Veröffentlichung BayMBl. 2021 Nr. 270 vom 14.04.2021

2003.4-I

Richtlinie zur Förderung der Informationssicherheit durch Implementierung eines Informationssicherheits‑Managementsystems bei kommunalen Gebietskörperschaften
(ISMS-Förderrichtlinie – ISMSR)

Bekanntmachung des Bayerischen Staatsministeriums des Innern, für Sport und Integration

vom 30. März 2021, Az. E5-1681-7-10

Vorbemerkung

¹Um ein nachhaltiges und hohes IT‑Sicherheitsniveau in der gesamten bayerischen Verwaltung zu erreichen, fördert der Freistaat Bayern im Rahmen der Initiative Cybersicherheit nach Maßgabe dieser Förderrichtlinie und im Rahmen der allgemeinen haushaltsrechtlichen Bestimmungen (insbesondere der Art. 23, 44 der Bayerischen Haushaltsordnung und der dazu erlassenen Verwaltungsvorschriften) die Implementierung eines Informationssicherheits‑Managementsystems (ISMS) bei den kommunalen Gebietskörperschaften. ²Das ISMS soll dazu beitragen, eine Schutzstrategie zu entwickeln und entsprechende Maßnahmen zur Sicherung der Verfügbarkeit, der Vertraulichkeit und der Integrität von IT‑Systemen und Daten umzusetzen. ³Die Förderung erfolgt ohne Rechtsanspruch im Rahmen der verfügbaren Haushaltsmittel.

1.

Zweck der Zuwendung

1.1Zweck der Förderung

¹Der IT‑Planungsrat hat den kommunalen Behörden, sofern sie ebenenübergreifende IT‑Verfahren einsetzen, empfohlen, die Anforderungen der „Leitlinie für die Informationssicherheit in der öffentlichen Verwaltung“ des IT‑Planungsrates zu erfüllen. ²Gemäß Art. 11 Abs. 1 Satz 2 des Bayerischen E‑Government‑Gesetzes müssen Behörden zur Sicherstellung der Sicherheit der informationstechnischen Systeme angemessene technische und organisatorische Maßnahmen im Sinne von Art. 32 der Verordnung (EU) 2016/679 und Art. 32 des Bayerischen Datenschutzgesetzes treffen und die hierzu erforderlichen Informationssicherheitskonzepte erstellen.

1.2Ziel der Förderung

Diese Förderrichtlinie dient dem Ziel, vor allem kleine und mittelgroße kommunale Gebietskörperschaften bei der Implementierung eines modernen, aber mit tragbarem Aufwand umsetzbaren Informationssicherheits‑Managementsystems (ISMS) finanziell zu fördern, um so rasch und nachhaltig ein hohes IT‑Sicherheitsniveau in der gesamten bayerischen Verwaltung zu erreichen.

2.

Fördergegenstand

¹Fördergegenstand ist die Einführung eines ISMS, das den vom IT‑Planungsrat beschlossenen Zielsetzungen (IT‑Grundschutz) entspricht, die Umsetzung der nachfolgend bestimmten Vor- und Zwischenstufen eines solchen ISMS sowie deren Zertifizierung oder abschließende Prüfung der vollständigen Implementierung durch einen zugelassenen Auditor. ²Im Einzelnen sind dies:

a)

ISIS12 sowie Schulung von ISB: Einführung von ISIS12, dessen Zertifizierung oder abschließende Prüfung der vollständigen Implementierung durch einen zugelassenen Auditor sowie die Schulung von Mitarbeitern zum Informationssicherheitsbeauftragten (ISB) und deren Zertifizierung (Vorstufe).

b)

Basisabsicherung (Zwischenstufe): Implementierung der im IT‑Grundschutz‑Profil für Kommunen.¹ von den kommunalen Spitzenverbänden in Abstimmung mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) definierten Mindestsicherheitsmaßnahmen sowie deren Zertifizierung oder abschließende Prüfung der vollständigen Implementierung durch einen zugelassenen Auditor.

c)

Kernabsicherung (Zwischenstufe): Absicherung von Fachprozessen und Fachverfahren der Kommunen oder von den Kommunen obliegenden Aufgaben nach IT‑Grundschutz sowie deren Zertifizierung oder abschließende Prüfung der Implementierung durch einen zugelassenen Auditor.

d)

Standardabsicherung: Einführung von IT‑Grundschutz des BSI oder ISO/IEC 2700X sowie deren Zertifizierung oder abschließende Prüfung der vollständigen Implementierung durch einen zugelassenen Auditor.

3.

Zuwendungsempfänger

Förderberechtigt sind alle bayerischen kommunalen Gebietskörperschaften und deren Zusammenschlüsse sowie die von ihnen in öffentlich‑rechtlicher Form geführten Unternehmen und Einrichtungen mit Sitz in Bayern.

4.

Zuwendungsvoraussetzungen

Voraussetzung für die Gewährung einer Zuwendung ist die vollständige Implementierung eines ISMS, das den Zielsetzungen des IT‑Planungsrates entspricht oder die Umsetzung einer Vor- oder Zwischenstufe eines solchen ISMS, die mit einem Testat oder Zertifikat nachgewiesen ist.

5.

Art und Umfang der Zuwendung

5.1Art der Förderung

Die Zuwendung erfolgt als Anteilfinanzierung im Rahmen einer Projektförderung als nicht rückzahlbare Zuweisung beziehungsweise Zuschuss.

5.2Zuwendungsfähige Ausgaben

5.2.1

¹Zuwendungsfähig sind die innerhalb des Bewilligungszeitraums anfallenden Ausgaben für

a)

die Beratung und Begleitung bei der Implementierung durch fachkundige IT‑Dienstleister,

b)

Schulungen für Mitarbeiter durch zertifizierte Anbieter,

c)

die Erst‑Zertifizierung eines ISMS oder der Umsetzung einer Vorstufe (Nr. 2 Satz 2 Buchst. a am Ende) und Zwischenstufe (Nr. 2 Satz 2 Buchst. b, c) eines solchen ISMS beziehungsweise die abschließende Prüfung der vollständigen Implementierung durch einen zugelassenen Auditor.

²Die Fachkunde wird regelmäßig durch anerkannte Zertifikate einer unabhängigen Stelle nachgewiesen.

5.2.2

¹Die Förderung setzt mindestens zuwendungsfähige Ausgaben in Höhe von 2 500 Euro (brutto) voraus (Bagatellgrenze). ²Abweichend von Satz 1 beträgt die Bagatellgrenze bei der Umsetzung der Vorstufe ISIS12 nach Nr. 2 Satz 2 Buchst. a am Ende 500 Euro (brutto).

5.2.3

Die Förderung von Leistungen ist auf maximal 1 200 Euro (brutto) je Beratertag beschränkt.

5.2.4

Die Förderung von Leistungen nach Nr. 5.2.1 Satz 1 Buchst. c ist auf maximal 6 000 Euro (brutto) beschränkt.

5.3Höhe der Förderung

5.3.1

¹Der Zuschuss beträgt

a)

bis zu 50 % der zuwendungsfähigen Ausgaben gemäß Nr. 5.2.1 für die Implementierung von ISIS12 nach Nr. 2 Satz 2 Buchst. a, höchstens 15 000 Euro,

b)

bis zu 50 % der zuwendungsfähigen Ausgaben gemäß Nr. 5.2.1 für die Vorstufe ISIS12 nach Nr. 2 Satz 2 Buchst. a am Ende, höchstens 6 000 Euro,

c)

bis zu 60 % der zuwendungsfähigen Ausgaben gemäß Nr. 5.2.1 für die Basisabsicherung nach Nr. 2 Satz 2 Buchst. b, höchstens 20 000 Euro,

d)

bis zu 60 % der zuwendungsfähigen Ausgaben gemäß Nr. 5.2.1 für die Kernabsicherung nach Nr. 2 Satz 2 Buchst. c, höchstens 20 000 Euro,

e)

bis zu 75 % der zuwendungsfähigen Ausgaben gemäß Nr. 5.2.1 für die Standardabsicherung nach Nr. 2 Satz 2 Buchst. d, höchstens 60 000 Euro.

²Bei Zusammenarbeit von Förderberechtigten ohne Begründung einer eigenen Rechtspersönlichkeit (zum Beispiel Zweckvereinbarung) gilt der Höchstbetrag nach Satz 1 je beteiligten Förderberechtigten. ³Für kommunale Gebietskörperschaften, die über ein kommunales Behördennetz an das Bayerische Behördennetz angebunden sind oder ein kommunales Behördennetz für kreisangehörige Gemeinden betreiben, erhöht sich der Zuschuss gemäß Satz 1 Buchst. a bis e um zehn Prozentpunkte. ⁴Für kommunale Gebietskörperschaften, die bereits das bayerische Siegel „Kommunale IT‑Sicherheit“ erworben haben, erhöht sich der Zuschuss gemäß Satz 1 Buchst. a bis e ebenfalls um zehn Prozentpunkte. ⁵Die Erhöhung der Zuschüsse wird kumulativ gewährt. ⁶In Summe darf der Zuschuss höchstens 80 % der zuwendungsfähigen Ausgaben betragen.

5.3.2

¹Die Förderung von Leistungen nach Nr. 5.2.1 kann von Förderberechtigten für jeden der in Nr. 2 Satz 2 Buchst. a bis e genannten Fördergegenstände beantragt werden. ²Die Förderung wird je Förderberechtigten für jeden Fördergegenstand nach Nr. 2 Satz 2 Buchst. a bis e nur einmal gewährt. ³Die Umsetzung unterschiedlicher Fachverfahren im Rahmen der Kernabsicherung nach Nr. 2 Satz 2 Buchst. c stellt keine verbotene Doppelförderung im Sinne des Satzes 2 dar. ⁴Wurde von einem Förderberechtigten bereits eine Förderung für einen der in Nr. 2 Satz 2 Buchst. a bis d genannten Fördergegenstände in Anspruch genommen, ist der bereits gewährte Förderbetrag auf den maximal zu gewährenden Zuschuss im Sinne der Nr. 5.3.1 Satz 1 Buchst. a bis e anzurechnen.

5.4Mehrfachförderung

Eine Förderung ist nicht zulässig, wenn das Vorhaben im Rahmen anderer öffentlicher Programme gefördert wird.

6.

Förderverfahren

6.1Beginn

6.1.1

¹Zuwendungen dürfen nur für solche Vorhaben bewilligt werden, die noch nicht begonnen worden sind. ²Beginn ist grundsätzlich der Abschluss eines der Ausführung zuzurechnenden Leistungsvertrags.

6.1.2

Im Rahmen von Veröffentlichungen und in öffentlicher Kommunikation im Zusammenhang mit dem Förderprogramm sowie in direkter Kommunikation mit Antragstellern ist ausdrücklich darauf hinzuweisen, dass Zuwendungen aus dem Programm freiwillige Leistungen darstellen und nur insoweit bewilligt werden können, als dafür Haushaltsmittel zur Verfügung stehen, und deshalb ein Zuwendungsantrag unter Umständen wegen Überzeichnung des Förderprogramms nicht bewilligt werden kann.

6.2Antrag

¹Anträge auf Gewährung einer Förderung sind schriftlich oder elektronisch unter den Voraussetzungen des Art. 3a Abs. 2 BayVwVfG an die Regierung von Oberfranken als Bewilligungsstelle zu richten. ²Hierzu ist das von ihr unter der Internetpräsenz elektronisch bereitgestellte Antragsformular zu verwenden. ³Die Antragsunterlagen können auf elektronischem Weg direkt an die Bewilligungsstelle (Regierung von Oberfranken, Sachgebiet 22, isms-kommune@reg-ofr.bayern.de) übermittelt werden. ⁴Sofern der Förderantrag eigenhändig unterzeichnet wird und kein Schriftformäquivalent nach Art. 3a Abs. 2 BayVwVfG genutzt wird, ist der unterzeichnete Förderantrag innerhalb von vier Wochen nach der elektronischen Antragsstellung postalisch bei der Bewilligungsstelle einzureichen. ⁵Unvollständig ausgefüllte Anträge sowie Anträge, denen die erforderlichen Unterlagen nicht vollzählig beigelegt sind, werden von der Regierung in der Regel abgelehnt, sofern der Antragsteller sie trotz Aufforderung nicht innerhalb einer angemessenen Frist nach Antragseingang bei der Regierung vervollständigt. ⁶Über eingehende Förderanträge wird das Landesamt für Sicherheit in der Informationstechnik durch die Bewilligungsstelle in Kenntnis gesetzt.

6.3Bewilligungsstelle

¹Die Regierung von Oberfranken ist Bewilligungsstelle. ²Die Bewilligungsstelle prüft die Förderanträge nach Maßgabe dieser Förderrichtlinie und entscheidet über den Antrag durch Bescheid. ³Die Allgemeinen Nebenbestimmungen für Zuwendungen zur Projektförderung an kommunale Körperschaften (ANBest‑K) sind zum Bestandteil des Bewilligungsbescheids zu machen.

6.4Bewilligungszeitraum

¹Die geförderte Maßnahme muss binnen 24 Monaten nach Erlass des Förderbescheids beendet sein. ²In begründeten Ausnahmefällen kann die Bewilligungsstelle auf Antrag des Zuwendungsempfängers Ausnahmen von den Fristen zulassen.

6.5Auszahlung der Zuwendung

Die Zuwendung kann mit Vorlage eines einfachen Verwendungsnachweises angefordert werden.

6.6Nachweis der Verwendung

¹Die zweckentsprechende Verwendung der Zuwendung ist durch Vorlage eines einfachen Verwendungsnachweises zu belegen. ²Dabei ist der Nachweis der vollständigen Implementierung oder der vollständigen Umsetzung einer Vor- oder Zwischenstufe zu führen. ³Der Nachweis kann durch Vorlage eines entsprechenden Testats oder Zertifikats einer unabhängigen Stelle oder einer entsprechenden Bescheinigung durch einen für das jeweilige Vorhaben zugelassenen Auditor gegenüber der Bewilligungsstelle erfolgen. ⁴Der Bayerische Oberste Rechnungshof ist gemäß Art. 91 BayHO berechtigt, beim Zuwendungsempfänger zu prüfen.

7.

Inkrafttreten, Außerkrafttreten

Diese Bekanntmachung tritt am 15. April 2021 in Kraft und mit Ablauf des 31. Dezember 2022 außer Kraft.

Karl Michael Scheufele

Ministerialdirektor