Sicherheitsrichtlinie für die gesetzliche Sozialversicherung (SV-Sicherheitsrichtlinie 2019) SV-SR 2019

Allgemeines
Im Jahr 2013 fand im Hauptverband der österreichischen Sozialversicherungsträger eine Prüfung durch den Rechnungshof (RH) mit dem Schwerpunkt "Register im Hauptverband der österreichischen Sozialversicherungsträger" statt. Als Ergebnis dieser Prüfung wurden vom RH die Umsetzung ergänzender Maßnahmen zum Ausbau des Datenschutzes und der Datensicherheit in der Sozialversicherung empfohlen (siehe RH Bericht Bund 2014/8). Diese Richtlinie fasst einen großen Teil der Empfehlungen des RH zusammen und widerspiegelt die verbindliche Umsetzung der Empfehlungen, welche durch die CISO Community in dieser Richtlinine, in der SV-Informationssicherheitsstrategie der Sozialversicherung, in Handbüchern und Handlungsanleitungen detailliert erarbeitet wurden.
Die Organisation für die Erbringung der Leistungen der SV-Organisationen ist schutzwürdig. Dies wird durch die Aufnahme solcher Leistungen in die Aufzählung der „kritischen Infrastruktur“ und damit deren besonderen strafgesetzlichen Schutz bestätigt (§ 74 Z 11 StGB). Durch die fortschreitende Vernetzung und Digitalisierung von Versicherten-, Gesundheits- und Unternehmensdaten besteht größtes Interesse, alle erforderlichen Maßnahmen zu treffen, um Personen und deren Daten ebenso zu schützen wie die zur Verfügung stehende Infrastruktur.
Die Trägerkonferenz hat mit ihrem Beschluss (SV-SR 2016, avsv Nr.96/2016) vom 14. Juni 2016 bereits die Grundlage für die Schaffung eines SV-weiten Krisenmanagements als wichtigem Teil eines Business-Continuity-Managements (BCM) getroffen.
Die vorliegende Richtlinie beschäftigt sich mit den allgemeinen Regeln zur Sicherung der Organisation – es werden nicht (nur) spezielle Datenbestände und deren Verwendung geschützt (dies ist Aufgabe der Datenschutzvorschriften), sondern weiter gehende Schutzmaßnahmen für die Informationssicherheit und die Krisenvorsorge, später vielleicht für weitere Themen festgelegt. Durch ein gemeinsames und abgestimmtes Vorgehen in der Sozialversicherung werden nicht nur wirksamere Ergebnisse erzielt (Prinzip des schwächsten Gliedes einer Kette), durch Synergieeffekte können die Ergebnisse auch mit geringerem Aufwand insgesamt erreicht werden.
Zu § 1: 
Die Zusammenarbeit aller dem Hauptverband der österreichischen Sozialversicherungsträger angehörenden Sozialversicherungsträger, des Hauptverband selbst und auch der Unternehmen, auf die eine SV-Organisation oder der Hauptverband eine Aufsicht wie über eine eigene Dienststelle ausübt (z. B. in-house Gesellschaften nach § 10 BVergG 2018), in denen eine SV-Organisation oder der Hauptverband aus anderen Gründen maßgebenden Einfluss besitzt oder die Rolle eines von mehreren gemeinsamen Verantwortlichen nach Art. 26 DSGVO inne hat sowie jene unselbstständige Organisationeinheiten, die von einer oder mehreren SV-Organisationen geführt werden (Competence Center, z. B. nach § 5 Abs. 1 Z 1 REDV 2006) sollen mit dieser Richtlinie erreicht werden. Diese Richtlinie ist SV-weit verbindlich. Im Text werden die Summe dieser Organisationen mit „SV-Organisationen“ angesprochen. Der Begriff „SV-weit“ bezieht sich ebenfalls auf die SV-Organisationen und Competence Centren gleichgültig welcher Organisationsgrundlage. Erfasst sind damit jedenfalls jene Gesellschaften, die als sogenannte in-house-Gesellschaft nach dem Vergaberecht wie eigene Dienststellen zu behandeln sind (§ 18 REDV 2006), nicht aber jene Gesellschaften, die von einem Betreiber im Rahmen eines Private-Public-Partnership-Modells geführt werden. Für solche Gesellschaften können die Regeln aber vertraglich übernommen werden.
Zu § 2: 
Die Verantwortung für den notwendigen Schutz der Informationen legt das Datenschutzgesetz (und in Zukunft die Datenschutzgrundverordnung) in die Verantwortung jeder einzelnen Organisation. Durch die intensive Zusammenarbeit der SV-Organisationen bei Entwicklung und Betrieb von IT Systemen ist dieses Ziel nicht durch eine einzelne Organisation sicherzustellen. Mindeststandards sind erforderlich, die von allen SV-Organisationen eingehalten werden müsssen. Die Sicherstellung solcher Mindeststandards und die Vorgabe eines Zeitplanes zu deren Umsetzung ist der Zweck dieser Richtlinie. 
Derzeit sind die Themen Informationssicherheit, Krisenmanagement und Risikomanagement ausgeführt. Wenn es erforderlich ist, werden weitere Themen ergänzt.
Da diese Richtlinie ein öffentliches Dokument ist, werden die erforderlichen Sicherheitsmaßnahmen in eigenen Dokumenten, wie zum Beispiel der „Informationssicherheitsstrategie der österreichischen Sozialversicherung“, deren SV-Mindeststandards, dem SV-BCM Handbuch und dem SV-Risikomanagementhandbuch beschrieben, zu denen sich alle SV-Organisationen durch gemeinsamen Beschluss in der Trägerkonferenz ebenfalls verpflichten.
In dieser Richtlinie werden Maßnahmen behandelt, welche die Funktionsfähigkeit der Sozialversicherung generell im Krisenfall sicherstellen sollen, unabhängig davon, ob überhaupt personenbezogene Daten betroffen sind. Da der Hauptverband aber auch die Rolle eines von mehreren gemeinsamen Verantwortlichen nach Art. 26 DSGVO und als solcher die Verantwortung für die notwendigen Maßnahmen der Datensicherheit laut DSG hat, hat die vorliegende Richtlinie auch datenschutzrechtliche Aspekte zu erfüllen: Nach DSG ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit sicherzustellen, dass Daten vor zufälliger oder unrechtmäßiger Zerstörung und vor Verlust geschützt sind, dass ihre Verwendung ordnungsgemäß erfolgt und dass die Daten Unbefugten nicht zugänglich sind. Dies ist durch technische und organisatorische Rahmenbedingungen sicherzustellen.
Im Ergebnis soll diese Richtlinie für die SV-Organisation im Rahmen der Selbstverwaltung den gleichen Effekt haben, wie ihn die Beschlüsse der Bundesregierung zur Organisation des Staatlichen Krisen- und Katastrophenschutzmanagements haben (vgl. die Kompetenz des Bundeskanzlers für anlassbezogene Koordination innerstaatlicher Maßnahmen zur Bewältigung überregionaler oder internationaler Krisen oder Katastrophen, Anlage zu § 2 BundesministerienG, Teil 2 lit A Z 1).
Maßnahmen zur Kontinuität der Leistungserbringung sind somit nicht nur ein gesetzlicher Auftrag, sondern auch ein wichtiges Anliegen der SV-Organisationen gegenüber Versicherten und Partnern der österreichischen Sozialversicherung. Sie sind auch international anerkannt, siehe das Abkommen über die Cybersicherheit, BGBl. III Nr. 140/2012 idF Nr. 31/2016.
Cyber-Sicherheit für Bürgerinnen und Bürger und Wirtschaft ist nach dem Diskussionspapier vom Februar 2016 auch Teil der „Digital Roadmap Austria“.
Sinn der Richtlinie ist es, für die einschlägige Vorgangsweise der Sozialversicherung die gleichen Rahmenbedingungen zu schaffen, welche auch für den Bund und die Länder in Österreich allgemein gelten. Dazu sind folgende Gesichtspunkte relevant:
	-		Im Bericht des Rechnungshofs „Bund 2014/8“ mit dem Schwerpunkt „Register im Hauptverband der österreichischen Sozialversicherungsträger“ wurde das Fehlen eines sozialversicherungsweiten Krisenmanagements kritisch angemerkt. Ebenso wurde das Fehlen trägerübergreifender Katastrophen- bzw. Krisenübungen als Manko ausgewiesen.
	-	Am 8. Dezember 2008 wurde vom Rat der Europäischen Union (EU) die Richtlinie 2008/114/EG über die Ermittlung und Ausweisung europäischer kritischer Infrastrukturen (ECI) und die Bewertung der Notwendigkeit, ihren Schutz zu verbessern beschlossen.
	-	Die Bundesregierung hatte bereits am 2. April 2008 das Österreichische Programm zum Schutz kritischer Infrastrukturen beschlossen (Austrian Program for Critical Infrastructure Protection, Masterplan APCIP2 2008), an 4, November 2014 wurde der Masterplan APCIP 2014 beschlossen. Der Schutz kritischer Infrastrukturen kann nur in vertrauensvoller Kooperation zwischen den staatlichen Stellen und den Unternehmen und Organisationen, die kritische Infrastrukturen betreiben und am APCIP teilnehmen (im Folgenden „strategische Unternehmen“) gelingen und erfolgreich erfüllt werden. Damit ist die Leitlinie dieses Programms vorgegeben: Staat und Wirtschaft leisten gemeinsam einen wesentlichen Beitrag zur Steigerung der Resilienz und Sicherheit Österreichs.
	-	Am 15. Februar 2011 wurde mit der Meldung an die Kommission die Richtlinie EPCIP (Europäisches Programm zum Schutz kritischer Infrastrukturen) in Österreich umgesetzt.
	-	In der am 20. März 2013 von der Bundesregierung beschlossenen Österreichischen Strategie für Cyber Sicherheit (ÖSCS) sind umfassende Maßnahmen zum Schutz kritischer Infrastrukturen vor Risiken und Bedrohungen im Cyber Space vorgesehen.
	-	In der am 3. Juli 2013 vom Nationalrat verabschiedeten Österreichischen Sicherheitsstrategie (ÖSS) wird die Bundesregierung ersucht, ein gesamtstaatliches Konzept zur Steigerung der Resilienz Österreichs (Wiederherstellung von Staat und Gesellschaft nach Krisen) und zum Schutz kritischer Infrastrukturen zu erarbeiten. Die ÖSS sieht vor, dass ein gesamtstaatliches Konzept zur Steigerung der Resilienz Österreichs erarbeitet werden soll. Der Schutz kritischer Infrastrukturen im Rahmen des APCIP ist neben Katastrophenschutz und Schutz vor technischen/industriellen Gefahren sowie Maßnahmen zur Erhöhung der Cyber Sicherheit ein wesentlicher Beitrag zur Steigerung der Resilienz Österreichs im Sinne der ÖSS.
	-	Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
	-	Richtlinie (EU) zur Netz- und Informationssicherheit (NIS-Richtlinie) für Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union ist am 8. August 2016 in Kraft getreten. Ziel der europäischen IT-Sicherheits-Richtlinie ist es, die kritische Infrastruktur EU-weit besser gegen Störungen und Angriffe abzusichern.
	-	Zusammenspiel mit dem Staatlichen Krisen- und Katastrophenschutzmanagement (SKKM): Das SKKM ist ein gesamtstaatliches Verfahren, das in umfassender Weise die Koordination der Maßnahmen der relevanten Akteure auf der Ebene des Bundes, der Länder und der Gemeinden im Bereich der Katastrophenprävention, -vorsorge, -hilfe und Beseitigung von Katastrophenfolgen (Begrenzung des Schadensausmaßes) zum Ziel hat. Das SKKM bezieht kritische Infrastrukturen in genereller Form in die Prävention und Vorsorge mit ein, wobei hier auf Vorfälle von erheblicher Schwere (Katastrophen) abgezielt wird. Das APCIP geht über diese Vorsorgemaßnahmen hinaus und entwickelt im Dialog zwischen Staat und Betreibern strategischer Unternehmen maßgeschneiderte und umfassende Konzepte zum Risiko, Krisen- und Sicherheitsmanagement. Staatliche Maßnahmen zur Bewältigung von Katastrophen und die Beseitigung von Katastrophenfolgen, sind vom APCIP nicht vorgesehen und verbleiben daher in der Zuständigkeit der SKKM-Akteure.
	-	Prinzipien APCIP
	1. 	Operator based approach“: Auf eine Aufzählung der kritischen Sektoren wird bewusst verzichtet, da damit die Interdependenzen einer komplexen Wirtschaft nicht abgebildet werden können. Österreich hat sich bei der Identifizierung von kritischen Infrastrukturen für einen an den Betreibern von strategischen Unternehmen orientierten Zugang entschieden.
	2. 	Subsidiarität und Selbstverpflichtung der Unternehmen: Die Eigentümer und Betreiber von strategischen Unternehmen sind in erster Linie für die Aufrechterhaltung ihrer Leistungen und den Schutz ihrer Anlagen und Einrichtungen selbst verantwortlich. Da ein nationales Interesse an der Versorgungsfunktion dieser Unternehmen besteht, sollen sich diese in einer (freiwilligen) Selbstverpflichtung zu einer erhöhten Resilienz und damit zu Schutzstandards bekennen, die für ihre Branche gemeinsam definiert wurden. Deshalb sind Politik und Verwaltung für die Gestaltung der Rahmenbedingungen verantwortlich, damit ein klar definiertes Schutzniveau erreicht wird.
	3. 	Komplementarität: Bestehende Maßnahmen und Pläne sollen weiter genutzt und den neuen Bedrohungen angepasst werden.
	4. 	Vertraulichkeit: Informationen sollen auf Basis von Vertraulichkeit ausgetauscht werden und nur in jener Informationstiefe vorliegen, die die jeweilige Aufgabenstellung erfordert.
	5. 	Kooperation: Die Zusammenarbeit aller Stakeholder, d.h. Unternehmen und Interessenverbände, öffentliche Verwaltung und Regulatoren, aber auch Normungsinstitute und Medien haben einen angemessenen Beitrag zur Weiterentwicklung und Umsetzung von APCIP zu leisten.
	6. 	Verhältnismäßigkeit: Die Maßnahmen und Kosten zur Erhöhung des Schutzniveaus müssen in einem ausgeglichenen Verhältnis zum jeweiligen Risiko und zu den Möglichkeiten zur Gefahrenminderung stehen.
	7. 	All-hazards-Ansatz: Kritische Infrastrukturen sollen vor einem breiten Spektrum möglicher Risiken gesichert werden. Die Maßnahmen sind aus einem umfassenden Sicherheitsverständnis abzuleiten und sollten daher das Risiko krimineller Akte und terroristischer Anschläge genauso berücksichtigen wie Naturgefahren und von Menschen verursachte Katastrophen bzw. technisches Versagen.
	-	Definitionen
	a)	Kritische Infrastrukturen im Sinne dieses Masterplans sind jene Infrastrukturen (Systeme, Anlagen, Prozesse, Netzwerke oder Teile davon), die eine wesentliche Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen haben und deren Störung oder Zerstörung schwerwiegende Auswirkungen auf die Gesundheit, Sicherheit oder das wirtschaftliche und soziale Wohl großer Teile der Bevölkerung oder das effektive Funktionieren von staatlichen Einrichtungen haben würde.
	b)	Resilienz ist die Fähigkeit eines Systems, einer Gemeinschaft oder einer Gesellschaft, welche(s) Gefahren ausgesetzt ist, deren Folgen zeitgerecht und wirkungsvoll zu bewältigen, mit ihnen umzugehen, sich ihnen anzupassen und sich von ihnen zu erholen, auch durch Bewahrung und Wiederherstellung seiner bzw. ihrer wesentlichen Grundstrukturen und Funktionen.
Das Thema Risikomanagement ist eine eigene Disziplin der Sicherheit und wird auch als Querlieger zu den Themen Krisenmanagement (Business Impact Analyse) und Informationssicherheit (Informationssicherheitsrisiken, lokales Informationssicherheitsbild, SV-Sicherheitsgesamtbild) betrachtet. 
Zu § 2a:
Unter geschäftskritische Prozesse versteht man jene Prozesse und Abläufe, welche  im Zuge einer Business Impact Analyse (oder einer gleichwertigen Methode) als essentiell identifiziert werden.
Geschäftskritische Prozesse sind auf jeden Fall jene Prozesse und Abläufe, welche zur Sicherstellung wesentlicher Dienste (gem. kritische Infrastruktur BVT) erforderlich sind.
Zu § 2b:
Die Gliederung richtet sich nach nationalen (ONR 49001 später ON D 4901) und internationalen (ISO 31000) Standards. 
Zu § 3:
Das österreichische Informationssicherheitshandbuch ist unter https://www.sicherheitshandbuch.gv.at zu finden. 
Das österreichische Informationssicherheitshandbuch verlangt, dass jedes Unternehmen eine Informationssicherheitspolitik vorgeben und verbindlich beschließen soll. Die Informationssicherheitspolitik (für die SV die SV-Informationssicherheitsstrategie) bildet die Basis für die Entwicklung und die Umsetzung eines risikogerechten und wirtschaftlich angemessenen Informationssicherheitskonzeptes. Sie stellt ein Grundlagendokument dar, das die sicherheitsbezogenen Ziele, Strategien, Verantwortlichkeiten und Methoden langfristig und verbindlich festlegt.
Mindeststandards werden in den nachgeordneten Sicherheitshandbüchern, etwa der E-Mail-Sicherheit oder der Netzwerksicherheit, konkret vorgegeben. In den SV-Organisationen, aber auch in den unter dem Begriff SV-weit zusammengefassten Strukturen (Competence Centren) müssen diese intern für alle Mitarbeiter verbindlich gemacht werden.
Zu § 4:
In der Sitzung der Trägerkonferenz vom 7.10.2014 wurde unter TOP 15 beschlossen, die Einrichtung der CISO-Rolle bei allen SV-Organisationen, die Einführung der CISO Community und des SV-CERT sowie Strukturen für ein SV-weites und träger-internes Krisenmanagement zu schaffen. Durch diesen Beschluss wurden mehrere Empfehlungen des Rechnungshofs zur Umsetzung gebracht.
Die Aufgaben der Rolle CISO wurden im Trägerkonferenzbericht vom 7. Oktober 2014 TOP 15 in der Beilage vorgeschlagen:
	-	
	-	zentrale Stelle für Anfragen, Ideen oder Verbesserungen zur Informationssicherheit
	-	Erarbeiten der Informationssicherheitsziele des Unternehmens im Einklang mit Gesetzen, Regeln und der Unternehmensstrategie
	-	Ausarbeitung und Anpassung von Sicherheitsrichtlinien
	-	Erkennen und Analysieren von Informationssicherheitsrisiken und Erarbeiten von geeigneten Risikoreaktionen
	-	Eskalation von Informationssicherheits-Risiken und Sicherheitsmängeln an die Entscheidungsträger
	-	Überwachung der Behebung erkannter Schwachstellen
	-	Wirksamkeitsprüfung der Sicherheitsvorschriften mittels Initiierung und/oder Durchführung von internen und externen Audits
	-	Bewusstsein der MitarbeiterInnen für Informationssicherheit durch Schulungen und Awareness-Maßnahmen schaffen
	-	Mitwirkung bei der Planung von Verbesserungsmaßnahmen zur Informationssicherheit
	-	Mitwirkung beim Business Continuity Management
	-	Mitwirkung bei Informationssicherheits-Vorfällen und –Krisen
	-	Ansprechpartner für trägerübergreifende Informationssicherheits-Fragen und –Vorfälle
	-	Laufende Weiterbildung zu Informationssicherheits-Themen zum Wissenserhalt und um frühzeitig Veränderungen der Bedrohungslage der eigenen Organisation zu erkennen
	-	Kann direkt oder indirekt Informationssicherheitsthemen in die Entscheidungs-gremien der Organisation einbringen, z.B. zu geplanten Veränderungen (organisatorisch technisch), Projekten, Ergebnissen von Wirksamkeitsprüfungen, erkannten Schwachstellen, erforderlichen Dienstanweisungen
	-	Nimmt an Sicherheitsforen und Sicherheitsveranstaltungen teil
	-	Ist Mitglied der CISO Community
	-	Ist Mitglied des SV-CERT
	-	Liefert regelmäßig Informationssicherheitsberichte an die Leitung der Organisation
Unter geschäftskritische Informations- und Kommunikations-Technologien versteht man jene IKT, welche  im Zuge einer Business Impact Analyse (oder einer gleichwertigen Methode) als essentiell identifiziert werden.
Geschäftskritische IKT sind auf jeden Fall jene, die zur Sicherstellung wesentlicher Dienste (gem. kritische Infrastruktur BVT) erforderlich sind.vv

Zu § 6:
Die Gliederung entspricht der ÖNORM S 2400 (Business Continuity and Corporate Security Management). 
Zu § 7:
Die genauere Beschreibung der Aufgaben und Vorschläge zu deren Bewältigung enthält die SKKM-Dokumentation (Staatliches Krisen- und Katastrophenschutzmanagement) und das von der CISO-Community allen CISOs zur Verfügung gestellte BCM-Handbuch mit den mitgeltenden Dokumenten und Vorlagen (https://www.bmi.gv.at/204/Katastrophenmanagement/files/006_Fuehren_im_KatEinsatz.pdf).  
Die business-judgement-rule besagt, dass einem Entscheidungsträger kein Vorwurf gemacht werden kann, wenn er eine Entscheidung getroffen hat, die sich im Nachhinein als falsch herausgestellt hat. Dieses international anerkannte Rechtsprinzip schützt die Verantwortlichen in Unternehmen vor einer weit gefassten persönlichen Haftung für die Folgen ihrer Entscheidungen, sofern diese sorgfältig vorbereitet wurden und an den Interessen des Unternehmens ausgerichtet waren. Eine sorgfältige Vorbereitung einschlägiger Krisenmaßnahmen ist Teil dieser Vorgangsweise, sie trägt dazu bei, spätere Vorwürfe hinsichtlich eines fehlerhaften Organisationsaufbaues (sog. Organisationsverschulden) zu vermeiden.
Da Dokumente und theoretische Überlegungen für ein effektives Handeln im Krisenfall nicht ausreichen, werden praktische Übungen vorgesehen. Das Ziel ist, die Wirksamkeit der getroffenene Vorbereitungen dauerhaft sicher zu stellen, das Konzept im Bewußtsein der Mitarbeiter zu halten und Lerneffekte zur Verbesserung des Konzepts zu erzielen. Das kann auch durch die erfolgreiche Anwendung des Krisenkonzepts in einer tatsächlichen Krise der Fall sein. 

Dokumentart:	Erläuternde Bemerkungen z.B. zu  einer Verordnung, zu Richtlinien, zu Dienstordnungen, zu sozialversicherungsinternen Entwürfen	
Nummer des Dokuments:	Erläuterungen SV-DSV 2019	
Gesetzgebungsperiode:	-	
Datum:	01. 01. 2019