IT-Handbuch. für die Verwaltung der Freien und Hansestadt Harnburg. Freigaberichtlinie. (F reigabe-rll. vom 4. April 2005 (MittVw Seite 46)

Transkript

1 IT-Handbuch für die Verwaltung der Freien und Hansestadt Harnburg Freigabe-RL Freigaberichtlinie (F reigabe-rll vom 4. April 2005 (MittVw Seite 46) in der Fassung vom 18. November 2010 (MittVw Seite 189) 1. Zielsetzung und Regelungsbereich 1.1. Diese Richtlinie regelt die beim Einsatz von Software im Interesse des Datenschutzes und der Datensicherheit zum Schutze von Software und Daten zu treffenden Maßnahmen. Weitergehende Vorschriften bleiben unberührt. Dies sind insbesondere für Software mit Bezug zum Haushalts-, Kassenund Rechnungswesen auch die Bestimmungen der Landeshaushaltsordnung und die dazu erlassenen Verwaltungsvorschriften Diese Richtlinie gilt für jede im Produktionsbetrieb eingesetzte Software, unabhängig davon, ob sie auf Rechnern in Dienststellen der Freien und Hansestadt Harnburg oder in Einrichtungen von Dritten (Datenverarbeitung im Auftrag), z.b. eines zentralen IT-Dienstleisters, installiert ist. 2. Begriffsbestimmungen 2.1. Rechner im Sinne dieser Richtlinie sind zentrale und lokale Geräte zur elektronischen Datenverarbeitung einschließlich Netzkomponenten und Telekommunikationseinrichtungen entsprechend der IT-Architektur-Richtlinie in der jeweils geltenden Fassung Software im Sinne dieser Richtlinie ist jede Form von ausführbarem Code, unabhängig davon, ob sie vor der Nutzung übersetzt (kompiliert), vorübersetzt, interpretiert oder in einer anderen Form maschinell bearbeitet werden musste. Freigaberelevant sind insbesondere auch kundenspezifische Anpassungen und Ergänzungen (u.a. Parametrisierung, Customizing, Programmierung von Datenbanken) Allgemeine Software umfasst Betriebssysteme, Systemprogramme, Dienstprogramme, Standardsoftware (z.b. Bürokommunikationssoftware), Herstellertools, Virenschutzprogramme u.ä. und schafft die Grundlage für den Betrieb von Rechnern sowie für den Einsatz von Software zur Lösung einer 1

2 konkreten Fachaufgabe. Sie ist nicht auf die Lösung einer speziellen Fachaufgabe zugeschnitten. Allgemeine Software im Sinne dieser Richtlinie ist nicht die fachspezifische Nutzung von Bürokommunikationssoftware (z.b. Datenbank-Anwendungen, Makros) Datenverarbeitungs(DV)-Verfahren sind automatisierte Arbeits- oder technische Prozesse zur Lösung einer fachlichen Aufgabe. Sie können aus einer Verknüpfung von verschiedener Software bestehen und organisatorische Zuständigkeiten sowie Abläufe festlegen. DV-Verfahren können sich auch der allgemeinen Software bedienen. Der Begriff DV-Verfahren ist identisch mit dem Begriff IT-Verfahren Revisionssichere Dokumentation im Sinne dieser Richtlinie bedeutet die vollständige, geordnete und nachvollziehbare Erstellung und Zusammenfassung von Dokumenten und deren sichere und unveränderliche Aufbewahrung in schriftlicher oder elektronischer Form. 3. Grundsätze 3.1. Software und DV -Verfahren dürfen erst dann im Produktionsbetrieb eingesetzt werden, wenn sie nach Maßgabe dieser Richtlinie freigegeben wurden. Geänderte Software bzw. geänderte DV-Verfahren sind erneut freizugeben Alle Testergebnisse sind revisionssicher zu dokumentieren. Ergebnisse von Testläufen dürfen nicht in die Produktion gelangen Für jede im Produktionsbetrieb eingesetzte Software und jedes DV Verfahren ist eine Dokumentation nach den Regeln dieser Richtlinie zu erstellen und zeitgerecht fortzuschreiben Es ist sicherzustellen, dass freigegebene Software und DV-Verfahren nicht unbefugt ergänzt, verändert oder gelöscht werden können Bei Software und DV-Verfahren sollen die Funktionen der Aufgabenerfüllung, der Verfahrensentwicklung und -pflege sowie der technischen Durchführung organisatorisch und personell getrennt werden. Verfahrensentwicklung und -pflege können getrennt wahrgenommen werden, wenn dies fachlich erforderlich ist. Die Funktionen der Aufgabenerfüllung und Verfahrensentwicklung und -pflege sind immer so zu trennen, dass eine Kumulation von risikorelevanten Befugnissen bzw. Rechten für den über das fachlich unabweisbare Maß hinausgehenden Zugriff auf schutzwürdige Datenbestände durch dieselben Personen ausgeschlossen ist. Bei Software und DV-Verfahren mit Bezug zum Haushalts-, Kassen- und Rechnungswesen sind die Funktionen der Aufgabenerfüllung von der Verfahrensentwicklung und -pflege immer zu trennen. 2

3 4. Funktionstrennung 4.1. Allgemeines Der/die jeweils zuständige IT-Beauftragte bzw. eine von ihm/ihr autorisierte Stelle legt fest, ob, wie und für welche Software und DV -Verfahren die Funktionen der Aufgabenerfüllung, der Verfahrensentwicklung und -pflege sowie der technischen Durchführung organisatorisch und personell getrennt werden. Er/sie bestimmt die Auftragsberechtigten und den Umfang ihrer Rechte gegenüber der Rechenstelle im Hinblick auf Installationsaufträge für Software, die Autorisierung von Anwendenden Stellen und Benutzern, sowie - falls keine Fachliche Leitstelle eingerichtet wird - die für die Freigabe verantwortlichen Personen. Darüber hinaus legt er/sie fest, welche der nachfolgenden Stellen die einzelnen Funktionen wahrnehmen. Die Festlegungen sind revisionssicher zu dokumentieren Anwendende Stelle Die Anwendenden Stellen nutzen Software und DV -Verfahren zur fachlichen Aufgabenerfüllung Fachliche Leitstelle Für die Wahrnehmung einer übergreifenden Verantwortung zur Erfüllung fachlicher Aufgaben oder für Verfahren von besonderer Bedeutung sollen Fachliche Leitstellen eingesetzt werden. Die Verantwortung der Daten verarbeitenden Stelle gemäß 4 Abs. 3 HmbDSG bleibt davon unberührt. Der Fachlichen Leitstelle obliegt insbesondere die Entwicklungsplanung, die fachliche und technische (organisatorische) Steuerung, die Festlegung fachlicher Anforderungen, die Dokumentation, die Freigabe der Software und DV-Verfahren sowie die Autorisierung der anwendenden Stelle(n) und Benutzer. Für die Autorisierung von Angehörigen der Fachlichen Leitstelle als Verfahrensbenutzer ist innerhalb der Fachlichen Leitstelle eine personelle Trennung vorzusehen oder, wenn dies nicht möglich ist, eine andere Stelle für die Autorisierung von Benutzern festzulegen. Ist keine Fachliche Leitstelle eingerichtet, werden deren Aufgaben von der Anwendenden Stelle wahrgenommen. Die Fachliche Leitstelle kann zur hilfsweisen Erledigung ihrer Aufgaben andere Stellen beauftragen. Hierüber sind mit diesen Stellen Vereinbarungen über die Einzelheiten der Aufgabenwahrnehmung, insbesondere der Aufgabenverteilung, und die Regelung der Verantwortlichkeiten abzuschließen. Die Gesamtverantwortung der Fachlichen Leitstelle für das Verfahren bleibt dabei unberührt. Die Vorschriften über Datenverarbeitung im Auftrag ( 3 Hamburgisches Datenschutzgesetz) sind zu beachten Programmierende Stelle Die Erstellung, Anpassung und Pflege von Software und DV-Verfahren wird bei Funktionstrennung im Rahmen der getroffenen Festlegungen durch hierfür eingesetzte Programmierende Stellen wahrgenommen. 3

4 4.5. Rechenstelle ln Rechenstellen werden Software und DV-Verfahren technisch betrieben. Die Rechenstelle ist dabei an die Weisungen der ihr gegenüber benannten Auftragsberechtigten gebunden. Das Weisungsrecht erstreckt sich nicht auf die interne Betriebsorganisation der Rechenstelle, soweit nicht die Verfügbarkeit oder Sicherheit der dort betriebenen Software oder DV -Verfahren betroffen sind. Bei Datenverarbeitung im Auftrag werden die mit dem Auftragnehmer in einer Vereinbarung festgelegten erforderlichen Einzelheiten revisionssicher dokumentiert. Aufträge für Produktionsarbeiten dürfen nur von Personen erteilt werden, die dazu berechtigt und in das Verzeichnis der Auftragsberechtigten bzw. Freigabeberechtigten (siehe Ziffer , Muster siehe Anlage 1) aufgenommen worden sind. Aufträge können von den Auftrags- und Freigabeberechtigten schriftlich oder elektronisch per erteilt werden. Die Rechenstelle kann sich vorbehalten, bei der Entgegennahme von Aufträgen und Freigaben die Authentizität des Auftraggebers durch geeignete Maßnahmen zu überprüfen. 5. Freigabe von Software und DV-Verfahren 5.1. Funktions- und Abnahmetest Testverfahren Jede Software und jedes DV -Verfahren ist vor der Freigabe in einem Funktionstest und in einem Abnahmetest ausreichend daraufhin zu prüfen, ob sie den fachlichen Anforderungen entspricht, in der geplanten Betriebsumgebung fehlerfrei und kompatibel zu anderer eingesetzter Software und DV-Verfahren abläuft und Fehlbedienungen bzw. Fehleingaben nicht zu undefinierten Systemzuständen führen. Dabei muss der Aufwand für das Testverfahren in einem angemessenen Verhältnis zur Schutzwürdigkeit der zu verarbeitenden Daten und zur Bedeutung der fachlichen Anforderungen der Software oder des DV-Verfahrens stehen Bei standardisierter Software und DV-Verfahren von Fremdherstellern kann sich der Funktions- und Abnahmetest auf die Überprüfung der Kompatibilität zur geplanten Betriebsumgebung und zu anderer eingesetzter Software sowie zu anderen eingesetzten DV-Verfahren beschränken, wenn der Hersteller selbst die Funktionsfähigkeit seines Produktes getestet hat und keine Hinweise auf Funktionsmängel bekannt sind. Sofern Anpassungen notwendig sind, sind diese zusammen mit den funktional betroffenen DV-Verfahrensteilen in einer fachlich geeigneten Abgrenzung einem Funktions- und Abnahmetest zu unterziehen Die Programmierende Stelle prüft im Funktionstest die Funktionsfähigkeit der Software bzw. des DV-Verfahrens sowie die Übereinstimmung der Ergebnisse der maschinellen Verarbeitung mit den fachlichen Anforderun- 4

5 gen. Im Zusammenwirken mit der jeweiligen Rechenstelle prüft sie außerdem die Kompatibilität zur sonstigen Betriebsumgebung Die Fachliche Leitstelle prüft im Abnahmetest unabhängig von der Programmierenden Stelle, ob die Software oder das DV-Verfahren den fachlichen Anforderungen entspricht. Sie kann im Ausnahmefall auf den Abnahmetest verzichten und sich bei der Freigabe der Software oder des DV Verfahrens auf den Funktionstest stützen oder einen gemeinsamen Funktions- und Abnahmetest mit der Programmierenden Stelle durchführen. Die Gründe für den Verzicht auf einen eigenständigen Abnahmetest sind revisionssicher zu dokumentieren Testdaten und Testplan Software und DV-Verfahren sind mit systematisch entwickelten Fall Konstellationen (Testdaten) nach einem Testplan, aus dem das gewünschte Ergebnis hervorgeht, zu überprüfen. Massentests können -wenn erforderlich -nach Zustimmung und Vorgaben der Fachlichen Leitstelle mit anonymisierten Originaldaten durchgeführt werden. Tests mit nicht anonymisierten Originaldaten sind nur unter den Voraussetzungen gemäß Ziffer zulässig. Die Zustimmung der Fachlichen Leitstelle zur Anonymisierung von Originaldaten und alle Testergebnisse sind revisionssicher zu dokumentieren Test mit Originaldaten Zu Testzwecken darf eine Kopie der erforderlichen Originaldatensätze verwendet werden, wenn eine andere Rechtsvorschrift dies ausdrucklieh erlaubt oder falls sich im Ausnahmefalltrotz Nachbildung im Testbereich ein Fehler aus dem Produktionsbetrieb nicht ermitteln, sondern nur mit Originaldaten aufklären lässt, oder die Verfahrenssicherheit nicht anders gewährleistet werden kann, wenn eine bereichsspezifische Rechtsvorschrift dies nicht ausdrücklich untersagt, eine Anonymisierung der Originaldaten für die vorgesehene Test Konstellation nur mit einem unvertretbar hohem Aufwand verbunden wäre, die Fachliche Leitstelle dem Vorgehen schriftlich zugestimmt hat, bei der Durchführung oder Auswertung des Tests die schutzwürdigen Belange der Betroffenen und die Datensicherheit angemessen berücksichtigt werden, sichergestellt ist, dass nur die für die Fehlerbehebung und Durchführung des Tests erforderlichen Personen die Daten nutzen können und - Zugang zu diesen Daten nur Personen erhalten, die den jeweils maßgebenden Vertraulichkeitsgrundsätzen und insbesondere datenschutzrechtlichen Vorschriften unterliegen. 5

6 Der Kopierzugriff auf die Originaldaten ist zu protokollieren. Nach Beendigung des Tests ist die benutzte Kopie der Originaldaten unverzüglich aus dem Testbereich zu löschen bzw. im Testbereich zu anonymisieren. Die Verwendung von Originaldatenkopien mit Anlass, Begründung, Umfang und Dauer, die getroffenen Sicherheitsmaßnahmen sowie die vorangehenden Tests mit Testdaten sind revisionssicher zu dokumentieren. Der/die behördliche Datenschutzbeauftragte bzw. - soweit ein solcher nicht bestellt wurde - der/die Harnburgische Datenschutzbeauftragte sowie die betroffenen Daten verarbeitenden Stellen im Sinne des HmbDSG - soweit nicht mit der Fachlichen Leitstelle identisch -sind vorab zu informieren Freigabeerklärung und DV-Verzeichnis Die Fachliche Leitstelle gibt die Software oder das DV-Verfahren für den Einsatz im Produktionsbetrieb frei. Sie bestätigt, dass diese gemäß den Anforderungen nach Ziffer 5.1. getestet wurden, nach Maßgabe der Testergebnisse ordnungsgemäß arbeiten und die Dokumentation entsprechend Ziffer 8 vollständig vorliegt (Freigabeerklärung, Beispiel-Muster siehe Anlage 2). Die Freigabe ist revisionssicher zu dokumentieren. Aufgrund der Freigabeerklärung kann der Rechenstelle von dem Auftragsberechtigten der Auftrag zum Einsatz der Software oder des DV-Verfahrens in der Produktion erteilt werden Die jeweilige Rechenstelle führt ein Verzeichnis über die auf ihren Rechnern eingesetzten DV-Verfahren (DV-Verzeichnis), das mindestens die Bezeichnung des DV-Verfahrens, die Version, den Hersteller, das Datum der Erstinstallation, das Datum der letzten Versionsänderung, Angaben über das Zusammenwirken mit anderer Software oder DV-Verfahren, über die Zuständigkeiten der Verfahrensbetreuung in der Rechenstelle und über die der Rechenstelle gegenüber Auftragsberechtigten enthält Teilfreigabe Wurde freigegebene Software oder ein freigegebenes DV-Verfahren geändert, sind diese vor dem Einsatz in der Produktion erneut freizugeben. Die erneute Freigabe kann sich auf die geänderten und die von der Änderung beeinflussten Software- bzw. DV-Verfahrensteile beschränken, wenn sichergestellt ist, dass andere Software- bzw. DV-Verfahrensteile nicht beeinflusst oder verändert werden Notfreigabe Muss freigegebene Software oder ein DV-Verfahren unverzüglich geändert werden und ist zeitgerecht keine reguläre Freigabe möglich, kann ausnahmsweise die Programmierende Stelle die Notfreigabe erklären. Die Gründe für die Notfreigabe sind mit den möglichen Gefährdungen für die Fachanwendung sowie die Softwareumgebung abzuwägen und revisionssicher zu dokumentieren. Die Fachliche Leitstelle ist unverzüglich zu informieren. Sie bestätigt die Notfreigabe schnellstmöglich durch eine reguläre Freigabe gemäß Ziffern 5.1. und

7 5.5. Freigabe-Ausnahmen Eine erneute Freigabe kann entfallen, wenn Änderungen durch einen Versionswechsel bei Allgemeiner Software notwendig geworden sind und bei Anwendungssoftware ein Eingriff in die logischen Programmabläufe nicht stattgefunden hat, bei Betriebsanweisungen und Softwarekomponenten die maschinellen Arbeitsergebnisse und deren anschließende Umsetzung nicht beeinflusst bzw. verändert werden und die Rechenstelle vorab schriftlich mitteilt, dass durch den Versionswechsel eine erneute Freigabe nicht erforderlich wird, wenn die vorstehenden Bedingungen erfüllt sind Eine Freigabe ist nicht erforderlich für Software, die als einfaches Hilfsmittel mit den zur Verfügung stehenden Bürokommunikationsprodukten erstellt wurde (z.b. Makros, Datenbank-Anwendungen), sofern sie nicht auf Dauer von mehreren Beschäftigten genutzt wird. 6. Freigabe von Allgemeiner Software 6.1. Allgemeine Software wird von der Rechenstelle, welche die Software auf ihren Rechnern einsetzt, in einem Verzeichnis nachgewiesen (AS Verzeichnis). Dieses enthält mindestens die Bezeichnung der Software, die Version, den Hersteller, das Datum der Erstinstallation, das Datum der letzten Versionsänderung, Angaben über die Zuständigkeiten der Software Betreuung in der Rechenstelle und die Bezeichnung der Rechner, auf denen die Software installiert ist bzw. genutzt wird Allgemeine Software ist vor dem Einsatz im Produktionsbetrieb von der Rechenstelle schriftlich freizugeben Allgemeine Software ist vor der Freigabe von der Rechenstelle ausreichend darauf zu prüfen, ob sie frei von Fehlern ist und in der geplanten Betriebsumgebung lauffähig und kompatibel zu anderer eingesetzter Software und DV-Verfahren ist. Für den Test erforderliche Testfälle sind ggf. von den betroffenen Fachlichen Leitstellen zur Verfügung zu stellen. Bei Allgemeiner Software von Fremdherstellern kann sich die Prüfung auf die Kompatibilität zur geplanten Betriebsumgebung und zu anderer eingesetzter Software und DV-Verfahren beschränken, wenn der Hersteller selbst die Funktionsfähigkeit seines Produktes getestet hat und keine Hinweise auf Funktionsmängel bekannt sind. Sofern Anpassungen notwendig sind, sind die Anpassungen zusammen mit den funktional angrenzenden Softwareteilen in einer fachlich geeigneten Abgrenzung einem ausführlichen Test zu unterziehen. Das Ergebnis dieser Prüfung ist zu dokumentieren Muss Allgemeine Software unverzüglich eingesetzt oder freigegebene geändert werden und ist zeitgerecht kein regulärer Freigabetest gemäß Ziffer

8 möglich, kann die Rechenstelle ausnahmsweise die Software ohne Test freigeben (Notfreigabe). Bei der Entscheidung sind unter Abwägung möglicher Gefährdungen für die Betriebs- und Softwareumgebung die Gründe und die Dringlichkeit des Handlungsbedarfes revisionssicher zu dokumentieren. Die Notfreigabe der Allgemeinen Software ist durch eine reguläre Freigabe gern. Ziffer 6.3. schnellstmöglich zu bestätigen. 7. Allgemeine Produktfreigabe Für Software, DV-Verfahren oder Allgemeine Software, die in mehreren Arbeitsbereichen eingesetzt werden soll, wird die Freigabe von einer hierfür von den IT-Beauftragten festgelegten verantwortlichen Stelle für alle in Frage kommenden Bereiche erteilt (Allgemeine Produktfreigabe). Die Ziffern 5. und 6. gelten entsprechend. Die anwendenden Arbeitsbereiche werden von der freigebenden Stelle verpflichtet, die jeweils freigegebene Produktversion unverzüglich auf den von ihnen betriebenen Rechnern zu installieren und zu betreiben, keine eigenmächtigen Änderungen und Ergänzungen der freigegebenen Produktversion vorzunehmen, die aktuell gültige Produktfreigabeerklärung für Revisionszwecke in den jeweiligen Arbeitsbereichen verfügbar zu halten und unverzüglich die für die Freigabe verantwortliche Stelle von Störungen oder Unregelmäßigkeiten bei der genutzten Produktversion zu unterrichten. 8. Dokumentation 8.1. Anforderungen Die Dokumentation dient der Unterstützung der Verfahrenspflege und -betreuung, der Anwendung und dem Betrieb der Software bzw. des DV Verfahrens. Sie ist den Arbeitsbereichen zur Verfügung zu stellen. Mit Hilfe der Dokumentation soll sich ein fachkundiger Dritter in angemessener Zeit in das Verfahren einarbeiten können. Sie muss für Revisionszwecke geeignet sein. Die Fachliche Leitstelle ist dafür verantwortlich, dass die Dokumentation jederzeit vollständig und inhaltlich auf dem aktuellen Stand zur Verfügung steht. Verfahrens- und Softwareänderungen müssen in der Dokumentation zeitlich und inhaltlich nachvollzogen werden können. Bei Allgemeiner Software ist die Rechenstelle für die Dokumentation der in ihrem Bereich eingesetzten Produkte verantwortlich Umfang und Inhalt Die Dokumentation besteht aus der Verfahrensdokumentation und -beschreibung (Ziffer ), Dokumentation für die Rechenstelle (Ziffer ), 8

9 Benutzerdokumentation (Ziffer ) und der Softwaredokumentation (Ziffer ). Die Dokumentation kann auch in elektronischer Form in der Software oder dem DV-Verfahren hinterlegt sein. Änderungen sind in geeigneter Form deutlich zu machen bzw. innerhalb oder außerhalb des Verfahrens zu protokollieren. Bei der Nutzung von Software, DV-Verfahren und Allgemeiner Software, die im Rahmen der Übernahme oder Überlassung von Dritten eingesetzt werden, können die mitgelieferten Dokumentationen, Handbücher u.ä. genutzt werden, soweit sie den Anforderungen dieser Richtlinie entsprechen Verfahrensdokumentation und -beschreibung ln der von der Fachlichen Leitstelle zu erstellenden Verfahrensdokumentation sind die fachlichen Aufgaben und Inhalte der Software bzw. des DV Verfahrens, die beteiligten Stellen und ihre Funktionen zu erläutern. Darüber hinaus sind die beteiligten Geschäftsprozesse, insbesondere im Hinblick auf Schnittstellen untereinander und zu anderen Verfahren in geeigneter Form darzustellen. Zur Verfahrensdokumentation gehören insbesondere auch das Verzeichnis der Auftragsberechtigten, das Verzeichnis der Freigabeberechtigten, die Unterlagen der durchgeführten Funktions- und Abnahmetests, die Freigabeerklärungen und die Datenträger mit den Quellenprogrammen. ln der Verfahrensdokumentation ist außerdem festzulegen, in welchem Umfang Sicherungskopien von auf Datenträgern gespeicherten Dateien (z.b. Datenbestände, Programme, Prozeduren) zu erstellen und Sicherungskopien auszulagern sind, sowie der Verbleib der Datenträger und ihre Aufbewahrungsfristen zu regeln. Für Software und DV-Verfahren, mit denen personenbezogene Daten verarbeitet werden, ist eine Risikoanalyse gemäß 8 (4) HmbDSG in die Verfahrensdokumentation aufzunehmen. Gleiches gilt für die von den Fachlichen Leitstellen zu erstellenden und fortzuschreibenden Verfahrensbeschreibungen gemäß 9 HmbDSG Verzeichnisse der Auftrags- und Freigabeberechtigten Die Fachliche Leitstelle legt in Verzeichnissen (nach dem Muster der Anlage 1) fest, welche Bediensteten berechtigt sind, Freigabeerklärungen abzugeben und der Rechenstelle Aufträge (insbesondere Aufträge für Produktion, Test mit Originaldaten, für maschinell erstellte Datenträger) zu erteilen. Die Originale der Verzeichnisse mit den Unterschriftsproben der berechtigten Bediensteten sind der Rechenstelle zuzuleiten. Kopien der Verzeichnisse sind in die Verfahrensdokumentation aufzunehmen. 9

10 Die Verzeichnisse sind bei eintretenden Änderungen unverzüglich zu berichtigen. Unabhängig davon sind die Berechtigungen in regelmäßigen Abständen, die zwei Jahre nicht überschreiten sollen, zu überprüfen Datenträger mit Quellenprogrammen Quellenprogramme freigegebener Software und DV-Verfahren sind auf Datenträger zu sichern. Bei Produkten von Fremdherstellern, an denen keine Eigentumsrechte an den Quellenprogrammen erworben wurden, sind Kopien der ausführbaren Dateien auf Datenträger zu sichern. Die Aufbewahrung dieser Datenträger richtet sich nach den Vorschriften gemäß Ziffer Dokumentation für die Rechenstelle Die Dokumentation für die Rechenstelle wird von der Fachlichen Leitstelle in Absprache mit der Rechenstelle und im Zusammenwirken mit der Programmierenden Stelle erstellt. Sie gibt die betrieblichen Anforderungen und Abläufe der Software bzw. des DV-Verfahrens in der jeweiligen Rechenstelle vor. Sie enthält insbesondere die I nstallationsanleitung, die Anleitungen zur Datensicherung und -archivierung, eine Anleitung zum Umgang mit von der Software ausgegebenen Fehlermeldungen und die Angabe von Ansprechpartnern für den FehlerfalL Benutzerdokumentation Die Benutzerdokumentation wird von der Fachlichen Leitstelle erstellt. Sie gibt dem Anwender einen Überblick und enthält alle für den Anwender notwendigen Informationen zur Benutzung der Software bzw. des DV Verfahrens Softwaredokumentation Für jede Software ist von der Programmierenden Stelle eine Dokumentation zu erstellen, die mindestens folgende Informationen enthält: Autor (inkl. Behörde bzw. Anschrift), Datum der Erstellung, Version, vorgenommene Änderungen mit Datum, Autor und Kurzbeschreibung, Datum der Freigabeerklärung, Name des DV-Verfahrens, zu dem die Software gehört, Beschreibung der Softwarefunktionen und der Softwarestruktur sowie der Schnittstellen, verwendete Parameter, Variablen, Datei- und Datensatzbeschreibungen und sonstige zu übertragene Datenbereiche, die an andere Software übergeben bzw. von anderer Software übernommen werden, Verzeichnis der Softwaremodule und deren Abfolge sowie Betriebsanweisungen. 10

11 8.3. Aufbewahrung Allgemeine Regelungen Die Dokumentationen sind gegen Verlust, Beschädigung oder unbefugte Verwendung gesichert aufzubewahren. Entsprechende Regelungen sind von den Fachlichen Leitstellen und bei Allgemeiner Software von den jeweiligen Rechenstellen zu treffen. Die Aufbewahrungsfristen richten sich nach den geltenden Vorschriften der Aufgabe, für welche die Software bzw. das DV-Verfahren entwickelt worden ist. Bestehen keine entsprechenden Vorschriften, legt die Fachliche Leitstelle bzw. die Rechenstelle bei Allgemeiner Software die Aufbewahrungsfristen (mindestens 5 Jahre) revisionssicher fest. Die Aufbewahrungsfristen beginnen mit Ablauf des Jahres, in dem die Software bzw. das DV-Verfahren oder Teile davon letztmalig angewendet worden sind Besondere Regelungen für die Dokumentation von Software und DV Verfahren mit Bezug zum Haushalts-, Kassen- und Rechnungswesen Unterlagen, die der Dokumentation von Software und DV-Verfahren zur Berechnung, Festsetzung, Anordnung oder Zahlbarmachung dienen, sind wie Belege gemäß VV zu 71 LHO aufzubewahren. Unterlagen, die der Dokumentation von Software und DV-Verfahren zur Haushaltsüberwachung, Buchführung oder Rechnungslegung einschließlich der Kassen- oder Haushaltsrechnung dienen, sind wie Sachbücher gemäß VV zu 71 LHO aufzubewahren. 9. Schlussbestimmungen Die Richtlinie in der vorliegenden Fassung tritt am in Kraft und ersetzt die von der Finanzbehörde erlassene bisherige Freigaberichtlinie vom (MittVw Seite 46). Die betroffenen Dienststellen sind gehalten zu überprüfen, ob die im Produktionsbetrieb eingesetzte Software, DV-Verfahren und Allgemeine Software den Anforderungen dieser Richtlinie entsprechen und treffen ggf. die erforderlichen Maßnahmen zur Anpassung an die Vorschriften dieser Richtlinie. 11

12 Anlage 1 Auftragsn um mer:._i. (Fachliche Leitstelle) Seite: I (Datum) Verzeichnis der Auftragsberechtigten I Freigabeberechtigten Verfahren: Ggf. Teilaufgabe: Im Rahmen des oben genannten Verfahrens bestehen folgende Berechtigungen: Lfd. Nr. Name, Vorname -Adresse Unterschrift Dienststelle Berechtigung (kann bei Frei gabeberech ti gten entfallen) (Unterschrift, Name) IT -Handbuch

13 Anlage 2 Behörde/Dienststelle Gz.: Telefon : Telefax: Datum: Freigabeerklärung Software I DV-Verfahren: Software-/DV-Verfahrensteil: Fachliche Leitstelle: Programmierende Stelle: D Es wurden ein Funktionstest und ein Abnahmetest durchgeführt.. D D Es wurde nur ein Funktionstest durchgeführt. Auf den Abnahmetest wurde verzichtet. Der Funktions- und Abnahmetest wurde gemeinsam mit der programmierenden Stelle durchgeführt. Begründung für den Verzicht auf einen eigenständigen Abnahmetest Die Software I das DV-Verfahren I der Softwareteilt das DV-Verfahrensteil arbeitet nach Maßgabe der Testergebnisse ordnungsgemäß. Die Dokumentation liegt vollständig vor. Die Software I das DV-Verfahren entspricht den rechtlichen, fachlichen und organisatorischen Anforderungen. Mit Wirkung vom wird die Software I das DV -Verfahren I der Softwareteil t das DV -Verfahrensteil mit allen dazugehörigen Anwendungsprogrammen, Betriebsanweisungen und Festlegungen von organisatorischen Abläufen für den Produktionsbetrieb freigegeben. (Unterschrift, Name) IT -Handbuch