Revisionssichere Speicherung in der Öffentlichen Verwaltung. Status Quo und neue Entwicklungen

Transkript

1 Revisionssichere Speicherung in der Öffentlichen Verwaltung Status Quo und neue Entwicklungen Jan Wilkens Geschäftsführer IMTB, Köln Microsoft Behördentag, 03./ IMTB Köln Theodor-Heuss-Ring Köln Telefon Telefax Internet

2 Stellenwert der revisionssicheren Speicherung (1/2) Welchen Stellenwert hat die revisionssichere Speicherung von elektronischem Schriftgut in Ihrem Haus? 1 43,4% (46) 28,3% (30) 24,5% (26) 2,8% (3) 0,9% (1) n=106 hoch mittel niedrig keinen keine Angabe 1: Umfrage Revisionssichere Speicherung von Dokumenten in der öfftl. Verwaltung, IMTB & PWC, 2010

3 Stellenwert der revisionssicheren Speicherung (2/2) Werden eingehende & eingescannte Dokumente ausschließlich in der E-Akte aufbewahrt? 2 60,4% (64) 23,6% (25) 16,0% (17) n=106 ja nein keine Angaben 2: Umfrage Revisionssichere Speicherung von Dokumenten in der öfftl. Verwaltung, IMTB & PWC, 2010

4 Rechtliche Grundlagen (1/2) Was ist revisionssichere Speicherung? Begriff ist aus der Privatwirtschaft entlehnt: 239 HGB definiert Kriterien für Revisionssicherheit AO und insb. GoBS geben Anforderungen an revisionssichere DV-Systeme zur Ablage und Langzeitspeicherung von Geschäftsunterlagen vor Technische und org. Anforderungen: Ordnungsmäßigkeit, Vollständigkeit, Schutz vor Veränderung und Verfälschung, Sicherheit des Gesamtverfahrens, Zugriffsschutz etc. Es gibt keine vergleichbaren rechtlichen Vorgaben für die öffentliche Verwaltung!

5 Rechtliche Grundlagen (2/2) Rechtliche Vorgaben für die öffentliche Verwaltung Rechtsstaatsprinzip aus GG (Artikel 19, 20, 28) (Gewaltenteilung, Grundsatz der Gesetzmäßigkeit, Gebot der Rechtssicherheit etc.) Verwaltungsverfahrensgesetz VwVfG Umgang mit elektr. Dokumenten ( 3 a) Elektr. Verwaltungsakt und Elektr. Bekanntgabe ( 37 Abs. 2 bzw. 41 Abs. 2 und 3) Bei Schriftformerfordernissen: elektr. Signatur Keine Regelungen zur Langzeitspeicherung/Ablage Sozialgesetzbuch Grundsätze ordnungsgemäßer Aufbewahrung (SGB IV) 36a Abs. 4 SGB I: Einsatz digitaler Signatur mit dauerhafter Überprüfung (Sozialversicherungsträger) Archivgesetze: I.d.R keine Hinweise auf elektr. Speicherung

6 Konsequenz In der öffentlichen Verwaltung klafft eine Regelungslücke hinsichtlich der elektr. Langzeitspeicherung und dem ersetzenden Scannen Der Einsatz elektronischer Kommunikationsmittel und elektronischer Akten wird gleichzeitig weiter propagiert Konsequenzen Unsicherheit in den Behörden Redundante Papierablage Zögern beim Aufbau neuer elektronischer Verfahren

7 Regelungsbedarf? Befürworter: Unsicherheit in den Behörden ist schnellstmöglich zu beseitigen Ist die Regelungslücke zu schließen? Gegner: Verweis auf Stand der Technik und individuelle Anforderungen

8 Schließt das E-Government-Gesetz die Lücke? Elektronischer Zugang Elektronische Bezahlmöglichkeiten Elektronische Aktenführung Vernichtung von Papieroriginalen/ Ersetzendes Scannen Referentenentwurf des E-Government-Gesetzes Prozessoptimierung und Dokumentation Elektronische Formulare Elektronische Mitteilung und Verkündung

9 E-Government-Gesetz Inhalte (1/2) Elektronische Aktenführung Bundesbehörden sollen Akten elektronisch führen Beachtung der Grundsätze ordnungsgemäßer Aktenführung Bei Qualifizierten Elektronischen Signaturen ist zwingend die TR (= TR ESOR) des BSI einzuhalten (Übersignieren)

10 E-Government-Gesetz Inhalte (2/2) Ersetzendes Scannen Paradigmenwechsel Nicht Papier, sondern Elektronik soll genutzt werden Bildliche und inhaltliche Übereinstimmung Verfügbarkeit und Lesbarkeit während der Aufbewahrungsfrist Mind. 3 Wochen Aufbewahrung des Papiers nach Digitalisierung Keine Vernichtung, falls Rechtsvorschrift entgegen steht falls Unterlagen nur zwischenzeitlich in Bearbeitung sind Verpflichtung zur Einhaltung technisch und organisatorischer Anforderungen nach dem Stand der Technik Verweis auf TR RESISCAN des BSI

11 Ansatz TR RESISCAN Schutzbedarfsanalyse Schutzziele, Kategorien Fachlich Datenobjekte IT-Systeme Kommunikationsverbindungen Sicherheitsmaßnahmen Auswahl von geeigneten Sicherheitsmaßnahmen Bausteinkonzept Basismodule mit Maßnahmen Organisatorisch Personell Technisch Prozessbezogen Aufbaumodule mit Maßnahmen für hohe Sicherheitsanforderungen u.a. kryptografisch

12 Fazit Zur Umsetzung der Langzeitspeicherung elektronischer Akten gibt der Entwurf des E-Government-Gesetzes keine verbindliche Regelungen vor. Beim ersetzenden Scannen wird auf die TR RESISCAN verwiesen, die abhängig von den Sicherheitsanforderungen sehr weitgehende technische Anforderungen stellt. Die Komplexität der Themen wird für den konkreten Umgang in den Behörden nicht auf ein einfaches Niveau reduziert.

13 Alternativer Lösungsansatz zur Langzeitspeicherung Privatwirtschaft Regelungen weitgehend vorhanden Handelsgesetzbuch (HGB) Abgabenordnung ZPO GoBS BDSG aber Es gibt keine rechtlich fixierten Prüfkriterien für eine GoBS-Zertifizierung daher Anforderungen Revisionssicherheit: Ordnungsmäßigkeit Vollständigkeit Sicherheit des Gesamtverfahrens Schutz vor Veränderung & Verfälschung Sicherung vor Verlust Zugriffsschutz (siehe auch BDGS) Einhaltung der Aufbewahrungsfristen Dokumentation des Verfahrens Nachvollziehbarkeit Prüfbarkeit Fachausschuss für IT beim Institut der WPs: IDW RS FAIT 3; Kriterienkatalog für die Prüfung eines Archivsystems oder Arbeitskreis des VOI: PK-DML als offener Kriterienkatalog (1999) Auch das Eisenbahn-Bundesamt geht diesen Weg!

14 Verfahrensdokumentation Grundlage: Prüfkriterien für Dokumentenmanagementlösungen (PK-DML) Ziel: Schaffung möglichst hoher Rechtssicherheit Rechtssicherheit Audit, Zertifizierung Externes Gutachten / Abnahme Unternehmensinterne Abnahme Revisionssichere Lösung mit Verfahrensdokumentation Zertifizierung für Komponenten Herstellererklärung Keine oder rein technische Dokumentation

15 Inhalte der Verfahrensdokumentation Internes Kontrollsystem Beschreibung Einsatzgebiet Sachlogische Systemlösung Technische Systemlösung Outsourcing Themenfelder IT-Sicherheit Test Technischer Betrieb Mitarbeiterqualifikation Prozesse Die Verfahrensdokumentation beschreibt den gesamten organisatorischen und technischen Prozess des Verfahrens

16 Zusammenfassung Sowohl das Ersetzende Scannen, als auch die Elektronische Langezeitspeicherung bleiben auch zukünftig komplexe Bereiche, die in den Behörden individuell gelöst werden müssen. Es ist wünschenswert, Anforderungen an die Langzeitspeicherung für die ÖV verbindlich zu definieren. Auch alternative Lösungsansätze in der Langzeitspeicherung bieten nicht abschließende Rechtssicherheit.

17 Autor Diese Präsentation wurde erstellt von: Jan Wilkens Geschäftsführer IMTB Theodor-Heuss-Ring Köln Mobil: