text: 26 - Informatikgesetz   Nr. 26   Informatikgesetz  vom 7. März 2005 (Stand 1. September 2021)  Der Grosse Rat des Kantons Luzern,  nach Einsicht in die Botschaft des Regierungsrates vom 27. Januar 20041,  beschliesst:  1 Allgemeine Bestimmungen  §  1 Zweck 1 Dieses Gesetz legt die Organisation der Informatik fest und regelt den Einsatz der In- formatikmittel unter Einbezug des Datenschutzes.  §  2 Geltungsbereich 1 Das Gesetz gilt für die kantonale Verwaltung (einschliesslich Spitäler und kantonaler  Schulen) und für die Gerichte. Ausgenommen sind die Ausgleichskasse Luzern, die IV- Stelle Luzern, die Arbeitslosenkasse, die Gebäudeversicherung, die Luzerner Pensions- kasse, die im Rahmen eines Konkordats geführten Hochschulen und Fachhochschulen,  die Universität Luzern sowie die Pädagogische Hochschule Luzern. * 2 Für die in Absatz 1 ausgenommenen Stellen und für andere vom Regierungsrat durch  Verordnung bezeichnete Stellen gelten die Teile 1, 2 und 6. Der Teil 5 ist für sie an- wendbar, soweit sie Informatikmittel des Kantons Luzern benutzen. 3 Für die Gemeinden gelten die Teile 1, 2 und 6. 4 Der Regierungsrat kann bestimmte Anlagen vom Geltungsbereich dieses Gesetzes aus- nehmen.  1 GR 2005 22 * Siehe Tabellen mit Änderungsinformationen am Schluss des Erlasses.  K 2005 563 | G 2005 87      2 Nr. 26  §  3 Begriffe 1 Die Begriffe «Personendaten», «besonders schützenswerte Personendaten», «betroffe- ne Person», «Bearbeiten von Personendaten», «Profiling», «verantwortliches Organ» so- wie «Organ» richten sich nach dem Kantonalen Gesetz über den Schutz von Personen- daten (Kantonales Datenschutzgesetz) vom 2. Juli 19902. Sie umfassen in diesem Gesetz  in der Regel auch Angaben über bestimmte oder bestimmbare juristische Personen oder  Personengesellschaften des Handelsrechts. * 2 Der Begriff Informatik umfasst die Steuerung, Planung und Einführung sowie den  Betrieb und Unterhalt von Prozessen und Techniken, welche der maschinellen oder ma- schinell unterstützten Bearbeitung von Informationen aller Art dienen. 3 Informatikmittel sind Geräte, Einrichtungen und Dienste, wie insbesondere Computer- systeme, Computerprogramme, Kommunikationsdienste, die der elektronischen Erfas- sung, Verarbeitung, Speicherung, Übermittlung, Auswertung, Archivierung oder Ver- nichtung von Informationen dienen. 4 Zentrale Datenbanken bestehen aus zusammengeführten Datenbeständen verschiedener  Organe. Sie können sich an einem beliebigen Ort befinden. Datenwarenhäuser und Da- tendrehscheiben sind zentrale Datenbanken. * 5 Datenwarenhäuser (data warehouses) dienen der dauerhaften Speicherung von Daten. 6 In Datendrehscheiben stehen Daten für den Datenaustausch vorübergehend zur Verfü- gung. 7 Abrufverfahren sind automatisierte Verfahren, welche es Dritten ermöglichen, Perso- nendaten ohne Intervention des bekanntgebenden Organs zu bearbeiten. 8 Eine Auslagerung ist das Zurückgreifen eines Organs auf Informatikmittel Dritter zur  Erfüllung seiner Aufgaben. Organe innerhalb eines Gemeinwesens gelten nicht als Drit- te.  §  4 Grundsätze 1 Die Informatik unterstützt die Wirtschaftlichkeit und die Wirksamkeit von Geschäfts-  und von Lernprozessen. 2 Der Informatikeinsatz muss wirtschaftlich sein, der Erfüllung der öffentlichen Aufga- ben dienen und den Bedürfnissen der Benutzerinnen und Benutzer entsprechen. 3 Techniken, die geeignet sind, aus Daten oder Personendaten besonders schützenswerte  Personendaten herzustellen oder damit ein Profiling vorzunehmen, dürfen nur dann ein- gesetzt werden, wenn die Voraussetzungen gemäss § 5 Absatz 2 des Kantonalen Daten- schutzgesetzes erfüllt sind. *  2 SRL Nr. 38. Auf dieses Gesetz wird im Folgenden nicht mehr hingewiesen.  https://srl.lu.ch/data/38/de   Nr. 26 3  2 Zentrale Datenbanken und Abrufverfahren  §  5 Zulässigkeit zentraler Datenbanken 1 Die Errichtung und der Betrieb zentraler Datenbanken sind zulässig, sofern die Vor- schriften über den Datenschutz und die Bestimmungen dieses Gesetzes eingehalten wer- den. 2 Die Errichtung und der Betrieb zentraler Datenbanken setzen eine zwischen den ange- schlossenen Organen und dem Betreiber abgeschlossene und durch die zuständigen Be- hörden genehmigte Leistungsvereinbarung voraus. Diese regelt mindestens folgende  Punkte: a. Struktur der zentralen Datenbank, b. Inhalt der Datenbank insbesondere in Bezug auf Personendaten, c. verwendete Techniken, einschliesslich Entwicklung und Wartung, d. Zugriffsverwaltung, e. Sicherheits- und Datenlöschkonzept, f. Standort der Hardware, g. Kontrollrechte und -pflichten, h. Verantwortlichkeiten, i. Publikation gemäss § 10. 3 Der Regierungsrat kann, nachdem er die Stellungnahme des oder der Beauftragten für  den Datenschutz eingeholt hat, vor Inkrafttreten eines formellen Gesetzes eine zentrale  Datenbank mit besonders schützenswerten Personendaten oder Resultaten von Profilings  während einer einmaligen befristeten Zeitspanne von höchstens fünf Jahren bewilligen,  wenn * a. die Aufgaben, die diese Bearbeitung erforderlich machen, in einem formellen Ge-  setz geregelt sind, b. ausreichende Massnahmen zur Verhinderung von Persönlichkeitsverletzungen ge-  troffen werden, c. die praktische Umsetzung einer Datenbearbeitung vor Inkrafttreten eines formel-  len Gesetzes zwingend eine Testphase erfordert und d. die Zustimmung des Kantonsgerichtes3 vorliegt für den Fall, dass an der zentralen   Datenbank ausschliesslich Organe des kantonalen Gerichtswesens beteiligt sind. 4 Wird eine zentrale Datenbank gestützt auf eine Bewilligung gemäss Absatz 3 betrie- ben, orientieren die an der zentralen Datenbank angeschlossenen Organe den Regie- rungsrat jährlich über den Stand der Projektarbeiten und über die Notwendigkeit der  Weiterführung des Betriebs.  3 Gemäss Gesetz über die Schaffung des Kantonsgerichtes vom 14. Mai 2012, in Kraft seit dem  1. Juni 2013 (G 2012 189), wurden in den §§ 5 und 17 die Bezeichnungen «zuständiges oberstes  Gericht» und «oberste Gerichte» durch «Kantonsgericht» ersetzt.    4 Nr. 26  §  6 Betreiber 1 Der Betreiber einer zentralen Datenbank ist für den technischen Betrieb und die techni- sche Sicherheit zuständig und verantwortlich. 2 Betreiber kann ein an der zentralen Datenbank beteiligtes Organ, ein Organ der Infor- matik gemäss § 17 Absatz 2 oder, unter Vorbehalt der Bestimmungen über die Auslage- rung, ein Dritter sein. 3 Dem Betreiber stehen die für die Erfüllung seiner Aufgaben erforderlichen Zugriffs-  und Bearbeitungsrechte auf die gespeicherten Personendaten zu. Die Systemadministra- tion und die Zugriffsverwaltung dürfen nicht derselben Person übertragen werden. 4 Der Betreiber und jede von ihm mit Aufgaben des Betriebs betraute Person ist über die  von ihm wahrgenommenen Personendaten zur Verschwiegenheit verpflichtet. 5 § 6 Absatz 3 des Kantonalen Datenschutzgesetzes ist auf zentrale Datenbanken nicht  anwendbar. *  §  7 Zugriffsverwaltung und Löschung der Personendaten 1 Der Umfang der Zugriffs- und Bearbeitungsberechtigung von Organen auf Personen- daten einer zentralen Datenbank bestimmt sich nach Massgabe des Kantonalen Daten- schutzgesetzes und ist technisch und organisatorisch auf geeignete Weise sicherzustel- len. § 6 Absatz 3 bleibt vorbehalten. * 2 Werden die in einem Datenwarenhaus gespeicherten Personendaten von keinem betei- ligten Organ mehr benötigt, sind sie dem zuständigen Archiv zur Übernahme anzubie- ten. Werden sie vom Archiv als nicht archivwürdig eingestuft, sind sie umgehend zu  löschen oder zu vernichten. *  §  8 Erhebung von Personendaten 1 Personendaten, welche in einem Datenwarenhaus gespeichert werden sollen, können  für mehrere Organe gemeinsam erhoben werden. 2 Werden Personendaten, welche in einem Datenwarenhaus gespeichert werden sollen,  für mehrere Organe gemeinsam erhoben, so ist die betroffene Person anlässlich der Er- hebung auch auf die Speicherung ihrer Personendaten im Datenwarenhaus und auf die  daran beteiligten Organe hinzuweisen.  §  9 Datenschutzfreundliche Technologien 1 Bei der Beschaffung von Informatikmitteln für zentrale Datenbanken ist die Daten- schutzfreundlichkeit der Technologien angemessen zu berücksichtigen. 2 Bevor Informatikmittel für zentrale Datenbanken beschafft werden, sind die zuständi- gen Aufsichtsstellen für den Datenschutz anzuhören. Sie können innert angemessener  Frist eine Stellungnahme abgeben.    Nr. 26 5  §  10 Publikation * 1 Die Errichtung von Datenwarenhäusern ist vom Betreiber vor der Betriebsaufnahme im  Kantonsblatt zu publizieren. In der Publikation sind für jedes Datenwarenhaus die daran  beteiligten Organe und die entsprechenden Datenbestände sowie der Betreiber aufzufüh- ren. Ferner hat die Publikation für jeden Datenbestand Auskunft zu geben über die  Rechtsgrundlage, den Zweck, die Mittel und Verfahren des Bearbeitens, die Art und  Herkunft der Personendaten und deren regelmässige Empfänger sowie über das Vorhan- densein und den Aufbewahrungsort von Kopien. * 2 In der Publikation sind ferner die Kontrollrechte jeder Person sowie die zuständigen  Aufsichtsstellen für den Datenschutz gemäss diesem Gesetz und dem Kantonalen Daten- schutzgesetz anzugeben. * 3 Die Angaben gemäss Absatz 1 sind in das Verzeichnis der Datenbearbeitungstätigkei- ten aufzunehmen.  *  §  11 Kontrollrechte der betroffenen Person 1 Jede Person kann bei der zuständigen Aufsichtsstelle für den Datenschutz Auskunft  verlangen a. * über den Inhalt des Verzeichnisses der Datenbearbeitungstätigkeiten, b. ob über sie in einem Datenwarenhaus Personendaten gespeichert sind; sie hat sich   dabei über ihre Identität auszuweisen. 2 Die zuständige Aufsichtsstelle für den Datenschutz und der oder die zuständige Infor- matikverantwortliche prüfen gemeinsam, ob über die betroffene Person im Datenwaren- haus Personendaten gespeichert sind und welchen Organen dafür Zugriffs- oder Bearbei- tungsrechte zustehen. Der zuständigen Aufsichtsstelle für den Datenschutz und dem  oder der Informatikverantwortlichen stehen die dazu erforderlichen Zutrittsrechte zu den  Räumen und Anlagen des Betreibers sowie die erforderlichen Zugriffs- und Bearbei- tungsrechte auf im Datenwarenhaus gespeicherte Personendaten zu. Der Betreiber hat  alle für die Prüfung notwendige Unterstützung zu leisten. 3 Die zuständige Aufsichtsstelle für den Datenschutz gibt der betroffenen Person Aus- kunft darüber, welche am Datenwarenhaus beteiligten Organe berechtigt sind, auf ihre  Personendaten zuzugreifen oder sie zu bearbeiten. Die zuständige Aufsichtsstelle für den  Datenschutz darf diese Auskunft aus überwiegenden öffentlichen Interessen oder über- wiegenden privaten Interessen Dritter oder der betroffenen Person einschränken, mit  Auflagen versehen oder verweigern. 4 Das Verfahren betreffend Auskunft über die über eine betroffene Person vorhandenen  Personendaten sowie betreffend Einsicht, Berichtigung und andere Ansprüche richtet  sich nach dem Kantonalen Datenschutzgesetz. Auf Begehren der betroffenen Person  leitet die zuständige Aufsichtsstelle für den Datenschutz bei den Organen, welche be- rechtigt sind, auf ihre Personendaten zuzugreifen oder sie zu bearbeiten, das Verfahren  ein. *    6 Nr. 26  5 Die Aufsichtsstellen für den Datenschutz und die Informatikverantwortlichen sind über  die von ihnen wahrgenommenen Personendaten zur Verschwiegenheit verpflichtet.  §  12 Abrufverfahren 1 Teil 2 dieses Gesetzes ist auf die Errichtung und den Betrieb von Abrufverfahren sinn- gemäss anwendbar. Vorbehalten bleiben die Vorschriften über Publikation und Register.  3 Auslagerung  §  13 Zulässigkeit 1 Die Auslagerung von Informatikdienstleistungen ist zulässig, sofern die Vorschriften  über den Datenschutz sowie die Bestimmungen dieses Gesetzes eingehalten werden. Die  finanzrechtlichen Vorschriften bleiben vorbehalten. 2 Die Auslagerung setzt eine schriftliche Vereinbarung voraus, die mindestens folgende  Punkte regelt: a. Inhalt der Dienstleistung, b. Wahrung des Amtsgeheimnisses sowie besonderer Geheimhaltungspflichten, c. Verantwortlichkeiten, d. verwendete Techniken, einschliesslich Entwicklung und Wartung, e. Zugriffs- und Zutrittsrechte, f. Sicherheits- und Datenlöschkonzept, g. Standorte der Hardware und der Datenbearbeitung, h. Kontrollrechte, i. Beizug von Dritten, j. Archivierung, k. Rückführung und Löschung der Daten im Fall der Vertragsauflösung. 3 Das auslagernde Organ stellt durch organisatorische oder technische Massnahmen so- wie vertraglich sicher, dass die staatliche Aufgabenerfüllung auch dann ohne wesentli- che Beeinträchtigung gewährleistet ist, wenn der Auftragnehmer Abmachungen nicht  einhält oder die Geschäftstätigkeit einstellt.  §  14 Genehmigungs- und Meldepflicht 1 Die Auslagerung von Informatikdienstleistungen von übergeordnetem oder strategi- schem Interesse bedarf der Genehmigung des Regierungsrates. 2 Die übrigen Auslagerungsvorhaben sind vorgängig der zuständigen Behörde zu mel- den.    Nr. 26 7  §  15 Pflichten des Auftragnehmers 1 Der Auftragnehmer, einschliesslich dessen Mitarbeitende und Hilfspersonen, muss die- jenigen Amts-, Berufs- und besonderen Geheimhaltungspflichten übernehmen sowie die  Bestimmungen über den Datenschutz und die Informatiksicherheit einhalten, an welche  das auslagernde Organ gebunden ist. 2 Er hat dem auslagernden Organ, der zuständigen Aufsichtsstelle für den Datenschutz  sowie der Finanzkontrolle Zutritt zu den Räumen und Anlagen sowie die erforderlichen  Zugriffsrechte auf die entsprechenden Daten zu gewähren und sie angemessen zu unter- stützen. *  §  16 Kontrollrechte der betroffenen Person 1 Als Inhaber der Datensammlung gilt das verantwortliche Organ. * 2 Werden beim Auftragnehmer Kontrollrechte gemäss Datenschutzrecht geltend ge- macht, hat dieser die betroffene Person an das auslagernde Organ zu verweisen und eine  materielle Bearbeitung der Begehren zu unterlassen.  4 Informatikorganisation  §  17 Organisationsstruktur 1 Die Informatikorganisation des Kantons Luzern besteht aus der Konzerninformatik und  der Departementsinformatik. 2 Der Regierungsrat bezeichnet die Organe der Informatik und bestimmt deren grund- sätzliche Aufgaben, Funktionen und Zuständigkeiten. 3 Die Departementsinformatik ist unter Berücksichtigung der strategischen Vorgabe der  Konzerninformatik Sache der Departemente, der Staatskanzlei sowie des Kantonsgerich- tes.  5 Informatiksicherheit  §  18 Zuständigkeit 1 Die Informatikmittel sind durch das verantwortliche Organ beziehungsweise den Be- treiber einer zentralen Datenbank gegen Verlust und unerwünschte Einwirkungen zu si- chern. Personendaten sind vor unbefugtem Zugriff und unbefugter Bearbeitung zu schüt- zen. *    8 Nr. 26  2 Die Organe der Informatik unterstützen die verantwortlichen Organe und die Betreiber  von zentralen Datenbanken bei der Festlegung und der Umsetzung von Sicherheitsmass- nahmen. *  §  19 Grundsätze 1 Die Dienststellen und die Gerichte sowie die andern gemäss § 2 Absatz 2 dem Gel- tungsbereich unterliegenden Stellen klassifizieren die Daten und die Informatikmittel  und legen gestützt darauf die Schutzziele fest. Sie erstellen einen Massnahmenplan zur  Erreichung der Schutzziele. 2 Schutzziele und Massnahmenplan sind periodisch zu überprüfen. 3 Der Regierungsrat regelt das Nähere.  §  20 Benutzung von Informatikmitteln am Arbeitsplatz 1 Alle Anwenderinnen und Anwender sind für die Benutzung der Informatikmittel im  Rahmen der geltenden Rechtsordnung und dieses Gesetzes persönlich verantwortlich.  Informatikmittel dürfen nicht in missbräuchlicher Weise benutzt werden. 2 Der Regierungsrat regelt die Benutzung der Informatikmittel am Arbeitsplatz und be- zeichnet die Fälle der missbräuchlichen Benutzung. 3 Für Kontroll- und Überwachungsmassnahmen gelten die folgenden Grundsätze: a. Kontroll- und Überwachungsmassnahmen dienen in erster Linie der Überprüfung   und der Gewährleistung der technischen Sicherheit, der Funktionsfähigkeit und  der Verfügbarkeit der Informatikmittel.  b. Sämtliche Internetzugriffe und der gesamte E-Mail-Verkehr der Anwenderinnen  und Anwender werden aufgezeichnet (protokolliert). Der Inhalt der E-Mails darf  ohne Zustimmung der betroffenen Anwenderinnen und Anwender nicht gelesen  werden. Von diesem Grundsatz darf nur abgewichen werden, wenn es für die  staatliche Aufgabenerfüllung unerlässlich ist.  c. Protokolldaten sind in anonymisierter Form auszuwerten. d. Personenbezogene Auswertungen sind ausnahmsweise zulässig, sofern die techni-  sche Sicherheit, die Funktionsfähigkeit oder die Verfügbarkeit der Informatikmit- tel ernsthaft gefährdet sind und dies zur Störungsbehebung unumgänglich ist. Die- se Auswertungen dürfen sich nicht auf den Inhalt von E-Mails und Internetzugrif- fen beziehen.  e. Bei begründetem Verdacht auf Missbrauch von Informatikmitteln sind nach  schriftlicher Ankündigung personenbezogene Auswertungen möglich, welche sich  auch auf den Inhalt von E-Mails und Internetzugriffen beziehen.  f. Technische Überwachungs- und Kontrollinstrumente sowie Filtersperren sind mit  Ausnahme sogenannter Spionageprogramme zulässig.  4 Der Regierungsrat regelt das Nähere, insbesondere das Kontrollverfahren. Er kann ins- besondere vorsehen, anonymisierte Plausibilitätskontrollen über eine jeweils beschränk- te Benutzungsdauer durchführen zu lassen.    Nr. 26 9  6 Schlussbestimmungen  §  21 Zuständige Behörde 1 Der Regierungsrat bestimmt die zuständige Behörde gemäss § 5 Absatz 2 und § 14 Ab- satz 2. 2 In den Gemeinden bestimmt der Gemeinderat die zuständige Behörde.  §  22 Änderung von Erlassen 1 Folgende Erlasse werden gemäss Anhang4 geändert: a. Gesetz über den Schutz von Personendaten (Datenschutzgesetz) vom   2. Juli 1990 5 , b. Gesetz über die Kantonspolizei vom 27. Januar 19986.  §  23 Strafen und Massnahmen 1 Wer die Vorschriften der §§ 4 Absatz 3, 6 Absatz 4, 10 Absatz 1 und 15 Absatz 1 ver- letzt, wird mit Busse bis 5000 Franken bestraft. * 2 Der Regierungsrat kann durch Verordnung für Verstösse gegen die Vorschriften von §  20 oder gegen Verordnungsbestimmungen, die gestützt auf diese Bestimmung erlassen  werden, Bussen bis zu 3000 Franken vorsehen. 3 An die Stelle der Strafe kann eine Massnahme treten, sofern der Fehlbare einwilligt.  Diese besteht aus einem Datenschutzunterricht auf Kosten des Fehlbaren. 4 Der oder die Beauftragte für den Datenschutz organisiert den Datenschutzunterricht.  Dieser kann durch Dritte erteilt werden. 5 Vorbehalten bleiben die Bestimmungen des Schweizerischen Strafgesetzbuches7.  §  24 Inkrafttreten 1 Das Gesetz tritt am 1. Juli 2005 in Kraft. Es unterliegt dem fakultativen Referendum8.  4 Die Erlassänderungen, die der Grosse Rat am 7. März 2005 zusammen mit dem Informatikgesetz  beschlossen hat, bilden gemäss § 22 einen Bestandteil dieses Gesetzes. Sie wurden in einem Anhang  wiedergegeben, der am 21. Mai 2005 in der Gesetzessammlung veröffentlicht wurde (G 2005 96).  Bei der vorliegenden Ausgabe wird auf die Wiedergabe dieses Anhangs mit den Erlassänderungen  verzichtet.  5 SRL Nr. 38 6 SRL Nr. 350 7 SR 311.0 8 Die Referendumsfrist lief am 11. Mai 2005 unbenützt ab (K 2005 1198).  http://db.clex.ch/link/Bund/311.0/de   10 Nr. 26  Änderungstabelle - nach Paragraf  Element Beschlussdatum Inkrafttreten Änderung Fundstelle G Erlass 07.03.2005 01.07.2005 Erstfassung K 2005 563 | G 2005 87 § 2 Abs. 1 10.12.2012 01.08.2013 geändert G 2013 133 § 3 Abs. 1 10.05.2021 01.09.2021 geändert G 2021-054 § 3 Abs. 4 10.05.2021 01.09.2021 geändert G 2021-054 § 4 Abs. 3 10.05.2021 01.09.2021 geändert G 2021-054 § 5 Abs. 3 10.05.2021 01.09.2021 geändert G 2021-054 § 6 Abs. 5 10.05.2021 01.09.2021 geändert G 2021-054 § 7 Abs. 1 10.05.2021 01.09.2021 geändert G 2021-054 § 7 Abs. 2 10.05.2021 01.09.2021 geändert G 2021-054 § 10 10.05.2021 01.09.2021 Titel geändert G 2021-054 § 10 Abs. 1 10.05.2021 01.09.2021 geändert G 2021-054 § 10 Abs. 2 10.05.2021 01.09.2021 geändert G 2021-054 § 10 Abs. 3 10.05.2021 01.09.2021 geändert G 2021-054 § 11 Abs. 1, a. 10.05.2021 01.09.2021 geändert G 2021-054 § 11 Abs. 4 10.05.2021 01.09.2021 geändert G 2021-054 § 15 Abs. 2 10.05.2021 01.09.2021 geändert G 2021-054 § 16 Abs. 1 10.05.2021 01.09.2021 geändert G 2021-054 § 18 Abs. 1 10.05.2021 01.09.2021 geändert G 2021-054 § 18 Abs. 2 10.05.2021 01.09.2021 geändert G 2021-054 § 23 Abs. 1 11.09.2006 01.01.2007 geändert G 2006 277    Nr. 26 11  Änderungstabelle - nach Beschlussdatum  Beschlussdatum Inkrafttreten Element Änderung Fundstelle G 07.03.2005 01.07.2005 Erlass Erstfassung K 2005 563 | G 2005 87 11.09.2006 01.01.2007 § 23 Abs. 1 geändert G 2006 277 10.12.2012 01.08.2013 § 2 Abs. 1 geändert G 2013 133 10.05.2021 01.09.2021 § 3 Abs. 1 geändert G 2021-054 10.05.2021 01.09.2021 § 3 Abs. 4 geändert G 2021-054 10.05.2021 01.09.2021 § 4 Abs. 3 geändert G 2021-054 10.05.2021 01.09.2021 § 5 Abs. 3 geändert G 2021-054 10.05.2021 01.09.2021 § 6 Abs. 5 geändert G 2021-054 10.05.2021 01.09.2021 § 7 Abs. 1 geändert G 2021-054 10.05.2021 01.09.2021 § 7 Abs. 2 geändert G 2021-054 10.05.2021 01.09.2021 § 10 Titel geändert G 2021-054 10.05.2021 01.09.2021 § 10 Abs. 1 geändert G 2021-054 10.05.2021 01.09.2021 § 10 Abs. 2 geändert G 2021-054 10.05.2021 01.09.2021 § 10 Abs. 3 geändert G 2021-054 10.05.2021 01.09.2021 § 11 Abs. 1, a. geändert G 2021-054 10.05.2021 01.09.2021 § 11 Abs. 4 geändert G 2021-054 10.05.2021 01.09.2021 § 15 Abs. 2 geändert G 2021-054 10.05.2021 01.09.2021 § 16 Abs. 1 geändert G 2021-054 10.05.2021 01.09.2021 § 18 Abs. 1 geändert G 2021-054 10.05.2021 01.09.2021 § 18 Abs. 2 geändert G 2021-054   	1 Allgemeine Bestimmungen 	§ 1 Zweck 	§ 2 Geltungsbereich 	§ 3 Begriffe 	§ 4 Grundsätze  	2 Zentrale Datenbanken und Abrufverfahren 	§ 5 Zulässigkeit zentraler Datenbanken 	§ 6 Betreiber 	§ 7 Zugriffsverwaltung und Löschung der Personendaten 	§ 8 Erhebung von Personendaten 	§ 9 Datenschutzfreundliche Technologien 	§ 10 Publikation * 	§ 11 Kontrollrechte der betroffenen Person 	§ 12 Abrufverfahren  	3 Auslagerung 	§ 13 Zulässigkeit 	§ 14 Genehmigungs- und Meldepflicht 	§ 15 Pflichten des Auftragnehmers 	§ 16 Kontrollrechte der betroffenen Person  	4 Informatikorganisation 	§ 17 Organisationsstruktur  	5 Informatiksicherheit 	§ 18 Zuständigkeit 	§ 19 Grundsätze 	§ 20 Benutzung von Informatikmitteln am Arbeitsplatz  	6 Schlussbestimmungen 	§ 21 Zuständige Behörde 	§ 22 Änderung von Erlassen 	§ 23 Strafen und Massnahmen 	§ 24 Inkrafttreten


type: legislation

jurisdiction: Switzerland

text:
26a

  Informatikverordnung

  vom 17.06.2016 (Stand 01.09.2021)

  Der Regierungsrat des Kantons Luzern,

    gestützt auf die §§ 2 Absatz 2, 17 Absatz 2 und 21 Absatz 1 des Informatikgesetzes vom 7. März 2005[1] sowie § 7 Absatz 2 des Kantonalen Datenschutzgesetzes vom 2. Juli 1990[2],

    auf Antrag des Finanzdepartementes, *

  beschliesst:

1 Allgemeines

§ 1

Zweck

1

Diese Verordnung regelt die Informatikorganisation. Vorbehalten bleiben einschlägige Bestimmungen des Datenschutzes sowie die Verordnung über die Informatiksicherheit und über die Nutzung von Informatikmitteln vom 22. November 2016[3]. *

§ 2

Geltungsbereich

1

Diese Verordnung gilt für die kantonale Verwaltung, einschliesslich der kantonalen Schulen, und für die Gerichte.

2

Ausgenommen sind die Ausgleichskasse Luzern, die IV-Stelle Luzern, die Arbeitslosenkasse, die Gebäudeversicherung Luzern, die Luzerner Pensionskasse, die Lustat Statistik Luzern, der Verkehrsverbund Luzern, die kantonalen Spitäler (Luzerner Kantonsspital, Luzerner Psychiatrie), die Pädagogische Hochschule Luzern, die Universität und die Hochschule Luzern. *

3

Sie gilt jedoch auch für die in Absatz 2 genannten sowie für weitere Stellen und Körperschaften, soweit diese Informatikmittel des Kantons Luzern benutzen.

§ 3

Begriffe

1

Die Begriffe Informatik und Informatikmittel richten sich nach dem Informatikgesetz vom 7. März 2005[4]. Darunter fällt insbesondere auch die Telefonie.

2 Organisation

§ 4

Konzerninformatik

1

Die Konzerninformatik umfasst

      a.

      die Ausgestaltung und den Einsatz der Infrastruktur,

      b.

      den Aufbau, den Betrieb und den Ausbau der Infrastruktur,

      c.

      die Planung und die Umsetzung der Datenlogistik,

      d.

      die Bereitstellung von Querschnittsanwendungen.

§ 5

Departementsinformatik

1

Die Departementsinformatik umfasst

      a.

      die Gestaltung der Geschäftsprozesse und deren Unterstützung durch Informatikanwendungen,

      b.

      die Verarbeitung der zur Aufgabenerfüllung notwendigen Informationen,

      c.

      die Ausgestaltung und den Einsatz von Fachanwendungen.

§ 6

Übergreifende Steuerung

1

Die übergreifende Steuerung der Informatik des Kantons Luzern umfasst

      a.

      die Vorgaben der Informatikstrategie,

      b.

      die finanzielle und personelle Gesamtplanung der Informatik,

      c.

      ein gemeinsames Informatik- und Anwendungsportfolio,

      d.

      die zentrale Budgetierung für Vorhaben und Projekte,

      e.

      die zentrale Steuerung departementsübergreifender Vorhaben und Projekte,

      f.

      die Informatikarchitektur und die Informatikstandards,

      g.

      die übergreifende Verantwortung für die Informatiksicherheit.

3 Planungsinstrumente, Informatikstandards und Informatikarchitektur

§ 7

Informatikstrategie

1

Die Informatikstrategie ist ein Planungsinstrument des Regierungsrates, mit dem dieser in regelmässigen Abständen die technologische Entwicklung und die Veränderung des Nutzungsverhaltens berücksichtigt, Informatikziele definiert und strategische Informatikinitiativen festlegt. Sie ist auf die Ziele des Kantons Luzern und dessen Geschäftsprozesse ausgerichtet.

§ 8

Informatikgesamtplanung

1

Mit der Informatikgesamtplanung werden in regelmässigen Abständen der aktuelle und der künftige Einsatz der Informatik im Hinblick auf die Geschäftsanforderungen und in Abstimmung mit übergeordneten Vorgaben und Zielsetzungen überprüft und die für die Informatik benötigten finanziellen und personellen Ressourcen ermittelt.

§ 9

Informatikstandards und Informatikarchitektur

1

In der Informatik ist durch die Vorgabe von Standards ein hoher Grad an Einheitlichkeit anzustreben.

2

Mit der Informatikarchitektur werden die technischen Grundstrukturen der Elemente der Informatik und der Informatikmittel und die Regeln ihres Zusammenspiels festgelegt.

4 Vorhaben und Projekte

§ 10

Informatikportfolio

1

Das Informatikportfolio

      a.

      dient als Grundlage für die Informatikplanung und -budgetierung,

      b.

      enthält alle Vorhaben und Projekte der Konzern- und der Departementsinformatik, deren Gesamtkosten mindestens 50 000 Franken betragen.

2

Vorhaben sind zur Initialisierung beantragte Projekte. Mit deren Freigabe werden sie zu Projekten.

3

Über die Aufnahme von Vorhaben in das Informatikportfolio und deren Freigabe entscheidet das Gremium der Organisationsverantwortlichen (OVG) unter Vorbehalt von § 27. Es erlässt Weisungen über die Führung des Informatikportfolios.

§ 11

Departementsübergreifende Vorhaben und Projekte

1

Departementsübergreifende Vorhaben und Projekte werden durch das OVG gesteuert.

2

Die Steuerung erfolgt insbesondere durch

      a.

      die Vorgabe von Projektmanagementstandards,

      b.

      einheitliche Projektmanagementinstrumente,

      c.

      die Delegation von Mitgliedern des OVG in die Steuerung der Projekte.

5 Informatikbeschaffungen, Infrastruktur, Anwendungen, Betrieb und Wartung

§ 12

Informatikbeschaffungen

1

Im Bereich der Konzerninformatik ist die Dienststelle Informatik (DIIN) für Beschaffungen zuständig. Für Beschaffungen im Bereich der Departementsinformatik sind je in ihrem Zuständigkeitsbereich die Departemente, die Staatskanzlei und das Kantonsgericht zuständig.

2

Vor Ausschreibungen und Beschaffungen sind Produktestandards zu evaluieren.

§ 13

Infrastruktur

1

Die DIIN ist für den Betrieb der Infrastruktur zuständig und richtet sich dabei nach national oder international anerkannten Standards.

2

Fachanwendungen sind grundsätzlich in die Infrastruktur der Konzerninformatik zu integrieren.

3

Die Luzerner Polizei und die Abteilung Geoinformation der Dienststelle Raum und Wirtschaft, welche aufgrund ihres Leistungsauftrages auf eine spezialisierte Infrastruktur angewiesen sind, können die für den Betrieb ihrer Fachanwendungen notwendige Infrastruktur unter Einhaltung der Vorgaben für die Informatikarchitektur und der Informatikstandards selbst bestimmen.

§ 14

1

Über sämtliche Querschnitts- und Fachanwendungen ist ein Anwendungsportfolio zu führen.

2

Bei den Querschnittsanwendungen werden Basisanwendungen, Standardanwendungen und Konzernanwendungen unterschieden. Querschnittsanwendungen werden durch die DIIN unter engem Einbezug der Zuständigen der massgeblichen Departementsinformatik und der Fachbereiche bereitgestellt.

§ 15

Betrieb und Wartung

1

Der Betrieb umfasst die Bereitstellung der Informatikmittel und deren möglichst störungsfreie Verfügbarkeit.

2

Der Umfang und die Qualität der Verfügbarkeit werden gemeinsam durch den Leistungsbezüger und den Leistungserbringer festgelegt.

3

Die Wartung von Anwendungen umfasst die Fehlerbehebung, die Anpassungswartung, die verbessernde und präventive Wartung sowie die Anwenderunterstützung mit dem Ziel, die Verwendbarkeit und Betriebssicherheit der Anwendungen sicherzustellen und deren Lebensdauer zu verlängern.

6 Leistungen

§ 16

Leistungserbringer

1

In der Konzerninformatik gemäss § 4 ist die DIIN die Leistungserbringerin. Sie kann bei Bedarf externe Dienstleister beiziehen.

2

In der Departementsinformatik gemäss § 5 sind die Departemente, die Staatskanzlei und die Gerichte die Leistungserbringer. Sie können bei Bedarf mittels Leistungsvereinbarung die DIIN oder externe Dienstleister beiziehen.

§ 17

Leistungsbezüger

1

Leistungsbezüger der Konzern- und der Departementsinformatik sind die Dienststellen der kantonalen Verwaltung, die Gerichte und die Gemeinden des Kantons Luzern. Andere Stellen und Körperschaften der öffentlichen Hand können mittels Leistungsvereinbarung ebenfalls Leistungen beziehen.

§ 18

Leistungskatalog

1

Die DIIN erstellt und bewirtschaftet einen Leistungskatalog, der mindestens die Leistungen (Services) der Konzerninformatik enthält.

2

Der Leistungskatalog ist auf die Anforderungen der Leistungsbezüger ausgerichtet und wird mindestens einmal jährlich nachgeführt. Er dient als Grundlage für die Budgetierung der Informatik.

3

Das OVG entscheidet unter Vorbehalt von § 27 auf Antrag der Leistungserbringer der Konzern- oder der Departementsinformatik über die Aufnahme von Querschnittsanwendungen in den Leistungskatalog.

§ 19

Leistungsvereinbarungen

1

Für jede Leistung, welche die DIIN erbringt, schliesst diese mit dem Leistungsbezüger eine Leistungsvereinbarung ab.

§ 20

Rechnungstellung

1

Die Leistungen werden dem Leistungsbezüger von der DIIN auf der Grundlage der Leistungsvereinbarung in Rechnung gestellt.

2

Das OVG entscheidet unter Vorbehalt von § 27 auf Antrag der DIIN, welche Leistungen intern verrechnet werden.

7 Budgetierung und Finanzplan

§ 21

Vorhaben und Projekte

1

Einmalige Kosten für Vorhaben und Projekte sowie ihre Abschreibungen und kalkulatorischen Zinsen werden im Aufgaben- und Finanzplan wie folgt budgetiert:

      a.

      in der Konzerninformatik und der Departementsinformatik der Departemente und der Staatskanzlei in der Investitions- und in der Erfolgsrechnung des Aufgabenbereichs Informatik,

      b.

      in der Departementsinformatik der Gerichte in der Investitions- und in der Erfolgsrechnung des Aufgabenbereichs Gerichtswesen.

§ 22

Betrieb und Wartung

1

Die Leistungen für den Betrieb und die Wartung der Konzerninformatik werden in der Erfolgsrechnung im Aufgabenbereich Informatik budgetiert.

2

Die Leistungen für den Betrieb und die Wartung von Fachanwendungen werden in den entsprechenden Aufgabenbereichen der Departemente, der Staatskanzlei und des Kantonsgerichtes budgetiert.

§ 23

Grundsätze der Budgetierung

1

Über die Budgetierung der einmaligen Kosten entscheidet das OVG unter Vorbehalt von § 27, wobei es insbesondere folgende Grundsätze berücksichtigt:

      a.

      zur Gewährleistung der Planungssicherheit werden bewilligten Vorhaben gemäss Informatikportfolio die notwendigen finanziellen Mittel zugewiesen,

      b.

      für Ersatzinvestitionen bei Infrastrukturvorhaben und -projekten der Konzerninformatik wird auf Antrag der DIIN ein angemessener Betrag reserviert,

      c.

      jedem Departement, der Staatskanzlei sowie dem Kantonsgericht wird für Kleinprojekte der Departementsinformatik auf Antrag ein Sockelbetrag von maximal 200 000 Franken zugeteilt; die Sockelbeträge für die Departementsinformatik dürfen insgesamt 10 Prozent des Gesamtbudgets des Kantons für Vorhaben und Projekte nicht übersteigen.

2

Das OVG erlässt Weisungen zur Finanzplanung und zur Budgetierung der Informatikkosten.

8 Risikomanagement

§ 24

1

Das OVG beurteilt die Informatikrisiken gestützt auf die Risikolisten der Departemente, der Staatskanzlei und der Gerichte und schlägt Massnahmen vor.

2

Im Übrigen richten sich die Zuständigkeiten für das Risikomanagement nach § 25 der Verordnung zum Gesetz über die Steuerung der Finanzen und Leistungen vom 17. Dezember 2010[5].

9 Zuständigkeiten

§ 25

Finanzdepartement

1

Das Finanzdepartement ist zuständig für die Konzerninformatik sowie für sämtliche Belange der kantonalen Informatik, soweit die Aufgaben nicht durch Gesetz oder Verordnung einem anderen Organ übertragen sind.

2

Das Finanzdepartement ist die zuständige Behörde gemäss § 21 Absatz 1 des Informatikgesetzes[6].

§ 26

Gremium der Organisationsverantwortlichen

1

Das Gremium der Organisationsverantwortlichen (OVG) setzt sich aus den Organisations- und Informatikbeauftragten der Departemente, der Staatskanzlei und des Kantonsgerichtes sowie einem Vertreter oder einer Vertreterin der Dienststelle Informatik zusammen.

2

Das OVG hat folgende Aufgaben und Befugnisse:

      a.

      Erarbeitung und regelmässige Überprüfung der Informatikstrategie,

      b.

      Konkretisierung und Planung der Umsetzung der Informatikstrategie,

      c.

      Festlegung der Informatikarchitektur und der Informatikstandards sowie Kontrolle der Einhaltung dieser Vorgaben in der Konzern- und in der Departementsinformatik,

      d.

      Beschlussfassung über das Informatikportfolio und die Priorisierung der darin enthaltenen Vorhaben und Projekte,

      e.

      Beschlussfassung über das Anwendungsportfolio,

      f.

      Entscheid über die Aufnahme von Querschnittsanwendungen in den Leistungskatalog,

      g.

      Entscheid über die Verrechenbarkeit von Leistungen,

      h.

      Erstellung und regelmässige Überprüfung der Informatikgesamtplanung,

      i.

      Festlegung der Vorgaben der Informatiksicherheit in der Konzern- und Departementsinformatik sowie Kontrolle der Einhaltung dieser Vorgaben,

      j.

      Steuerung von departementsübergreifenden Vorhaben und Projekten,

      k.

      Beurteilung der Informatikrisiken und Beantragung von Massnahmen zu deren Beseitigung oder Verminderung.

3

Das OVG fasst seine Beschlüsse mit einfachem Mehr.

§ 27

Konferenz der Departementssekretärinnen und -sekretäre

1

Kommt ein Beschluss des OVG mit nur einer Stimme Unterschied zustande, gilt er als strittig. Strittige Beschlüsse sind der Konferenz der Departementssekretärinnen und -sekretäre (KDS) zum Entscheid zu unterbreiten.

2

Ein Geschäft ist der Beschlussfassung durch die KDS auch dann zu unterbreiten, wenn dies mindestens drei Organisations- und Informatikbeauftragte oder der Vertreter oder die Vertreterin der DIIN verlangen.

3

Wird der Beschluss auch in der KDS mit nur einer Stimme Unterschied gefasst, so ist das Geschäft dem Regierungsrat zum Entscheid zu unterbreiten.

§ 28

Dienststelle Informatik

1

Die Dienststelle Informatik ist die zentrale Leistungserbringerin von Informatikdienstleistungen für die kantonale Verwaltung, die Gerichte und Dritte.

2

Die Dienststelle Informatik ist verantwortlich für die Konzerninformatik und hat folgende Aufgaben und Befugnisse:

      a.

      Umsetzung der Informatikstrategie,

      b.

      Umsetzung der Informatikarchitektur und der Informatikstandards,

      c.

      Beschreibung und Qualifizierung von neuen Vorhaben der Konzerninformatik,

      d.

      Planung und Durchführung von Vorhaben und Projekten der Konzerninformatik,

      e.

      Betrieb und Wartung von Querschnittsanwendungen,

      f.

      Führung von Budget und Finanzplan für Vorhaben und Projekte gemäss § 21 Absatz 1a,

      g.

      Führung von Budget und Finanzplan für den Betrieb und die Wartung der Konzerninformatik,

      h.

      Führung des Inventars über die Konzerninformatik.

3

Darüber hinaus ist sie zuständig für

      a.

      die Erarbeitung der Informatikarchitektur und der Informatikstandards,

      b.

      die Planung und Führung des Informatikportfolios im Auftrag des OVG,

      c.

      die Führung des Anwendungsportfolios im Auftrag des OVG,

      d.

      die Führung des Service-Desks.

§ 29

Organisations- und Informatikbeauftragte

1

Die Departemente, die Staatskanzlei und die Gerichte bestellen je einen Organisations- und Informatikbeauftragten oder eine Organisations- und Informatikbeauftragte.

2

Die Organisations- und Informatikbeauftragten sind die Ansprechpartner für die Konzerninformatik. Sie sind in ihrem Zuständigkeitsbereich verantwortlich für die Departementsinformatik und haben folgende Aufgaben und Befugnisse:

      a.

      Umsetzung der Informatikstrategie,

      b.

      Umsetzung der Informatikarchitektur und der Informatikstandards,

      c.

      Beschreibung und Qualifizierung von neuen Vorhaben für Fachanwendungen,

      d.

      Planung und Durchführung von Vorhaben und Projekten für Fachanwendungen,

      e.

      Betrieb und Wartung von Fachanwendungen,

      f.

      Führung von Budget und Finanzplan für den Betrieb und die Wartung von Fachanwendungen.

§ 30

Anwendungsverantwortliche

1

Die Departemente, die Staatskanzlei und die Gerichte bestimmen in ihrem Zuständigkeitsbereich bei Bedarf Anwendungsverantwortliche.

2

Die Anwendungsverantwortlichen

      a.

      sind Ansprechpersonen für die Organisations- und Informatikbeauftragten,

      b.

      überwachen den Betrieb und die Wartung von Fach- und Konzernanwendungen aus Anwendersicht,

      c.

      organisieren Schulungen für Fachanwendungen,

      d.

      stellen die Weiterentwicklung der Fachanwendungen sicher.

§ 31

Zusammenarbeit mit anderen Organisationen und Körperschaften

1

Die Koordination der Zusammenarbeit mit Bund, Kantonen, Gemeinden sowie weiteren Organisationen und Körperschaften erfolgt durch die für das Fachthema zuständige Stelle innerhalb der kantonalen Verwaltung und der Gerichte.

10 Schlussbestimmungen

§ 32

Aufhebung eines Erlasses

1

Die Informatikverordnung vom 1. Juli 2008[7] wird aufgehoben.

§ 33

Inkrafttreten

1

Die Verordnung tritt am 1. Juli 2016 in Kraft. Sie ist zu veröffentlichen.

  G 2016 101


text:
26b

  Verordnung
  über die Informatiksicherheit und über die Nutzung von Informatikmitteln

  (Informatiksicherheitsverordnung)

  vom 22.11.2016 (Stand 01.09.2021)

  Der Regierungsrat des Kantons Luzern,

    gestützt auf die §§ 2 Absatz 2, 19 Absatz 3, 20 Absätze 2 und 4 des Informatikgesetzes vom 7. März 2005[1], § 7 Absatz 2 des Kantonalen Datenschutzgesetzes vom 2. Juli 1990[2] sowie § 81 des Personalgesetzes vom 26. Juni 2001[3],

    auf Antrag des Finanzdepartementes, *

  beschliesst:

1 Allgemeine Bestimmungen

§ 1

Gegenstand und Zweck

1

Die Verordnung bestimmt das Verfahren, die Zuständigkeiten und Verantwortlichkeiten sowie den Vollzug zur Gewährleistung der Sicherheit von Informationen, die mit Informatikmitteln bearbeitet werden.

2

Sie bezweckt die Regelung des sicheren und wirtschaftlichen Einsatzes von Informatikmitteln zur Erfüllung von gesetzlichen Aufgaben sowie die Wahrung der Persönlichkeitsrechte der Anwenderinnen und Anwender.

§ 2

Geltungsbereich

1

Diese Verordnung gilt für die kantonale Verwaltung (einschliesslich kantonaler Schulen) und für die Gerichte. Soweit die Sicherheit, die Funktionsfähigkeit, die Vertraulichkeit und die Verfügbarkeit der Informatikmittel betroffen sind, unterstehen ihr auch die Behördenmitglieder. Ausgenommen sind die Ausgleichskasse Luzern, die IV-Stelle Luzern, die Arbeitslosenkasse, die Gebäudeversicherung Luzern, die Luzerner Pensionskasse, die Lustat Statistik Luzern, der Verkehrsverbund Luzern, die kantonalen Spitäler (Luzerner Kantonsspital, Luzerner Psychiatrie), die Pädagogische Hochschule Luzern, die Universität und die Hochschule Luzern. *

2

Sie gilt jedoch auch für die gemäss Absatz 1 ausgenommenen sowie für weitere Stellen, Körperschaften, Organe und Anwenderinnen und Anwender, soweit diese Informatikmittel des Kantons Luzern benutzen.

3

Soweit diese Verordnung nichts anderes bestimmt, gelten für die Lernenden der kantonalen Schulen sinngemäss dieselben Vorschriften wie für die übrigen Anwenderinnen und Anwender. Falls Lernenden kantonale Geräte mit erweiterten Benutzerrechten zur Verfügung gestellt werden, gelten für diese Geräte die Bestimmungen für nichtkantonale Geräte. *

4

Soweit die in den Absätzen 1–3 genannten Stellen, Körperschaften, Organe und Anwenderinnen und Anwender zur Bearbeitung von Informationen des Kantons Luzern nichtkantonale Geräte nutzen, finden für diese Geräte die §§ 4, 7, 8 Absätze 1 und 2, 9–16, 18, 20, 24 Absatz 3 und 26 keine Anwendung. *

§ 3

Begriffe

1

Informationen im Sinn dieser Verordnung sind Sach- und Personendaten.

2

Der Begriff der Informatikmittel richtet sich nach dem Informatikgesetz vom 7. März 2005[4]. Informatikmittel sind Geräte, Einrichtungen und Dienste, wie insbesondere Computersysteme, Computerprogramme, Kommunikationsdienste, die der elektronischen Erfassung, Verarbeitung, Speicherung, Übermittlung, Auswertung, Archivierung oder Vernichtung von Informationen dienen.  *

3

Die Begriffe der Personendaten und der Organe richten sich nach dem Gesetz über den Schutz von Personendaten (Kantonales Datenschutzgesetz) vom 2. Juli 1990[5].  *

4

Anonym bedeutet, dass keine Rückschlüsse auf eine einzelne Person möglich sind.

5

Protokolldaten sind sämtliche zum Zweck der Überwachung und Kontrolle nach dieser Verordnung notwendigen Daten.

6

Der Begriff der Leistungserbringer richtet sich nach der Informatikverordnung vom 17. Juni 2016[6].

§ 4

Zuständigkeit

1

Inhaber einer Datensammlung und Betreiber einer zentralen Datenbank sind verpflichtet, Informatikmittel gegen Verlust und unerwünschte Einwirkungen zu sichern und Informationen, insbesondere Personendaten, vor unbefugtem Zugriff und unbefugter Bearbeitung zu schützen.

2

Die Organe sind in ihrem Zuständigkeitsbereich verantwortlich für

      a.

      die Bestimmung der Schutzziele für Informationen und Informatikmittel,

      b.

      die Klassifizierung und Inventarisierung der Informationen und Informatikmittel nach den Schutzzielen,

      c.

      die Erstellung eines Massnahmenplans zur Erreichung der Schutzziele und die Umsetzung der Sicherheitsanforderungen,

      d.

      die Sensibilisierung der Anwenderinnen und Anwender hinsichtlich der Informatiksicherheit,

      e.

      die Kontrolle der Informatiksicherheit.

3

Die Dienststelle Informatik

      a.

      bewirtschaftet die Informatiksicherheitsprojekte,

      b.

      unterstützt in Zusammenarbeit mit den Organisations- und Informatikbeauftragten die Organe bei der Einrichtung einer sicheren Informatik und der Umsetzung und Kontrolle der Sicherheitsmassnahmen,

      c.

      überwacht die Einhaltung der technischen Sicherheitsanforderungen,

      d.

      dokumentiert den Stand der Informatiksicherheit des Kantons Luzern und informiert darüber,

      e.

      ist Ansprechpartnerin für die Organe in Fragen der Informatiksicherheit.

§ 5

Persönliche Verantwortung

1

Alle Anwenderinnen und Anwender sind für die Verwendung ihrer Informatikmittel im Rahmen der geltenden Rechtsordnung und dieser Verordnung persönlich verantwortlich.

2

Insbesondere sind sie dafür verantwortlich, dass an ihrem Arbeitsplatz und in ihrem Zuständigkeitsbereich die entsprechenden Vorgaben zur Gewährleistung von Datenschutz und Informationssicherheit befolgt werden.

§ 6

Schulungs- und Informationspflicht, Sensibilisierung

1

Die Departemente, die Staatskanzlei und die Gerichte sowie die gemäss § 2 Absatz 1 ausgenommenen und die weiteren Organe, Stellen und Körperschaften, soweit diese Informatikmittel des Kantons Luzern benutzen, sorgen dafür, dass die Anwenderinnen und Anwender über den richtigen Umgang mit den Informatikmitteln geschult und regelmässig informiert werden.

2

Sie sind befugt, für ihren Zuständigkeitsbereich Weisungen über die Nutzung der Informatikmittel zu erlassen. Diese Weisungen sind dem oder der kantonalen Beauftragten für Informationssicherheit bekannt zu machen.

3

Um die Risiken durch menschlichen Irrtum, Diebstahl, Betrug oder Missbrauch von Informationen und Informatikmitteln zu verringern, sensibilisieren sie die Anwenderinnen und Anwender für die Informatiksicherheit. Sie stellen dabei sicher, dass diese ihre Verantwortlichkeiten in Bezug auf die Schutzziele verstehen und regelmässig über organisationseigene Regelungen und Verfahren zur Informatiksicherheit informiert werden.

§ 7

Schutzziele

1

Für Informationen und Informatikmittel gelten folgende Schutzziele:

      a.

      Verfügbarkeit: Informationen und Informatikmittel sind zugänglich und nutzbar. Massgeblich sind die zulässige Ausfalldauer im Einzelfall und die Anzahl zulässiger Ausfälle pro Kalenderjahr,

      b.

      Vertraulichkeit: Informationen sind nur den berechtigten Personen zugänglich,

      c.

      Integrität: Informationen und Informatikmittel sind vor unberechtigten Änderungen geschützt. Die Informationen sind vollständig und richtig,

      d.

      Nachvollziehbarkeit: Eine Ereigniskette (z.B. hinsichtlich der Bearbeitung oder des Zugriffs auf Informationen) kann nachträglich nachvollzogen werden.

2

Die Organe und die Dienststelle Informatik sind befugt, für ihren Zuständigkeitsbereich die Schutzziele zu verfeinern und zusätzliche Weisungen zu erlassen.

§ 8

Klassifizierung

1

Die Informationen und Informatikmittel sind nach folgenden Kriterien zu klassifizieren:

      a.

      Verfügbarkeit: während der Bürozeiten, während erweiterter Bürozeiten, während 7×24 Stunden; jeweils unter Angabe der zulässigen Ausfalldauer,

      b.

      Vertraulichkeit: öffentlich, intern, vertraulich und geheim,

      c.

      Integrität: unkritisch (bezüglich Abweichungen und Fehler tolerierbar), mittel (Grad der Integrität erkennbar, Fehler behebbar) und hoch (Integrität zwingend sicherzustellen),

      d.

      Nachvollziehbarkeit: keine Nachvollziehbarkeit, anonymisierte Nachvollziehbarkeit und personenbezogene Nachvollziehbarkeit.

2

Die Organe und die Dienststelle Informatik sind befugt, für ihren Zuständigkeitsbereich die Klassifikation zu verfeinern und zusätzliche Weisungen zu erlassen. Darin können Behandlungsregeln aufgenommen werden, welche von den Anwenderinnen und Anwendern im Umgang mit klassifizierten Informationen zu beachten sind.

3

Vertrauliche und geheime Informationen, namentlich besonders schützenswerte Personendaten und Persönlichkeitsprofile, dürfen nur verschlüsselt übertragen und auf Endgeräten gespeichert werden. Der oder die Beauftragte für den Datenschutz kann für die Speicherung von Personendaten und Persönlichkeitsprofilen auf Endgeräten Ausnahmen bewilligen. *

§ 9

Projekte

1

In allen Projekten für neue Anwendungen und Systeme, mit denen vertrauliche oder geheime Informationen bearbeitet werden, ist ein Informationssicherheits- und Datenschutzkonzept zu erstellen. Die Dienststelle Informatik überwacht die Umsetzung der in den Projekten vereinbarten technischen Sicherheitsanforderungen.

2

Die Dienststelle Informatik plant die kantonalen Informatiksicherheitsprojekte. Sie unterstützt die Organe bei der Projektierung und Einrichtung einer sicheren Informatik.

§ 10

Massnahmenplan

1

Der Massnahmenplan dient der Erreichung der Schutzziele und der Einhaltung der Sicherheitsanforderungen im Zuständigkeitsbereich der Organe. Die einzelnen Massnahmen richten sich nach den Sicherheitsanforderungen im zweiten Teil dieser Verordnung. Dabei sind der Grundsatz der Verhältnismässigkeit, der Stand der Technik und die verfügbaren Mittel zu berücksichtigen.

2

Der Massnahmenplan enthält für jede Massnahme folgende Angaben:

      a.

      Schutzziel und Geltungsbereich (bezüglich Informatikmitteln und Klassifizierung),

      b.

      Inhalt,

      c.

      Kosten,

      d.

      Verantwortlichkeit,

      e.

      Umsetzungsschritte und Termine,

      f.

      Restrisiko,

      g.

      Dokumentation (Nachweis der Umsetzung und Wirksamkeit der Massnahme).

§ 11

Überprüfung Schutzziele, Klassifizierung, Sicherheitsmassnahmen

1

Die Organe überprüfen in ihrem Zuständigkeitsbereich mindestens jährlich die Schutzziele und die Klassifizierung der Informationen und Informatikmittel sowie die Einhaltung der Sicherheitsanforderungen und die Angemessenheit der Sicherheitsmassnahmen. Sie erstatten den Organisations- und Informatikbeauftragten und dem oder der kantonalen Beauftragten für Informationssicherheit darüber Bericht und passen den Massnahmenplan wenn nötig an. Die Prüfung ist umgehend vorzunehmen, wenn die Aufgaben, die Organisation oder die eingesetzten Informatikmittel eines Organs ändern. Die Organe können die Schutzziele und die Klassifizierung sowie die getroffenen Massnahmen in ihrem Zuständigkeitsbereich zusätzlich durch eine qualifizierte unabhängige externe Stelle prüfen lassen.

2

Sicherheitsmassnahmen und Notfallkonzepte für Informationen und Informatikmittel mit der Klassifizierung «geheim» oder «Verfügbarkeit während 7x24 Stunden» sind jährlich durch die Organe oder eine unabhängige externe Stelle zu überprüfen.

3

Der oder die Beauftragte für den Datenschutz überprüft periodisch die Sicherheit, die Massnahmen und deren Umsetzung bei personenbezogenen Daten. *

4

Die in der vorliegenden Verordnung enthaltenen Regelungen zur Klassifizierung und zur Behandlung klassifizierter Informationen und Informatikmittel gelten nur insofern, als sie den übergeordneten bundes- und kantonalrechtlichen Vorgaben zur Vertraulichkeit von Informationen und Informatikmitteln nicht widersprechen.

2 Sicherheitsanforderungen

§ 12

Schutz der Infrastruktur und der Informationen

1

Zur Verhinderung von Verlust, Beschädigung und Missbrauch von Informationen und Informatikmitteln und zur Verhinderung eines Unterbruchs von Geschäftsaktivitäten müssen die Gebäude, Räume und Geräte vor Sicherheitsbedrohungen und umgebungsbedingten Gefahren geschützt werden.

§ 13

Zugriffsschutz und Zutrittskontrollen

1

Der Zugriff auf Informationen und Informatikmittel sowie die Vergabe und Mutation von Berechtigungen sind durch die Organe in einem Zugriffskonzept zu regeln.

2

Sicherheitsbereiche müssen durch angemessene Zutrittskontrollen geschützt sein, damit sichergestellt ist, dass nur autorisierten Personen Zutritt gewährt wird.

3

Benutzerpasswörter für die Informatikmittel müssen den Anwenderinnen und Anwendern (Angestellten, Auftragnehmern und Drittbenutzern) durch die Organe in einem geregelten und kontrollierbaren Verfahren zugeteilt werden. Die Anwenderinnen und Anwender müssen dabei auf ihre Verantwortung für die Aufrechterhaltung effektiver Zugriffskontrollen, insbesondere in Bezug auf die Nutzung des Passworts gemäss der entsprechenden Weisung zur Passwort-Policy, und auf die Sicherheit der Benutzergeräte hingewiesen werden.

4

Privilegierte Zugriffsrechte sowie Zugriffsrechte auf vertraulich und geheim klassifizierte Informationen und Informatikmittel dürfen nur zurückhaltend vergeben werden. Solche Zugriffe müssen protokolliert und die Zugriffsrechte periodisch überprüft werden.

5

Im Rahmen der einzelnen Funktionen eines Systems oder einer Anwendung sind die jeweiligen Anforderungen an die Überprüfung der Identität des Benutzers oder der Benutzerin beziehungsweise des Systems direkt zu formulieren und entsprechend in den Systemen und Anwendungen abzubilden.

6

Zur Authentifizierung des Benutzers oder der Benutzerin ist grundsätzlich das zentrale Benutzerregister zu verwenden.

§ 14

Entzug Zutritts- und Zugriffsrechte

1

Zutritts- und Zugriffsrechte von Anwenderinnen und Anwendern, Auftragnehmern oder Drittbenutzern müssen von den zuständigen Organen sofort entzogen werden, wenn deren Anstellung, deren Auftrag oder eine entsprechende Nutzungsvereinbarung beendet ist. Ändern Anstellung, Auftrag oder Nutzungsvereinbarung, sind die Zutritts- und Zugriffsrechte umgehend anzupassen.

§ 15

Management der elektronischen Datenkommunikation

1

Informationen der kantonalen Organe sind grundsätzlich über das Datenkommunikationsnetz des Kantons Luzern (LUnet) auszutauschen.

2

Anschlüsse an verwaltungsinterne oder -externe Informatikmittel, Netzwerke und Anwendungen bedürfen einer Bewilligung der betroffenen Organe. Mit einem externen Partner sind die seitens der Dienststelle Informatik vorgeschriebenen Sicherheitsmassnahmen schriftlich zu vereinbaren. Die Einhaltung der Sicherheitsanforderungen und die Angemessenheit der Sicherheitsmassnahmen ist durch die betroffenen Organe regelmässig risikobasiert zu überprüfen.

3

Die Dienststelle Informatik ist verantwortlich für die Sicherheit des LUnet. Sie kann Einschränkungen in der Nutzung festlegen, um die allgemeine Verfügbarkeit des LUnet sicherzustellen.

4

Die Dienststelle Informatik ist für die Sicherung der Netzübergänge zuständig.

§ 16

Datenaustausch

1

Der Austausch von Informationen zwischen sämtlichen Kommunikationseinrichtungen hat nach den von der Dienststelle Informatik festgelegten Verfahren und Methoden zu erfolgen.

2

Die Leistungserbringer ergreifen geeignete Schutzmassnahmen, um unbefugten Zugriff, Missbrauch und Verfälschung der Informationen während des Datenaustausches zu verhindern. Der Schutz muss auch beim Austausch über Organisationsgrenzen hinweg gewährleistet sein.

3

Die Kommunikationsteilnehmerinnen und -teilnehmer sind selbst dafür verantwortlich, dass bei der Kommunikation über LUnet die jeweiligen Vertraulichkeitsanforderungen eingehalten werden.

§ 17

Speicherung und Ablage der Informationen

1

Informationen und elektronische Datenträger sind so aufzubewahren, dass sie für Unberechtigte nicht einsehbar sind. Anwenderinnen und Anwender müssen Informationen gemäss den geltenden Weisungen geordnet und zentral auf den dafür vorgesehenen und geeigneten Anwendungen und Systemen speichern und ablegen, damit sie verfügbar bleiben und regelmässig gesichert werden.

2

Die Dienststelle Informatik ist in alle Vorhaben, die eine temporäre oder dauerhafte Speicherung von Informationen des Kantons Luzern auf Systemen von Dritten einschliessen, frühzeitig einzubeziehen.

§ 18

Datensicherung, Sicherstellung des Geschäftsbetriebs

1

Der Leistungserbringer stellt sicher, dass Informationen und Software in regelmässigen Abständen gesichert werden.

2

Der Leistungserbringer ist verantwortlich dafür, dass die Funktionsfähigkeit der Datensicherungskopien regelmässig getestet wird. Bei der elektronischen Archivierung stellt er die Verlässlichkeit und die Authentizität der Informationen mit angemessenen organisatorischen und technischen Vorkehrungen sicher.

3

Die Organe sind dafür verantwortlich, dass Pläne entwickelt und umgesetzt werden, um Störungen und Ausfällen von kritischen Geschäftsprozessen im erforderlichen Umfang zu begegnen und die Verfügbarkeit der Informatikmittel in Zusammenarbeit mit dem Leistungserbringer sicherzustellen.

§ 19

Entsorgung von Datenträgern

1

Defekte oder zu entsorgende Datenträger sind

      a.

      entweder der Dienststelle Informatik zu übergeben; diese stellt sicher, dass alle Informationen und lizenzierte Software irreversibel vernichtet und die Datenträger sicher und umweltgerecht entsorgt werden, oder

      b.

      gemäss den Vorgaben der Dienstelle Informatik zu vernichten.

§ 20

Schutz vor Schadsoftware

1

Die Leistungserbringer betreiben Infrastrukturen, mit denen das Eindringen und die Verbreitung von Schadsoftware erkannt und soweit möglich verhindert werden.

3 Nutzung und Missbrauch von Informatikmitteln

§ 21

Grundsätze für die Nutzung

1

Für die Bearbeitung von Informationen des Kantons Luzern dürfen grundsätzlich nur kantonale Informatikmittel verwendet werden. Kantonale Schulen sind von dieser Regelung nicht betroffen.

2

Bei der Verwendung kantonaler Informatikmittel ist zu beachten:

      a.

      Es dürfen nur kantonale Informatikmittel eingesetzt werden, die von den zuständigen Organen zugelassen werden.

      b.

      Die Informatikmittel dürfen grundsätzlich nur zur Erfüllung dienstlicher Aufgaben benutzt werden.

      c.

      Die Verwendung kantonaler Informatikmittel zu privaten Zwecken darf den Dienstbetrieb nicht erschweren oder einschränken und die Sicherheit nicht gefährden.

      d.

      Aus der privaten Nutzung kantonaler Informatikmittel kann kein Rechtsanspruch auf die Verfügbarkeit der Infrastruktur des Kantons Luzern und der privaten Informationen abgeleitet werden.

      e.

      Benutzernamen und Passwörter sind persönlich und nicht übertragbar. Die Passwörter sind geheim zu halten.

3

Die Verwendung nichtkantonaler Geräte ist von dem oder der zuständigen Organisations- und Informatikbeauftragten zu bewilligen. Dabei gilt:

      a.

      Die Dienststelle Informatik legt die mit kantonalen Informatikmitteln und nichtkantonalen Geräten nutzbaren Informatikservices in einer Weisung fest.

      b.

      Die Weisung ist periodisch dem neuesten Stand der Technik anzupassen und bedarf der Genehmigung des Gremiums der Organisationsverantwortlichen (OVG).

      c.

      Die Dienststelle Informatik lehnt die Verantwortung für allfällige auf der Infrastruktur des Kantons Luzern abgelegte nichtkantonale Informationen ab.

      d.

      Benutzernamen und Passwörter sind persönlich und nicht übertragbar. Die Passwörter sind geheim zu halten.

4

Bei der Verwendung nichtkantonaler Geräte ist zu beachten:

      a.

      Für nichtkantonale Geräte erlässt die Dienststelle Informatik Weisungen.

      b.

      Die Dienststelle Informatik legt die Anforderungen an zugreifende Geräte in einer Weisung fest, entscheidet über die zugelassenen Geräte und überprüft die Einhaltung der technischen Anforderungen.

      c.

      Den Anwenderinnen und Anwendern ist zur Kenntnis zu bringen, dass Informationen und Software auf ihren Geräten aus Sicherheitsgründen gelöscht werden können.

      d.

      Anwenderinnen und Anwender stellen sicher, dass ihr nichtkantonales Gerät kein Risiko für die Sicherheit und die Unversehrtheit der Infrastruktur des Kantons Luzern darstellt.

      e.

      Die Verwendung nichtkantonaler Geräte darf den Dienstbetrieb nicht erschweren oder einschränken.

§ 22

Mobile Datenträger und Informatikmittel sowie mobiles Arbeiten

1

Für den sicheren Umgang mit mobilen Datenträgern und Informatikmitteln sind von der Dienststelle Informatik spezielle Weisungen zu erlassen. Insbesondere müssen die Weisungen vorsehen, dass Informationen vor unberechtigten Zugriffen zu schützen sind, und festlegen, welche Informationen auf mobilen Datenträgern und Informatikmitteln gespeichert werden dürfen.

2

Nutzen Anwenderinnen und Anwender einen mobilen Arbeitsplatz, haben sie sich an die geltenden Weisungen und Sicherheitsvorgaben zu halten. Wenn sie hoheitliche Aufgaben erfüllen, hat dies unter Ausschluss der Öffentlichkeit an den von den Organen dafür vorgeschriebenen Arbeitsorten zu erfolgen.

§ 23

Feststellung von Vorkommnissen und Schwachstellen

1

Alle Anwenderinnen und Anwender von Informatikmitteln des Kantons Luzern sind verpflichtet, beobachtete oder vermutete Vorkommnisse oder Schwachstellen, welche eine Gefährdung darstellen für

      a.

      die technische Sicherheit, die Funktionsfähigkeit und die Verfügbarkeit von Informatikmitteln,

      b.

      die Schutzziele gemäss § 7 dieser Verordnung oder

      c.

      den wirtschaftlichen Einsatz von Informatikmitteln,

den zuständigen Organisations- und Informatikbeauftragten ohne Verzug zu melden. Diese entscheiden über das weitere Vorgehen.

2

Vorkommnisse oder Schwachstellen im Zusammenhang mit Personendaten sind von den zuständigen Organisations- und Informatikbeauftragten dem oder der Beauftragten für den Datenschutz zu melden. *

3

Die zuständigen Organisations- und Informatikbeauftragten müssen ein Verfahren vorsehen, das eine schnelle, planmässige und wirksame Reaktion auf sicherheitsrelevante Vorkommnisse ermöglicht. Für Informationen und Informatikmittel mit Verfügbarkeit während 7x24 Stunden ist ein spezielles Notfallkonzept zu erstellen.

§ 24

Nutzung von E-Mail und Internet

1

Mit E-Mail dürfen keine vertraulichen und geheimen Informationen und namentlich keine besonders schützenswerte Personendaten unverschlüsselt übermittelt werden.

2

Vorbehalten bleibt das Versenden von vertraulichen und geheimen Informationen namentlich von besonders schützenswerten Personendaten ohne Verschlüsselung, soweit die Dateneigner der vertraulichen Informationen und bei Personendaten die betroffenen Personen ausdrücklich damit einverstanden sind.

3

Die private Nutzung von Internet und E-Mail ist in beschränktem Umfang zulässig. Sie ist auf ein Minimum zu beschränken und soll in der Regel ausserhalb der Arbeitszeiten stattfinden.

§ 25

Missbrauch der Informatikmittel

1

Missbräuchlich ist jede Verwendung der Informatikmittel, die

      a.

      gegen diese Verordnung verstösst,

      b.

      gegen andere Bestimmungen der Rechtsordnung verstösst,

      c.

      Rechte Dritter verletzt.

2

Missbräuchlich sind insbesondere folgende absichtliche Handlungen:

      a.

      Einrichten, Anschliessen oder Installation von Informatikmitteln entgegen den Bestimmungen dieser Verordnung,

      b.

      Einloggen mit einem fremden Benutzerpasswort,

      c.

      Nutzung von Informatikservices entgegen den geltenden Weisungen,

      d.

      Manipulation von Informatikmitteln des Kantons, insbesondere Änderungen an vorgegebenen Konfigurationseinstellungen,

      e.

      Ausnutzen von Fehlkonfigurationen,

      f.

      Vorkehrungen zur Störung des Betriebs von Computern oder Netzwerken,

      g.

      Erstellen, Speichern, Ausführen und Verbreiten von Fernsteuerungs-, Spionage- und Virenprogrammen (z.B. Viren, trojanische Pferde, Würmer oder Scripte),

      h.

      Versenden von E-Mails in Täuschungs- oder Belästigungsabsicht und private Massenversendungen,

      i.

      Zugreifen auf Informationen mit rassistischem, sexistischem, pornografischem oder gewaltverherrlichendem Inhalt sowie deren Erfassung, Verarbeitung, Speicherung und Übermittlung, soweit die Handlungen nicht im Rahmen eines dienstlichen Auftrags erfolgen,

      j.

      widerrechtliches Kopieren von Informationen oder Software jeglicher Art,

      k.

      widerrechtliches Bereitstellen, Verbreiten und Verwenden von urheberrechtlich geschützten Werken jeglicher Art (insbes. Filme, Musik und Fotos).

3

Zur Gewährleistung der Sicherheit der Informatikmittel ist es dem oder der kantonalen Beauftragten für Informationssicherheit erlaubt, anerkannte Werkzeuge und Methoden für die Schwachstellenanalyse einzusetzen. Er oder sie kann eine externe Stelle mit dieser Analyse beauftragen. Der Leiter oder die Leiterin der Dienststelle Informatik ist vorgängig über die beabsichtigte Überprüfung zu informieren.

§ 26

Notfallzugriff auf Informationen und E-Mails

1

Kann in einem dienstlichen Notfall vom betroffenen Anwender oder von der betroffenen Anwenderin  nicht vorgängig die Zustimmung eingeholt werden, so kann bei den Organisations- und Informatikbeauftragten, beim Leiter oder bei der Leiterin der Dienststelle Informatik, bei deren Stellvertretung oder bei dem oder der kantonalen Beauftragten für Informationssicherheit Antrag gestellt werden, damit unter Aufsicht des oder der kantonalen Beauftragten für Informationssicherheit oder deren Stellvertretung auf das Postfach oder auf Dateien des persönlichen Laufwerks des Anwenders oder der Anwenderin zugegriffen werden kann, um dringend benötigte dienstliche Informationen zu beschaffen. Auf privat gekennzeichnete Unterordner, offensichtlich private oder als solche gekennzeichnete E-Mails oder Dateien darf nicht zugegriffen werden. Der betroffene Anwender oder die betroffene Anwenderin ist vom Leiter oder von der Leiterin der Dienststelle Informatik über den Vorgang schriftlich zu informieren.

4 Überwachung und Kontrollen

§ 27

Zweck von Überwachung und Kontrolle

1

Die Massnahmen und Tätigkeiten zur Überwachung und Kontrolle der Informatikmittel dienen in erster Linie der Überprüfung und der Gewährleistung

      a.

      der technischen Sicherheit,

      b.

      der Funktionsfähigkeit,

      c.

      der Verfügbarkeit der Informatikmittel.

2

Überwachungs- und Kontrollmassnahmen dienen zudem

      a.

      der Überprüfung und der Gewährleistung der Schutzziele gemäss § 7 dieser Verordnung,

      b.

      der Prävention des Missbrauchs von Informatikmitteln,

      c.

      dem personenbezogenen Nachweis des Missbrauchs von Informatikmitteln,

      d.

      der Sicherstellung des wirtschaftlichen Einsatzes von Informatikmitteln.

§ 28

Zuständigkeit für die Überwachung und Kontrolle

1

Die Organe und die Dienststelle Informatik haben die Informatikmittel in ihrem Zuständigkeitsbereich zu überwachen und zu kontrollieren.

2

Die zuständigen Organe können die Ausführung von Aufgaben im Bereich der Überwachung und Kontrolle an andere Organe oder unabhängige Dritte delegieren. Der Leiter oder die Leiterin der Dienststelle Informatik und der oder die Beauftragte für den Datenschutz sind durch die Organe vor der Delegation rechtzeitig zu orientieren. *

§ 29

Überwachungs- und Kontrollmassnahmen

1

Informatikmittel werden, soweit wirtschaftlich und technisch sinnvoll, mit geeigneten technischen und organisatorischen Massnahmen vor unerwünschten Einwirkungen, technischen Störungen und missbräuchlicher Nutzung geschützt. Die Wirksamkeit der technischen Massnahmen wird mit Systemüberwachungssoftware und mittels Auswertung von Protokolldaten gewährleistet.

2

E-Mails inklusive Attachments und als privat gekennzeichnete Informationen dürfen ohne vorgängige Zustimmung der betroffenen Personen nicht gelesen werden.

3

Unzulässig sind die Erstellung und die Auswertung von Protokolldaten mit dem einzigen Zweck, personenbezogene Nutzungsprofile von Informatikmitteln zu erhalten. Ausgenommen sind Auswertungen, wenn Störungen festgestellt werden, welche die technische Sicherheit, die Funktionsfähigkeit oder die Verfügbarkeit der Informatikmittel ernsthaft gefährden, sowie Auswertungen bei begründetem Verdacht auf Missbrauch der Informatikmittel oder bei strafrechtlichen Vorfällen.

4

Technische Überwachungs- und Kontrollinstrumente sowie Filtersperren sind zulässig.

5

Gesicherte und archivierte Protokolldaten dürfen nur im Rahmen der gesetzlichen Vorgaben verwendet werden.

6

Protokolldaten dürfen nur anonymisiert an Dritte übergeben werden. Ist es für die Gewährleistung der technischen Sicherheit, der Funktionsfähigkeit oder der Verfügbarkeit der Informatikmittel zwingend, kann ausnahmsweise auf die Anonymisierung verzichtet werden. Vor der Übergabe von Protokolldaten an Dritte muss mit diesen eine Geheimhaltungsvereinbarung abgeschlossen werden.

§ 30

Anonyme Auswertungen von Protokolldaten

1

Die Organisations- und Informatikverantwortlichen, der Leiter oder die Leiterin der Dienststelle Informatik, deren Stellvertretung und der oder die kantonale Beauftragte für Informationssicherheit können einzelne anonyme Auswertungen zur Überprüfung der Zweckerfüllung der Überwachungs- und Kontrollmassnahmen anordnen. Die eingesetzten Systemverantwortlichen sind für die Durchführung der angeordneten anonymen Auswertungen und für Auswertungen im Rahmen ihres dienstlichen Auftrages verantwortlich. Die Auswertungen können von der Dienststelle Informatik oder von Dritten manuell oder maschinell mittels spezieller Software durchgeführt werden.

2

Anonyme Auswertungen zur Gewährleistung der technischen Sicherheit, der Funktionsfähigkeit oder der Verfügbarkeit der Informatikmittel sind uneingeschränkt erlaubt.

§ 31

Personenbezogene Auswertungen von Protokolldaten

1

Die zuständigen Departementssekretärinnen und -sekretäre, der Staatsschreiber oder die Staatsschreiberin, der Präsident oder die Präsidentin des Kantonsgerichtes, der Leiter oder die Leiterin der Dienststelle Informatik und der oder die kantonale Beauftragte für Informationssicherheit können ausnahmsweise einzelne personenbezogene Auswertungen zur Gewährleistung der technischen Sicherheit, der Funktionsfähigkeit oder der Verfügbarkeit der Informatikmittel anordnen, wenn eine ernsthafte Gefährdung besteht und personenbezogene Auswertungen zur Störungsbehebung unumgänglich sind.

2

Bei begründetem Verdacht auf Missbrauch von Informatikmitteln können die Departementssekretärinnen und -sekretäre, der Staatsschreiber oder die Staatsschreiberin und der Präsident oder die Präsidentin des Kantonsgerichtes ausnahmsweise einzelne personenbezogene Auswertungen anordnen, welche sich auch auf den Inhalt von E-Mails und auf Internetzugriffe beziehen. Über personenbezogene Auswertungen, welche sich auf den Inhalt von E-Mails und auf Internetzugriffe beziehen, müssen betroffene Personen sowie der oder die Beauftragte für den Datenschutz vorgängig schriftlich informiert werden. *

3

Der Leiter oder die Leiterin der Dienststelle Informatik ist für die Durchführung von personenbezogenen Auswertungen zuständig. Die Auswertungen können manuell oder mittels spezieller Software durchgeführt werden.

4

Dem oder der Beauftragten für den Datenschutz und den betroffenen Personen ist nachträglich über die durchgeführten Auswertungen Bericht zu erstatten. Den betroffenen Personen sind die sie betreffenden Auswertungsresultate mitzuteilen, ausser wenn eine solche Auswertung im Rahmen eines Ermittlungs- oder Strafverfahrens erfolgt ist und die Strafprozessordnung darauf Anwendung findet. *

§ 32

Aufbewahrung von Protokolldaten

1

Protokolldaten werden mindestens sechs Monate und längstens zwei Jahre beziehungsweise spätestens bis zum Abschluss eines Straf-, Zivil- oder Verwaltungsverfahrens aufbewahrt.

2

Personenbezogene Protokolle und Protokolldaten werden sechs Monate beziehungsweise spätestens bis zum Abschluss eines Straf-, Zivil- oder Verwaltungsverfahrens aufbewahrt und danach irreversibel vernichtet.

3

Nach Ablauf der Aufbewahrungsfrist werden die Protokolldaten gelöscht. Archiv-, Backup- und Sicherungsdaten bleiben davon unberührt.

4

Archiv-, Backup- und Sicherungsdaten dürfen nur innerhalb der Fristen gemäss den Absätzen 1 und 2 zum Zweck der Kontrolle und zur Überwachung des Nutzerverhaltens verwendet werden.

5 Überprüfung des Vollzugs

§ 33

Vollzug

1

Der Regierungsrat und der Präsident oder die Präsidentin des Kantonsgerichtes sind für die Überprüfung des Vollzugs dieser Verordnung mittels Auswertung von Protokolldaten zuständig.

2

Die gemäss Absatz 1 zuständige Behörde kann durch den Leiter oder die Leiterin der Dienststelle Informatik unter den Voraussetzungen gemäss § 30 anonyme Plausibilitätskontrollen (Stichproben) über eine beschränkte vergangene oder zukünftige Benutzungsdauer durchführen lassen, um den Vollzug dieser Verordnung zu überprüfen.

3

Besteht begründeter Verdacht auf Missbrauch von Informatikmitteln, kann die gemäss Absatz 1 zuständige Behörde unter den Voraussetzungen gemäss § 31 personenbezogene Auswertungen von Protokolldaten durchführen lassen.

§ 34

Sanktionen

1

Bei Verstoss gegen die Rechtsordnung im Zusammenhang mit der Nutzung von Informatikmitteln und bei Verstoss gegen diese Verordnung können die personalrechtlich vorgesehenen Sanktionen ergriffen werden, soweit für die betroffenen Personen das Personalrecht des Kantons Luzern anwendbar ist.

2

Gegen Lernende der kantonalen Schulen, welche im Zusammenhang mit der Nutzung von Informatikmitteln gegen die Rechtsordnung oder gegen diese Verordnung verstossen, können bildungsrechtlich vorgesehene Massnahmen ergriffen werden.

3

Die Strafverfolgung und die Geltendmachung zivilrechtlicher Ansprüche bleiben vorbehalten.

§ 35

Umsetzungsfristen

1

Die Umsetzung der §§ 15 Absatz 4, 20 und 32 Absatz 1 hat bis zum 31. Dezember 2018 zu erfolgen.

2

Die Umsetzung der §§ 8 Absatz 3 und 24 Absatz 1 hat bis zum 31. Dezember 2022 zu erfolgen. *

  G 2016-54


text:
27

  Gesetz
  über die amtlichen Veröffentlichungen

  (Publikationsgesetz)

  vom 20.03.1984 (Stand 01.07.2015)

  Der Grosse Rat des Kantons Luzern,

    nach Einsicht in die Botschaft des Regierungsrates vom 28. Februar 1983[1],

  beschliesst:

1 Allgemeines

§ 1

Amtliche Veröffentlichungen

1

Die amtlichen Veröffentlichungen erfolgen im Luzerner Kantonsblatt, in der Gesetzessammlung des Kantons Luzern, in den Verhandlungen des Kantonsrates und in den Luzerner Gerichts- und Verwaltungsentscheiden, sofern die Rechtsordnung nichts anderes vorsieht. *

2

Rechtsetzende Erlasse oder einzelne Bestandteile von Erlassen, die sich zur Veröffentlichung nach Absatz 1 nicht eignen, werden durch öffentliche Auflage amtlich bekanntgemacht. Die öffentliche Auflage ist im Kantonsblatt anzuzeigen.

3

In Notfällen genügt eine vorläufige Bekanntmachung des wesentlichen Inhalts durch Anschlag, Mitteilung an die Medien oder auf andere Weise.

§ 2

Anordnung

1

Die amtlichen Veröffentlichungen werden, soweit sie nicht durch die Rechtsordnung vorgeschrieben sind, durch die Behörde angeordnet, welche den entsprechenden Beschluss fasst.

2

Zur Anordnung der amtlichen Veröffentlichungen der Luzerner Gerichts- und Verwaltungsentscheide ist die Behörde zuständig, welche die Entscheide erlassen hat.

§ 3

Wirkung

1

Mit dem Tag der amtlichen Veröffentlichung gilt deren Inhalt als bekannt.

2 Amtliche Publikationsorgane

2.1 Luzerner Kantonsblatt

§ 4

Zweck

1

Das Luzerner Kantonsblatt dient als allgemeines Publikationsorgan für die amtlichen Veröffentlichungen im Kanton.

§ 5

Inhalt

1

Das Luzerner Kantonsblatt besteht aus einem amtlichen Teil und aus einem Inseratenteil.

2

Im amtlichen Teil des Luzerner Kantonsblattes werden veröffentlicht:

      a.

      die vom Kantonsrat[2] beschlossenen Verfassungsänderungen,

      b.

      die vom Kantonsrat beschlossenen Gesetze, Konkordate und Dekrete mit Angabe der Referendumsfrist,

      c. *

      Kantonsratsbeschlüsse, die gestützt auf besonderen Beschluss des Kantonsrates zu veröffentlichen sind,

      d.

      Mitteilungen und Berichte über weitere Geschäfte des Kantonsrates von allgemeinem Interesse,

      e.

      Beschlüsse des Regierungsrates, der Gerichtsbehörden und der kantonalen Verwaltung, soweit die Veröffentlichung vorgeschrieben ist,

      f.

      weitere Mitteilungen des Regierungsrates, der Gerichtsbehörden und der kantonalen Verwaltung, soweit die Veröffentlichung vorgeschrieben oder von allgemeinem Interesse ist,

      g.

      Beschlüsse der Gemeinden und Landeskirchen, soweit deren Veröffentlichung im Luzerner Kantonsblatt vorgeschrieben ist,

      h.

      weitere Mitteilungen der Gemeinden und der Landeskirchen von allgemeinem Interesse,

      i.

      Mitteilungen von Bundesbehörden und ausserkantonalen Behörden auf deren Gesuch hin.

§ 6

Erscheinungsweise

1

Das Luzerner Kantonsblatt erscheint in der Regel jede Woche am Samstag.

2

Die einzelnen Ausgaben eines Jahrganges werden nummeriert und fortlaufend mit Seitenzahlen versehen. Für die Zusammenfassung der einzelnen Jahrgänge werden Ordner herausgegeben.

3

Zu jedem Jahrgang wird ein Sachregister erstellt.

§ 7

Publikationsgebühren

1

Die Staatskanzlei erhebt für die amtlichen Veröffentlichungen im Luzerner Kantonsblatt Gebühren.

2

Die gebührenpflichtigen Behörden und Dienststellen können die Gebühren auf die Personen überwälzen, welche die amtliche Veröffentlichung verursacht haben.

3

Von kantonalen Behörden und Dienststellen werden nur dann Gebühren erhoben, wenn diese auf Dritte überwälzt werden können.

4

Die Gebührenansätze werden vom Regierungsrat festgelegt.

2.1a ... *

§ 8 *

    …

2.2 Gesetzessammlung des Kantons Luzern *

§ 9

Bezeichnung und Inhalt

1

Unter dem Titel «Gesetzessammlung des Kantons Luzern» werden die kantonalen Erlasse mit rechtsetzendem Inhalt fortlaufend veröffentlicht. *

2

Die Gesetzessammlung des Kantons Luzern enthält

      a.

      die Verfassung sowie die Verfassungsänderungen, welche in der Volksabstimmung angenommen wurden,

      b.

      die Gesetze und Konkordate sowie Dekrete, soweit diese auch Rechtssätze enthalten, welche in der Volksabstimmung angenommen wurden oder gegen die das Referendum innert der gesetzten Frist nicht zustande kam,

      c. *

      die übrigen Erlasse rechtsetzenden Inhalts des Kantonsrates,

      d. *

      die Erlasse rechtsetzenden Inhalts des Regierungsrates, des Kantonsgerichtes und der Organisationen, die zur Rechtsetzung gemäss § 45 Absatz 3 der Kantonsverfassung[3] befugt sind.

§ 10

Erscheinungsweise

1

Die Gesetzessammlung des Kantons Luzern erscheint fortlaufend in Heften, die dem Kantonsblatt beigelegt werden. *

2

Die einzelnen Hefte eines Jahrgangs werden fortlaufend mit Seitenzahlen versehen und jahrweise in einem Ordner zusammengefasst.

3

Zu jedem Jahrgang werden ein Sachregister und ein chronologisches Register erstellt.

2.3 Verhandlungen des Kantonsrates des Kantons Luzern *

§ 11 *

Veröffentlichung der Verhandlungen des Kantonsrates

1

Die Verhandlungen des Kantonsrates werden nach den Vorschriften des Parlamentsrechts im Internet veröffentlicht.

§ 12 *

    …

2.4 Luzerner Gerichts- und Verwaltungsentscheide *

§ 13 *

Bezeichnung und Inhalt

1

In einer Datenbank im Internet werden unter der Bezeichnung «Luzerner Gerichts- und Verwaltungsentscheide» (LGVE) Leitentscheide der Gerichts- und Verwaltungsbehörden veröffentlicht.

2

In der Datenbank können auch Weisungen und weitere Entscheide veröffentlicht werden.

§ 14 *

    …

2.5 Redaktion, Herausgabe und Verbreitung der amtlichen Publikationen *

§ 15 *

Redaktion

1

Der Staatskanzlei obliegt, unter Vorbehalt von Absatz 2, die Gesamtredaktion des Luzerner Kantonsblattes sowie die Redaktion der Gesetzessammlung des Kantons Luzern, der Verhandlungen des Kantonsrates des Kantons Luzern und, in Zusammenarbeit mit den Departementen, der Leitentscheide der Verwaltungsbehörden.

2

Dem Kantonsgericht obliegt, unter Vorbehalt von Absatz 1, die Gesamtredaktion der Entscheid-Datenbank und die Redaktion des gerichtlichen Teils des Luzerner Kantonsblattes.

§ 16 *

Herausgabe

1

Die Staatskanzlei gibt das Luzerner Kantonsblatt und die Gesetzessammlung des Kantons Luzern heraus und betreibt und pflegt im Internet eine Datenbank zur Veröffentlichung der Verhandlungen des Kantonsrates. *

2

Das Kantonsgericht betreibt und pflegt im Internet eine Datenbank zur Veröffentlichung der Luzerner Gerichts- und Verwaltungsentscheide.

3

Der Regierungsrat legt für den Inseratenteil des Kantonsblattes die Bedingungen fest.

4

Das Luzerner Kantonsblatt wird verbreitet durch:

      a.

      Abonnemente,

      b.

      Verkauf von Einzelexemplaren,

      c.

      Abgabe von Freiexemplaren.

5

Der Regierungsrat legt den Abonnementspreis des Kantonsblattes fest und regelt die Abgabe von Freiexemplaren.

§ 17 *

Auflage zur Einsicht

1

Die Staatskanzlei, das Staatsarchiv und die Gemeinden legen das Luzerner Kantonsblatt und die Gesetzessammlung des Kantons Luzern zur Einsicht auf. Die Gemeinden bewahren diese Publikationen während mindestens zehn Jahren auf.

2

In den Gastgewerbebetrieben ist das Luzerner Kantonsblatt zur Einsicht aufzulegen.

3 ... *

3.1 ... *

§ 18 *

    …

3.2 … *

§ 19 *

    …

§ 20 *

    …

4 Systematische Rechtssammlung des Kantons Luzern *

§ 21 *

Inhalt und Zweck

1

Die Systematische Rechtssammlung des Kantons Luzern (SRL) besteht aus den systematisch geordneten, bereinigten geltenden kantonalen Erlassen mit rechtsetzendem Inhalt. *

2

Die SRL wird in einer Datenbank im Internet veröffentlicht und laufend nachgeführt mit dem Ziel, dass geltendes Luzerner Recht ab dem Zeitpunkt seines Inkrafttretens in aller Regel darin publiziert ist.

3

Die Staatskanzlei, das Staatsarchiv und die Zentral- und Hochschulbibliothek gewährleisten für die Öffentlichkeit die Einsichtnahme in die SRL in geeigneter Form.

4

Einzelne Erlasse werden von der Staatskanzlei gegen Gebühr in Broschürenform abgegeben.

§ 22 *

    …

§ 23 *

Redaktion und Herausgabe

1

Die Redaktion und die Herausgabe der SRL obliegen der Staatskanzlei.

2

Ändert sich die Bezeichnung eines Verwaltungsorgans oder dessen Zuordnung zu einem Departement aufgrund von Organisationsentscheiden des Regierungsrates oder von Beschlüssen des Gesetzgebers, passt die Staatskanzlei die Bezeichnungen in den geltenden Erlassen an. Eine formelle Änderung der entsprechenden Erlasse ist nicht erforderlich.

3

Die Departemente wirken bei der Nachführung von Erlassen ihres Zuständigkeitsbereichs mit. Sie melden neue Bezeichnungen und Zuordnungen umgehend der Staatskanzlei.

4

Die Staatskanzlei ist befugt, formelle Änderungen an den SRL-Erlassen vorzunehmen, welche sich aus den Anforderungen der digitalen Redaktion und Publikation ergeben.

§ 24 *

    …

5 Schlussbestimmungen

§ 25

Aufhebung bisherigen Rechts

1

Durch dieses Gesetz wird das Gesetz über die amtlichen Bekanntmachungen vom 30. Mai 1883[4] aufgehoben.

§ 26

Übergangsbestimmung

1

Erlasse mit rechtsetzendem Inhalt, welche vor dem Inkrafttreten dieses Gesetzes im vorgeschriebenen Publikationsorgan nicht veröffentlicht wurden, gelten mit dem Erscheinen in der Systematischen Rechtssammlung als veröffentlicht und für jedermann bekannt.

§ 26a *

Übergangsbestimmung der Änderung vom 1. Dezember 2014

1

Das Verzeichnis der geltenden Erlasse, die Einzelausgaben und die Nachführungen der SRL und der «Kleinen Rechtssammlung des Kantons Luzern» werden so lange weiter produziert und gegen Entgelt oder kostenfrei abgegeben, als das Ziel gemäss § 21 Absatz 2 noch nicht erreicht ist.

§ 27

Inkrafttreten

1

Dieses Gesetz tritt am 1. Juli 1984 in Kraft. Es unterliegt dem fakultativen Referendum[5].

  G 1984 45