Inhalt

ISMSR
Text gilt ab: 15.04.2021
Gesamtvorschrift gilt bis: 31.12.2022
Gesamtansicht
Vorheriges Dokument (inaktiv)
Nächstes Dokument (inaktiv)

2003.4-I

Richtlinie zur Förderung der Informationssicherheit durch Implementierung eines Informationssicherheits-Managementsystems bei kommunalen Gebietskörperschaften
(ISMS-Förderrichtlinie – ISMSR)

Bekanntmachung des Bayerischen Staatsministeriums des Innern, für Sport und Integration
vom 30. März 2021, Az. E5-1681-7-10

(BayMBl. Nr. 270)

Zitiervorschlag: Bekanntmachung des Bayerischen Staatsministeriums des Innern, für Sport und Integration über die Richtlinie zur Förderung der Informationssicherheit durch Implementierung eines Informationssicherheits-Managementsystems bei kommunalen Gebietskörperschaften (ISMS-Förderrichtlinie – ISMSR) vom 30. März 2021 (BayMBl. Nr. 270)

Vorbemerkung
1Um ein nachhaltiges und hohes IT-Sicherheitsniveau in der gesamten bayerischen Verwaltung zu erreichen, fördert der Freistaat Bayern im Rahmen der Initiative Cybersicherheit nach Maßgabe dieser Förderrichtlinie und im Rahmen der allgemeinen haushaltsrechtlichen Bestimmungen (insbesondere der Art. 23, 44 der Bayerischen Haushaltsordnung und der dazu erlassenen Verwaltungsvorschriften) die Implementierung eines Informationssicherheits-Managementsystems (ISMS) bei den kommunalen Gebietskörperschaften. 2Das ISMS soll dazu beitragen, eine Schutzstrategie zu entwickeln und entsprechende Maßnahmen zur Sicherung der Verfügbarkeit, der Vertraulichkeit und der Integrität von IT-Systemen und Daten umzusetzen. 3Die Förderung erfolgt ohne Rechtsanspruch im Rahmen der verfügbaren Haushaltsmittel.

1. Zweck der Zuwendung

1.1 Zweck der Förderung

1Der IT-Planungsrat hat den kommunalen Behörden, sofern sie ebenenübergreifende IT-Verfahren einsetzen, empfohlen, die Anforderungen der „Leitlinie für die Informationssicherheit in der öffentlichen Verwaltung“ des IT-Planungsrates zu erfüllen. 2Gemäß Art. 11 Abs. 1 Satz 2 des Bayerischen E-Government-Gesetzes müssen Behörden zur Sicherstellung der Sicherheit der informationstechnischen Systeme angemessene technische und organisatorische Maßnahmen im Sinne von Art. 32 der Verordnung (EU) 2016/679 und Art. 32 des Bayerischen Datenschutzgesetzes treffen und die hierzu erforderlichen Informationssicherheitskonzepte erstellen.

1.2 Ziel der Förderung

Diese Förderrichtlinie dient dem Ziel, vor allem kleine und mittelgroße kommunale Gebietskörperschaften bei der Implementierung eines modernen, aber mit tragbarem Aufwand umsetzbaren Informationssicherheits-Managementsystems (ISMS) finanziell zu fördern, um so rasch und nachhaltig ein hohes IT-Sicherheitsniveau in der gesamten bayerischen Verwaltung zu erreichen.

2. Fördergegenstand

1Fördergegenstand ist die Einführung eines ISMS, das den vom IT-Planungsrat beschlossenen Zielsetzungen (IT-Grundschutz) entspricht, die Umsetzung der nachfolgend bestimmten Vor- und Zwischenstufen eines solchen ISMS sowie deren Zertifizierung oder abschließende Prüfung der vollständigen Implementierung durch einen zugelassenen Auditor. 2Im Einzelnen sind dies:
a)
ISIS12 sowie Schulung von ISB: Einführung von ISIS12, dessen Zertifizierung oder abschließende Prüfung der vollständigen Implementierung durch einen zugelassenen Auditor sowie die Schulung von Mitarbeitern zum Informationssicherheitsbeauftragten (ISB) und deren Zertifizierung (Vorstufe).
b)
Basisabsicherung (Zwischenstufe): Implementierung der im IT-Grundschutz-Profil für Kommunen1 von den kommunalen Spitzenverbänden in Abstimmung mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) definierten Mindestsicherheitsmaßnahmen sowie deren Zertifizierung oder abschließende Prüfung der vollständigen Implementierung durch einen zugelassenen Auditor.
c)
Kernabsicherung (Zwischenstufe): Absicherung von Fachprozessen und Fachverfahren der Kommunen oder von den Kommunen obliegenden Aufgaben nach IT-Grundschutz sowie deren Zertifizierung oder abschließende Prüfung der Implementierung durch einen zugelassenen Auditor.
d)
Standardabsicherung: Einführung von IT-Grundschutz des BSI oder ISO/IEC 2700X sowie deren Zertifizierung oder abschließende Prüfung der vollständigen Implementierung durch einen zugelassenen Auditor.

1 [Amtl. Anm.:] IT-Grundschutz-Profile sind Muster-Sicherheitskonzepte für Institutionen mit vergleichbaren Rahmenbedingungen. Das erstellte IT-Grundschutz-Profil basiert auf der Vorgehensweise der Basis-Absicherung nach dem BSI-Standard 200-2 und definiert die Mindestsicherheitsmaßnahmen, die in einer Kommunalverwaltung umzusetzen sind. Das IT-Grundschutz-Profil erleichtert den Einstieg in die Informationssicherheit und hilft dabei, das Sicherheitsniveau anzuheben.

3. Zuwendungsempfänger

Förderberechtigt sind alle bayerischen kommunalen Gebietskörperschaften und deren Zusammenschlüsse sowie die von ihnen in öffentlich-rechtlicher Form geführten Unternehmen und Einrichtungen mit Sitz in Bayern.

4. Zuwendungsvoraussetzungen

Voraussetzung für die Gewährung einer Zuwendung ist die vollständige Implementierung eines ISMS, das den Zielsetzungen des IT-Planungsrates entspricht oder die Umsetzung einer Vor- oder Zwischenstufe eines solchen ISMS, die mit einem Testat oder Zertifikat nachgewiesen ist.

5. Art und Umfang der Zuwendung

5.1 Art der Förderung

Die Zuwendung erfolgt als Anteilfinanzierung im Rahmen einer Projektförderung als nicht rückzahlbare Zuweisung beziehungsweise Zuschuss.

5.2 Zuwendungsfähige Ausgaben

5.2.1 

1Zuwendungsfähig sind die innerhalb des Bewilligungszeitraums anfallenden Ausgaben für
a)
die Beratung und Begleitung bei der Implementierung durch fachkundige IT-Dienstleister,
b)
Schulungen für Mitarbeiter durch zertifizierte Anbieter,
c)
die Erst-Zertifizierung eines ISMS oder der Umsetzung einer Vorstufe (Nr. 2 Satz 2 Buchst. a am Ende) und Zwischenstufe (Nr. 2 Satz 2 Buchst. b, c) eines solchen ISMS beziehungsweise die abschließende Prüfung der vollständigen Implementierung durch einen zugelassenen Auditor.
2Die Fachkunde wird regelmäßig durch anerkannte Zertifikate einer unabhängigen Stelle nachgewiesen.

5.2.2 

1Die Förderung setzt mindestens zuwendungsfähige Ausgaben in Höhe von 2 500 Euro (brutto) voraus (Bagatellgrenze). 2Abweichend von Satz 1 beträgt die Bagatellgrenze bei der Umsetzung der Vorstufe ISIS12 nach Nr. 2 Satz 2 Buchst. a am Ende 500 Euro (brutto).

5.2.3 

Die Förderung von Leistungen ist auf maximal 1 200 Euro (brutto) je Beratertag beschränkt.

5.2.4 

Die Förderung von Leistungen nach Nr. 5.2.1 Satz 1 Buchst. c ist auf maximal 6 000 Euro (brutto) beschränkt.

5.3 Höhe der Förderung

5.3.1 

1Der Zuschuss beträgt
a)
bis zu 50 % der zuwendungsfähigen Ausgaben gemäß Nr. 5.2.1 für die Implementierung von ISIS12 nach Nr. 2 Satz 2 Buchst. a, höchstens 15 000 Euro,
b)
bis zu 50 % der zuwendungsfähigen Ausgaben gemäß Nr. 5.2.1 für die Vorstufe ISIS12 nach Nr. 2 Satz 2 Buchst. a am Ende, höchstens 6 000 Euro,
c)
bis zu 60 % der zuwendungsfähigen Ausgaben gemäß Nr. 5.2.1 für die Basisabsicherung nach Nr. 2 Satz 2 Buchst. b, höchstens 20 000 Euro,
d)
bis zu 60 % der zuwendungsfähigen Ausgaben gemäß Nr. 5.2.1 für die Kernabsicherung nach Nr. 2 Satz 2 Buchst. c, höchstens 20 000 Euro,
e)
bis zu 75 % der zuwendungsfähigen Ausgaben gemäß Nr. 5.2.1 für die Standardabsicherung nach Nr. 2 Satz 2 Buchst. d, höchstens 60 000 Euro.
2Bei Zusammenarbeit von Förderberechtigten ohne Begründung einer eigenen Rechtspersönlichkeit (zum Beispiel Zweckvereinbarung) gilt der Höchstbetrag nach Satz 1 je beteiligten Förderberechtigten. 3Für kommunale Gebietskörperschaften, die über ein kommunales Behördennetz an das Bayerische Behördennetz angebunden sind oder ein kommunales Behördennetz für kreisangehörige Gemeinden betreiben, erhöht sich der Zuschuss gemäß Satz 1 Buchst. a bis e um zehn Prozentpunkte. 4Für kommunale Gebietskörperschaften, die bereits das bayerische Siegel „Kommunale IT-Sicherheit“ erworben haben, erhöht sich der Zuschuss gemäß Satz 1 Buchst. a bis e ebenfalls um zehn Prozentpunkte. 5Die Erhöhung der Zuschüsse wird kumulativ gewährt. 6In Summe darf der Zuschuss höchstens 80 % der zuwendungsfähigen Ausgaben betragen.

5.3.2 

1Die Förderung von Leistungen nach Nr. 5.2.1 kann von Förderberechtigten für jeden der in Nr. 2 Satz 2 Buchst. a bis e genannten Fördergegenstände beantragt werden. 2Die Förderung wird je Förderberechtigten für jeden Fördergegenstand nach Nr. 2 Satz 2 Buchst. a bis e nur einmal gewährt. 3Die Umsetzung unterschiedlicher Fachverfahren im Rahmen der Kernabsicherung nach Nr. 2 Satz 2 Buchst. c stellt keine verbotene Doppelförderung im Sinne des Satzes 2 dar. 4Wurde von einem Förderberechtigten bereits eine Förderung für einen der in Nr. 2 Satz 2 Buchst. a bis d genannten Fördergegenstände in Anspruch genommen, ist der bereits gewährte Förderbetrag auf den maximal zu gewährenden Zuschuss im Sinne der Nr. 5.3.1 Satz 1 Buchst. a bis e anzurechnen.

5.4 Mehrfachförderung

Eine Förderung ist nicht zulässig, wenn das Vorhaben im Rahmen anderer öffentlicher Programme gefördert wird.

6. Förderverfahren

6.1 Beginn

6.1.1 

1Zuwendungen dürfen nur für solche Vorhaben bewilligt werden, die noch nicht begonnen worden sind. 2Beginn ist grundsätzlich der Abschluss eines der Ausführung zuzurechnenden Leistungsvertrags.

6.1.2 

Im Rahmen von Veröffentlichungen und in öffentlicher Kommunikation im Zusammenhang mit dem Förderprogramm sowie in direkter Kommunikation mit Antragstellern ist ausdrücklich darauf hinzuweisen, dass Zuwendungen aus dem Programm freiwillige Leistungen darstellen und nur insoweit bewilligt werden können, als dafür Haushaltsmittel zur Verfügung stehen, und deshalb ein Zuwendungsantrag unter Umständen wegen Überzeichnung des Förderprogramms nicht bewilligt werden kann.

6.2 Antrag

1Anträge auf Gewährung einer Förderung sind schriftlich oder elektronisch unter den Voraussetzungen des Art. 3a Abs. 2 BayVwVfG an die Regierung von Oberfranken als Bewilligungsstelle zu richten. 2Hierzu ist das von ihr unter der Internetpräsenz elektronisch bereitgestellte Antragsformular zu verwenden. 3Die Antragsunterlagen können auf elektronischem Weg direkt an die Bewilligungsstelle (Regierung von Oberfranken, Sachgebiet 22, isms-kommune@reg-ofr.bayern.de) übermittelt werden. 4Sofern der Förderantrag eigenhändig unterzeichnet wird und kein Schriftformäquivalent nach Art. 3a Abs. 2 BayVwVfG genutzt wird, ist der unterzeichnete Förderantrag innerhalb von vier Wochen nach der elektronischen Antragsstellung postalisch bei der Bewilligungsstelle einzureichen. 5Unvollständig ausgefüllte Anträge sowie Anträge, denen die erforderlichen Unterlagen nicht vollzählig beigelegt sind, werden von der Regierung in der Regel abgelehnt, sofern der Antragsteller sie trotz Aufforderung nicht innerhalb einer angemessenen Frist nach Antragseingang bei der Regierung vervollständigt. 6Über eingehende Förderanträge wird das Landesamt für Sicherheit in der Informationstechnik durch die Bewilligungsstelle in Kenntnis gesetzt.

6.3 Bewilligungsstelle

1Die Regierung von Oberfranken ist Bewilligungsstelle. 2Die Bewilligungsstelle prüft die Förderanträge nach Maßgabe dieser Förderrichtlinie und entscheidet über den Antrag durch Bescheid. 3Die Allgemeinen Nebenbestimmungen für Zuwendungen zur Projektförderung an kommunale Körperschaften (ANBest-K) sind zum Bestandteil des Bewilligungsbescheids zu machen.

6.4 Bewilligungszeitraum

1Die geförderte Maßnahme muss binnen 24 Monaten nach Erlass des Förderbescheids beendet sein. 2In begründeten Ausnahmefällen kann die Bewilligungsstelle auf Antrag des Zuwendungsempfängers Ausnahmen von den Fristen zulassen.

6.5 Auszahlung der Zuwendung

Die Zuwendung kann mit Vorlage eines einfachen Verwendungsnachweises angefordert werden.

6.6 Nachweis der Verwendung

1Die zweckentsprechende Verwendung der Zuwendung ist durch Vorlage eines einfachen Verwendungsnachweises zu belegen. 2Dabei ist der Nachweis der vollständigen Implementierung oder der vollständigen Umsetzung einer Vor- oder Zwischenstufe zu führen. 3Der Nachweis kann durch Vorlage eines entsprechenden Testats oder Zertifikats einer unabhängigen Stelle oder einer entsprechenden Bescheinigung durch einen für das jeweilige Vorhaben zugelassenen Auditor gegenüber der Bewilligungsstelle erfolgen. 4Der Bayerische Oberste Rechnungshof ist gemäß Art. 91 BayHO berechtigt, beim Zuwendungsempfänger zu prüfen.

7. Inkrafttreten, Außerkrafttreten

Diese Bekanntmachung tritt am 15. April 2021 in Kraft und mit Ablauf des 31. Dezember 2022 außer Kraft.

Karl Michael Scheufele
Ministerialdirektor