-Kommission.
5 Funktionstrennung I Zuständigkeiten Nach der Freigabe-RL . sind bei Software und IT-Verfahren die Funktionen der Aufgabenerfüllung, der Verfahrensentwicklung und -pflege sowie der technischen Durchführung organisatorisch und personell zu trennen.
5.1 IT-Beauftragter Der IT-Beauftragte2 trägt die Gesamtverantwortung für die Wahrnehmung der IT-Aufgaben der BSU. Er ist verantwortlich für die Koordinierung der Planung und für die Steuerung der Durchführung der IT-Vorhaben, sowie für die Einhaltung aller den IT-Aufgabenbereich betreffenden Gesetze, Verordnungen und Richtlinien in der BSU. Der IT-Beauftragte meldet die IT-Planung der BSU bei der Finanzbehörde an.
5.2 IT-Leiter Der IT-Leiter ist für die Aufstellung der IT-Planung zuständig und vertritt sie gegenüber der Finanzbehörde. Dem IT-Leiter untersteht das zentrale IT-Referat (IT-Stelle) der BSU.
Der IT-Leiter ist verantwortlich für die Ausführung der vom Senat beschlossenen ITGesamtpläne für die BSU und unterstützt den IT-Beauftragten bei der Wahrnehmung seiner . Aufgaben.3 Er entscheidet in Abstimmung mit dem IT-Beauftragten über „wesentliche" Abweichungen vom IT-Plan. ·
Beim IT-Leiter wird ein Verzeichnis der IT-Verfahren der BSU geführt. In diesem sind auch die jeweiligen Anwendenden Stellen, Fachliche Leitstellen, Programmierenden Stellen und Rechenstellen zu dokumentieren. ·
1 HmbGVBI S. 539 zuletzt geändert am 18.11.2003
2 Definiert in der SDrS 770/92 vom 24. Juni .1992: .Die Behörden„„haben„.insbesondere.„ leitende Beamtinnen oder Beamte (IT-Beauftragte) zur verantwortlichen Koordinierung der IT-Planung sowie zur zielorientierten Steuerung bei der Planausführung zu bestimmen."
3 Geregelt Im Bewirtschafümgsrundschreiben der Finanzbehörde (FB) vom 13. Mai .1994 - 851.10-10/3 - und im
Rundschreiben des Organisationsamtes vom 8. Juli 1993 - 30/851.01-1/8 - .Neuordnung der IT-Planung -Vorhabenssteuerung".
3
5.3 Anwendende Stelle Die Anwendenden Stellen nutzen Software und IT-Verfahren zur fachlichen Aufgabenerfüllung.
Lokale Administratoren von Clients der Modellinien 1 G und 2 erfassen ihre Tätigkeiten4
manuell, dazu ist eine Datei adminlog lokal auf den Clients anzulegen und zu pflegen.
Nutzer, die im Rahmen der dienstlichen WLAN-Benutzung der FHH Zugriff auf das FHHNetz erhalten, sind verpflichtet, die im „Sicherheitsblatt" der FB veröffentlichten 5 Verhaltensregeln zur Kenntnis zu nehmen und diese strikt einzuhalten.
5.4 fachliche Leitstelle Verantwortlich für die Planung und Realisierung von IT-Verfahren ist das fachlich verantwortliche Amt.
Bei großen IT-Vorhaben ist auf Vorschlag des fachlich verantwortlichen Amtes oder des ITLeiters vom IT-Beauftragten eine Fachliche Leitstelle einzurichten. 6
Bei behördenübergreifenden und strategischen IT-Verfahren wird die Fachliche Leitstelle vom IT-Beauftragten ggf. nach Beschluss der IT-Kommission eingerichtet.
Die Fachliche Leitstelle ist verantwortlich für:
- die Dokumentation,
- den Abnahmetest und die Freigabe,
- die Datensicherungsmaßnahmen entsprechend der Schutzbedürftigkeit der IT-Verfahren,
- die Autorisierung der Benutzer (für die Autorisierung von Angehörigen der Fachlichen Leitstelle als Benutzer ist innerhalb der Fachlichen Leitstelle eine personelle Trennung vorzusehen oder eine andere Stelle für die Autorisierung von Benutzern festzulegen) und
- die Entgegennahme von Meldungen über Störungen oder Unregelmäßigkeiten ihres IT-Verfahrens und sorgt für deren Beseitigung.
5.5 Programmierende Stelle Die Erstellung, Anpassung und Pflege von Software und IT-Verfahren wird bei Funktionstrennung im Rahmen der getroffenen Festlegungen durch hierfür eingesetzte Programmierende Stellen wahrgenommen. Über die Einsetzung entscheidet die Fachlfche Leitstelle.
5.6 Rechenstelle In Rechenstellen werden Software und IT-Verfahren technisch betrieben. Die Fachliche Leitstelle wählt in Abstimmung mit dem IT-Leiter eine Rechenstelle aus.
6 Planung, Realisierung und Betrieb von IT-Verfahren Über die Einrichtung neuer IT-Verfahren entscheidet die Amtsleitung des fachlich verantwortlichen Amtes bzw. die von ihr beauftragte Stelle. Für die Meldung über die Neueinrichtung von Verfahren mit personenbezogenen Daten wird auf Punkt 2.3. DV-IT verwiesen.
4 Installation von Software, Treibern, manuelle Änderung von Verzeichnisberechtigungen, manuelle Änderungen in der
Registrierungsdatenbank, Änderung von Gruppenzugehörigkeiten und Änderungen an Benutzerrechten
5 Das „Sicherheitsblatt für die dienstliche WLAN-Benutzung" der Finanzbehörde ist im IT-Wiki der BSU unter dem Link hnp: , fhhportal.stadt.hamburg.de websitcs."00 I 5/Produl..1e/bsu-wiki/lT/SiteAsse1s/Wjki-Seiten/Sicherheitsblatt%20WLANBenutzung1Sicherheitsblan%20dienstliche%20WLAN-Benutzung%2020100505.pdf abgelegt und ist von den Nutzern dieses Dienstes vorab zur Kenntnis zu nehmen.
6 Ist keine fachliche Leitstelle eingerichtet. werden deren Aufgaben von der Anwendenden Stelle wahrgenommen.
4
Die Fachliche Leitstelle ermittelt alle für die IT-Planung erforderlichen Daten und übergibt diese zusammen mit den erforderlichen Unterlagen an das zentrale IT-Referat zur Erfassung des IT-Vorhabens im IT-Planungs- und -Controlling-System (IPUC). Damit wird dokumentiert, dass
a. die mit den IT-Vorhaben verbundene Organisations- und Raumplanung erfolgt ist,
b. die für die Realisierung und für den Einsatz von IT-Vorhaben notwendige Bereitstellung von Personalkapazität sichergestellt ist und
c. soweit eine Finanzierung über den IT-Globalfonds der FB nicht möglich ist, diese auf anderem Wege, vor allem aus Mitteln aus Fachtiteln bzw. über Stelleneinsparungen, erfolgt.
Das zentrale IT-Referat unterstützt die Ämter bei der Ermittlung der Daten, prüft die Anmeldungen zum IT-Gesamtplan und vertritt diese gegenüber der FB. Im Rahmen der Prüfung werden auch die notwendigen Ressourcen für betriebliche Unterstützungsleistungen des zentralen IT-Referats bzw. Dritter (Dataport) festgestellt und eingeplant.
Hinsichtlich der Mitbestimmungsverfahren ist die DV-IT der BSU zu beachten.
6.1 Vorprüfung Für die Neueinrichtung und den Betrieb von IT-Verfahren sind grundsätzlich die Softwareprodukte gemäß IUK:A-RL auf der Grundlage der Entscheidungen des ITArchitekturboards (ITAB) zu verwenden. Abweichungen sind nur in Ausnahmefällen mit Zustimmung des IT-Leiters zulässig.
Vor der Neueinrichtung von IT-Verfahren ist grundsätzlich zunächst durch das fachl ich verantwortliche Amt und sodann ämter- und landesübergreifend durch das IT-Referat zu prüfen, ob - die Möglichkeit der Kooperation mit dem Bund und I oder anderen Ländern besteht;
- die Verfahrensinhalte bereits in anderen IT-Verfahren der BSU oder anderer Behörden und Ämter der Freien und Hansestadt Hamburg vorhanden sind und die erforderlichen Schnittstellen für eine Mitnutzung der Daten bestehen oder mit vertretbarem Aufwand geschaffen werden können. liegen diese Voraussetzungen vor, hat die Mitnutzung der Daten im rechtlich zulässigen Rahmen (z.B. durch Datenübermittlung, geregelten Zugriff auf diese Verfahren usw.) Vorrang vor der Neueinrichtung eines IT-Verfahrens. Zur Prüfung ist der Hamburger MetaDatenKatalog (HMDK®) zu nutzen, der die Beschreibung sämtlicher in der BSU geführten IT-Verfahren enthält. Neben verkehrs-, planungs- und umweltrelevanten Datenbeständen werden zu Verwaltungszwecken auch personenbezogene IT-Verfahren ohne entsprechenden fachlichen Bezug geführt. Sofern diese Daten ausschließlich der Öffentlichkeitsarbeit oder der allgemeinen Bürotätigkeit entsprechend § 9 Absatz 2 HmbDSG dienen, sind diese nicht zu berücksichtigen;
bei Festlegung der Verfahrensstruktur und der Zugriffsmöglichkeiten alle bekannten Nutzerinteressen innerhalb und ggf. außerhalb der BSU berücksichtigt werden können. Künftige Nutzer sind, soweit bekannt, bei der Festlegung der Verfahrensstruktur zu beteiligen;
- die Verfahrensstruktur so angelegt ist, dass Verknüpfungsmöglichkeiten zu anderen ITVerfahren, die zur Erfüllung ähnlicher Aufgaben angelegt wurden, gegeben sind. Das gilt auch für Daten aus anderen Anwendungen, mit denen ein Datenaustausch besteht bzw. vorgesehen ist;
- es aus fachlicher Sicht erforderlich ist, Daten zum räumlichen Bezug zu erheben. Ist dies der Fall, sollte der Raumbezug vorzugsweise durch Koord inaten7
, Ortsteilnummern, Baublocknummern und/oder Straßenschlüssel hergestellt werden.
7 Für eine eindeutige Beschreibung von Geodatenbeständen sollten immer Angaben zum verwendeten Koordinatensystem mit gespeichert werden: Bessel/Gauß-Krüger (entspricht Potsdam/Gauß-Krüger) oder das zukünftig neue System
5
- ob lizenzrechtliche Bestimmungen zu beachten sind und ggf. ein Beschaffungsvorgang einzuleiten ist.
6.2 Wirtschaftlichkeit Die Durchführung von Nutzen-Kosten-Untersuchungen ist gesetzlich verankert (§ 6 Gesetz über die Grundsätze des Haushaltsrechts des Bundes und der Länder (HGrH), § 7 LHO):
„Für alle finanzwirksamen Maßnahmen sind angemessene Wirtschaftlichkeitsuntersuchungen durchzuführen. Für geeignete Maßnahmen von erheblicher finanzieller Bedeutung sind Nutzen-Kosten-Untersuchungen anzustellen."
6.3. Vorhabensbeginn Die Fachliche Leitstelle übergibt die Liquiditätsplanung des jeweil igen Jahres an das zentrale IT-Referat. Dabei muss dokumentiert werden, dass:
a. das IT-Vorhaben weiterhin notwendig und zweckmäßig ist,
b. die Vollständigkeit und Richtigkeit der fachlichen Anforderungen festgestellt wurde und weiterhin gegeben ist,
c. in diesem Rahmen die Ziele eindeutig geklärt wurden und damit auch die angestrebten Ergebnisse hinreichend genau beschrieben sind und weiterhin gelten,
d. die erforderlichen personellen Ressourcen für die Aufgaben der Fachlichen Leitstelle zur Verfügung stehen,
e. die finanziellen und sachlichen Mittel den genehmigten Rahmen einhalten,
f. keine wesentlichen (vgl. Ziff. 6.4) Veränderungen der Ziele, der Folgekosten, des Realisierungsaufwandes und des Realisierungszeitraums gegenüber der Beschlussfassung durch den Senat vorliegen,
g. bei IT-Vorhaben der Kategorie 1 (Rationalisierungsvorhaben) Stellen und/oder Sach- und Fachausgaben so identifiziert sind, dass sie der FB zur Einsparung aufgegeben werden können und eine Realisierungsplanung vorliegt, die Angaben zu
- notwendigen Ressourcen,
- Start- und Endterminen,
- Anzahl der eingesetzten Beschäftigten und deren zeitliche Kapazität enthält.
Die Fachliche Leitstelle hat alle relevanten Unterlagen in einer gesonderten Vorhabensakte vorzuhalten. Diese ist auf Nachfragen dem zentralen IT-Referat jederzeit zugänglich zu machen.
Die Fachliche Leitstelle übergibt der Rechenstelle eine Verfahrensakte, in der alle für d~n Betrieb des IT-Verfahrens notwendigen Informationen und Regelungen enthalten sind.
6.4 Mittelbewirtschaftung Die IT-Investitionsmittel des laufenden Jahres stehen den Fachlichen Leitstellen entsprechend der von der FB genehmigten Liquiditätsplanung zur Verfügung.
Die Fachliche Leitstelle hat die Vertragsunterlagen vergabereif (Leistungsbeschreibung, ggf. die in Frage kommende Auftragnehmer) vorzubereiten und dem zentralen IT-Referat zuzuleiten.
Vertragsangelegenheiten, Auftragsvergaben und Rechnungswesen sowie erforderliche Abstimmungen mit der FB zur Liquiditätsplanung, zu Haushaltsresten und zu Kostenveränderungen bei IT-Vorhaben werden für die gesamte BSU von dem zentralen ITReferat durchgeführt.
ETRS89/Gauß-Krüger,_Die Abbildung Gauss-Krüger kann sowohl auf der Grundlage von Sessel als auch ETRS89 verwendet werden!
6
Die Abgabe von Verpflichtungserklärungen bei Vertragsabschlüssen erfolgt durch gemeinsame Zeichnung durch den Fachbereich sowie Z 4 auf der Grundlage der ZLVerfügung zum Zeichnungsrecht.
6.5 Berichtswesen Das zentrale IT-Referat nimmt aufgrund der Angaben der Fachlichen Leitstelle die Dokumentation im IPUC vor.
Stellt die Fachliche Leitstelle während der Realisierung eines IT-Vorhabens wesentliche Abweichungen bei Terminen, Kosten, Nutzen oder Qualität zwischen Planung und Ergebnissen fest, hat sie der Lenkungsgruppe und dem IT-Beauftragten über die jeweilige Amtsleitung sowie dem IT-Leiter einen Bericht mit einem Vorschlag zur notwendigen Steuerungslösung zuzuleiten. „Wesentlich" sind Änderungen, wenn eine der folgenden Kriterien erfüllt ist:
a. Erhöhung des investiven Finanzvolumens um mehr als 10%,
b. Änderung der Zielinhalte,
c. Nachhaltige Verschlechterung der Wirtschaftlichkeit von Rationalisierungsvorhaben, insbesondere bei Verschiebung des Amortisationszeitpunktes um mindestens 1 Jahr,
d. Abweichungen von Standardisierungsvorgaben, soweit sie nicht im Rahmen der Planung vereinbart worden sind.
6.6 Vorhabensabschluss Zum Abschluss eines IT-Vorhabens hat die Fachliche Leitstelle das neue IT-Verfahren gemäß der Freigabe-RL abzunehmen und freizugeben. Es ist ein Abschlussbericht im Sinne einer Erfolgskontrolle mit Soll/Ist-Vergleich zu erstellen hinsichtlich:
a. der Ziele (für jedes in der Vorhabensdefinition genannte Ziel),
b. der Termine,
c. des Verbrauchs von Ressourcen sowie
d. ggf. der Einsparungen.
Nach Übersendung einer Kopie des Abschlussberichtes an das zentrale IT-Referat wird dieses im IPUC erfasst und somit als IT-Vorhaben förmlich beendet.
Zum Vorhabensabschluss ist das IT-Verfahren, sofern es sich um eine Fachanwendung handelt, durch die Fachliche Leitstelle in den Hamburger Meta-Daten-Katalog einzugeben.
Die Fachliche Leitstelle bzw. eine von ihr beauftragte Stelle ist für die Neuaufnahme, Änderung und Löschung von Einträgen im HMDK® verantwortlich. Sie hat dafür Sorge zu tragen, dass die Angaben im HMDK® auf dem aktuellen Stand gehalten werden. Die ITVerfahren sind so zu dokumentieren, dass Hinweise auf deren Entstehungsweise, Angaben zu Vollständigkeit und Fehlerfreiheit sowie Hinweise zu deren Bewertung vorhanden sind8.
7 Schlussbestimmungen Die Dienstanweisung tritt am 01 .12.2011 in Kraft. Gleichzeitig wird die Dienstanweisung IUK in der Fassung vom 13. Oktober 2009 aufgehoben.
-8 Es ist möglich die technische Dokumentation des Verfahrens mittels der Verweistechnologie im HMDK beizufügen.
