Anfrage zur Geschäftsordnung

Sozialdemokratische Partei Deutschlands

01.11.2023

Sehr geehrter Herr Landrat,

die SPD-Fraktion bittet um Beantwortung folgender Fragen in Bezug auf den Sicherheitsvorfall bei der Südwestfalen IT (SIT) und deren Folgen für den Kreis Olpe. Die Fragen sind primär auf die Kreisverwaltung bezogen (vgl. Business-Continuity Modell, de. Betriebliches Kontinuitätsmanagement).

Wir wissen um die hohe Belastung der Mitarbeiterinnen und Mitarbeiter in den kommenden Wochen und Monaten und verstehen unsere Fragen als konstruktiven Beitrag zur Krisenbewältigung und Aufarbeitung.

Eine Beantwortung der Anfrage ist in der Priorität der Krisenbewältigung und dem Aufbau eines Notfallbetriebes nachgelagert zu beantworten.

1.      Schaffung von Awareness beim Management / der Führung und den Mitarbeitern:

1.1.    Wie oft haben sich leitende Funktionen zu dem Thema in den letzten 3 Jahren getroffen?

1.2.    Wie oft haben der Landrat / der Kreisdirektor an den Treffen teilgenommen?

1.3.    Welche Sicherheits-Schulungen sind für Mitarbeiter der Verwaltung verpflichtend und in welchem Rhythmus?

2.      Gibt es ein Notfallvorsorgekonzept?

3.      Gibt es ein Notfallhandbuch? Enthält dieses:

3.1.    Bereitstellen von Informationen (Telefonlisten, etc.)

3.2.    Wiederanlauf- und Wiederherstellungskonzepte

3.3.    Einrichtung eines Krisenzentrums

3.4.    Aufbau einer besonderen Aufbauorganisation (Verantwortlichkeiten & Kommunikation, etc.)

4.      Vorbereitung auf einen Not- oder Krisenfall:

4.1.    Werden regelmäßige Notfallübungen durchgeführt und wird der daraus abgeleitete kontinuierliche Verbesserungsprozess angestoßen?

4.2.    Wie oft haben in den letzten 3 Jahren Notfallübungen stattgefunden?

5.      Zertifizierung nach ISO 27001 setzt ein Daten-Verarbeitungsverzeichnis voraus:

5.1.    Steht ein Daten-Verarbeitungsverzeichnis zur Verfügung?

5.2.    Welche der dort dokumentierten und nicht-dokumentierten Daten sind mutmaßlich gestohlen/abgegriffen worden?

5.3.    Sind Datenschutzverstöße bekannt?

5.4.    Ist von diesen auszugehen, wenn Lösegeldforderungen - zu Recht - weiter abgelehnt werden?

5.5.    Ergeben sich daraus Folgerisiken für Menschen, Organisationen und/oder Behören?

6.      IT-Forensik und Aufklärung (BSI-Grundschutz - Vertraulichkeit, Verfügbarkeit, Integrität):

6.1.    Sind Daten- & System-Sicherungen betroffen die älter als 6 oder 12 Monate sind?

6.2.    Welche Bereiche der Verwaltung gelten als betroffen?

6.3.    In welcher Priorität sollen welche Bereiche wieder hochgefahren werden?

6.4.    In welcher Priorität sollen welche Leistungen wieder hochgefahren werden?

6.5.    Werden Geschäfts-/Verwaltungsprozesse übergangsweise nicht digital angeboten? Wenn ja, welche und in welchem Zeitraum?

6.6.    Wie lange wird die Dauer des Notbetriebes prognostiziert (6-9 Monate)?

7.      Die Beantwortung der Anfragen aus der letzter Sitzung nach dem Zeitplan der Umsetzung der OZG-Leistungen ist im Protokoll nicht zufriedenstellend beantwortet worden. Die Frage ist aufgrund der aktuellen Lage nun obsolet:

7.1.    Inwiefern sind die Umsetzungsplanungen/Projekte der einzelnen Leistungen betroffen (insb. im Hinblick auf Ressourcen- und Zeitplan pro Leistung)

7.2.    Ändern sich die Pläne im Hinblick auf die Umsetzung: Welche Leistungen werden nun mit einem „Brown“- und welche mit einem „Green-Field-Approach“ umgesetzt?

8.      Finanzen und Auswirkungen:

8.1.    Wer haftet für den entstandenen Schaden?

8.2.   Werden die Kosten die im Zuge des Schadens entstehen im Haushalt abgegrenzt?

8.3.   Wann lässt sich eine Prognose erstellen, welche finanzielle Auswirkungen den Kreis Olpe treffen [Aufgeteilt nach Bereichen Hardware, Software/Plattformen, IT-Betrieb, IT-Support]?

8.4.   Wie stehen Investitionen in Krisenvorsorge und IT-Security (Bitte separieren) im Verhältnis zum entstandenen Schaden?

8.5.   Welche Auswirkungen auf die bestehenden Ziele, die IT-Strategie und die Handlungsebene hat der Vorfall?

8.6.   Welche Ziele, Strategien und Handlungsebenen werden über alle Bereiche verändert/aufgestellt, um einen zukünftigen Sicherheitsvorfall zu vermeiden und potenzielle Auswirkungen abzumildern?

9.      Regeln/Verhaltensweisen der KT-Mitglieder?

9.1.   Wer ist Ansprechpartner für die politische Seite bei Fragen?

9.2.   Welche Handlungsanweisungen werden an die politischen Beteiligten im Kreis Olpe gegeben?

9.3.   Sind Geräte der Kreistagsmitglieder durch bspw. Daten-Download betroffen? Wie ist in einem solchen Fall umzugehen? An wen ist sich in einem solchen Fall zu wenden?

9.4.   Welchen Kommunikationsregeln sollen/können die Kreistagsmitglieder folgen, um die aufklärende Arbeit nicht zu behindern oder zu unterstützen?

Wir bedanken uns im Voraus für die Beantwortung der Fragen.

Mit freundlichen Grüßen

Sebastian Menn & Fraktion

---

20231103_Anfrage Digitales u. Sicherheit_Menn_V1

.pdf

PDF herunterladen • 191KB