1.1 Gegenstand

Diese Informationssicherheitsrichtlinie legt auf Grundlage der Leitlinie zur Gewährleistung der Informationssicherheit (ISLL) - Bezugserlass zu a - Mindestanforderungen an die organisatorischen Rahmenbedingungen zum Umgang mit Informationssicherheitsvorfällen (ISi-Vorfällen) und zur Vermeidung von ISi-Vorfällen fest. Sie dient dem Zweck, die Informationssicherheit in der Landesverwaltung kontinuierlich zu verbessern.

1.2 Ziel

Ziel der ISRL-ISi-Vorfälle ist es, künftige ISi-Vorfälle möglichst zu vermeiden, auf eingetretene ISi-Vorfälle angemessen zu reagieren sowie Rückschlüsse auf erforderliche Anpassungen von Sicherheitskonzepten, Risikoanalysen und ergriffenen Maßnahmen aus eingetretenen ISi-Vorfällen zu ziehen. Durch eine abgestimmte, schnelle und wirksame Reaktion auf ISi-Vorfälle sollen außerdem Schäden an Informationen der Landesverwaltung abgewehrt oder minimiert werden.

1.3 Bezug zur Umsetzung der NIS-2-Richtlinie in Niedersachsen

Die Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie) (ABl. L 333 vom 27.12.2022, S. 80; L, 2023/90206, 22.12.2023) - im Folgenden: NIS-2-Richtlinie - wird abschließend in dem Gem. RdErl. Umsetzung der NIS-2-Richtlinie in Niedersachsen (NIS2UmsRdErl) - Bezugserlass zu b - umgesetzt. Für wichtige Einrichtungen i. S. von Artikel 3 Abs. 2 Satz 1 i. V. m. Anhang I Nr. 10 Alternative 2 der NIS-2-Richtlinie geht der Bezugserlass zu b im Falle von Konflikten dieser Informationssicherheitsrichtlinie (ISRL) vor.

1.4 Negativabgrenzung

Nicht Gegenstand dieser ISRL sind der Umgang mit Notfällen und Krisen, die statistische Erhebung von ISi-Vorfällen sowie Regelungen zur technischen Sensorik und Protokollierung. Diese ISRL legt Mindestanforderungen an vorzuhaltende Strukturen fest und harmonisiert einzurichtende Prozesse in den Sicherheitsdomänen. Sie trifft keine abschließenden Vorgaben zu Prozessen innerhalb der einzelnen Sicherheitsdomänen.

1.5 Begriffsbestimmungen

Begriffsbestimmungen richten sich nach dem Bezugserlass zu c.