Beilage 2.4 Tagesordnung Rechnungsprüfungsausschuss 20.12.2004 Überörtliche Prüfung der Jahresrechnungen 1994 - 2002 der Stadt Nürnberg. hier: Teilbericht 1 — Informationstechnik (IT)
l. 1 Rpr hat mit Schreiben vom 17.09.2004 OrgA gebeten, die Erledigung bzw. den Sachstand zu verschiedenen Feststellungen des Prüfungsberichts des BKPV mitzuteilen. Nachfolgend wird der Sachstand der von Rpr aufgeführten Teilziffern dargestellt.
2 Sachstand zu den einzelnen Teilziffern
2.1 Teilziffer 1a — „Datensicherheit“
Beanstandet wurde die Verwendung einer Kennwort-Logik für ein durch OrgA/luK-2 genutztes Administratorenkonto in den Domänen, durch das alle Mitarbeiterinnen und Mitarbeiter dieses Bereichs Zugriff auf Informationen haben. Im Rahmen der Migration des Mailsystems von cc:Mail auf Outlook/Exchange, welche auch die Einführung des Verzeichnisdienstes ADS (Active Directory Services) nach sich zieht, wird die beanstandete Kennwort-Logik durch individuell zugeordnete Administratorenkonten abgelöst. Die Migration ist nach jetzigem Kenntnisstand im Juni 2005 abgeschlossen, so dass dann die alte Kennwort-Logik vollständig ersetzt ist. Die Beschränkung des Zugriffs auf nur die Ressourcen, die von der Mitarbeiterin oder dem Mitarbeiter in direkter Zuständigkeit betreut wird, ist jedoch weiterhin nicht praxisgerecht. Neben dem zugeordneten Betreuungsbereich, für den eine Gruppenvertretung gilt, haben sich die Mitarbeiterinnen und Mitarbeiter bei OrgA/luK-2 in Querschnittsbereichen spezialisiert. In dieser Eigenschaft ist es unerlässlich administrativ auf Ressourcen zugreifen zu können, die nicht dem unmittelbaren Betreuungsbereich zugeordnet sind. Aufgrund des personalisierten Administratorenkontos ist eine Nachvollziehbarkeit im Rahmen der üblichen Protokollierung gewährleistet.
2.2 Teilziffer 2a — „Sicherheitsregeln"
Mit der Einführung einer komplett neuen Firewall-Technik Mitte des Jahres 2003 sind ein Großteil der aufgeführten Regeln nicht mehr oder zumindest nicht mehr in dieser Form existent (Hinweis: Die Nummerierung der Regeln stimmte mit dem heutigen Regelwerk nicht mehr überein). Bei der Implementierung der neuen Firewall wurden Zugriff und Services (s. Regel 7 und 13) eingeschränkt.
Eine zeitliche Beschränkung der Services FTP, Telnet, PCANYWHERE (s. Regel 35) ist wegen der damit verbunden Dienste (z.B. Teleservice) nicht möglich. Zum einen wird teilweise Fernwartung mit dem Ziel einer Rund-um-die-Uhr-Verfügbarkeit des Supports abgeschlossen (z. B. bei E-Government-Anwendungen wie dem Theaterkartenvorverkauf), zum anderen wird die zeitliche Verfügbarkeit dieser Zugänge durch Vorgaben bei der Fernwartung eingeschränkt. Dazu wird in Abstimmung mit dem DSB in diesem Jahr eine entsprechende Dienstanweisung veröffentlicht
Regel 1 u. 3 sind nach wie vor in dieser Form existent, da der Server MAIN für Proxy und SMTP als Backup-Server dient und damit diese Services benötigt, die kein Sicherheitsrisiko darstellen.
Um der Empfehlung, den PROXY in der DMZ einzurichten (was aus OrgA-Sicht nicht unbedingt erforderlich ist), zu folgen, müsste ein zweites PROXY(-Gateway) beschafft werden.
2.3 Teilziffern 4a, b - „Datensicherung"
Teilziffer 4a - Langzeitarchivierung
Im Rahmen der Anschaffung eines Dokumentenmanagementsystems (DMS) wurde auch ein zur Langzeitarchivierung geeignetes optisches Speichersystem (WORM) beschafft. Die Anbindung dieses Speichersystems ist technisch eng mit dem verwendeten DMS verbunden. Derzeit steht die grundsätzliche Entscheidung an, ob eine neuere Version des DMS eingeführt werden soll. Mit der Einführung einer neueren DMS-Version ist auch eine geänderte Anbindung des Speichersytems verbunden, was wiederum Auswirkungen auf die Möglichkeiten einer Nutzung zur Langzeitarchivierung hat. Vor der Erstellung einer Konzeption zur Langzeitarchivierung ist es daher sinnvoll, die Grundsatzentscheidung über den Einsatz einer neuen DMS-Version abzuwarten, die nach bisherigem Kenntnisstand nicht vor Januar 2005 fallen wird. Danach erst kann eine Konzeption zur Langzeitarchivierung erstellt und diese Leistung als Dienstleistung für die Dienststellen angeboten werden.
Teilziffer 4b — Auslagerung der Datensicherung
Die Empfehlung des BKPV wurde zwischenzeitlich umgesetzt, seit dem 14.09.2004 sind die Datensicherungsgeräte in einem anderen Gebäude untergebracht.
2.4 Teilziffern 15a, b - „Geographische Informationssysteme"
Gegenüber der schon abgegebenen Stellungnahme des OrgA haben sich folgende Änderungen ergeben: Bei der Feuerwehr soll ein GIS für die Dokumentation des städtischen Leitungsnetzes (Brandmelde-, Fernmelde- und Datennetz) eingeführt werden. Dem „Vereinheitlichungsgebot‘ wurde insoweit Rechnung getragen, als das gleiche System beschafft werden soll wie es bereits beim Tiefbauamt (Straßenbeleuchtung) und bei der N-Ergie (Leitungsdokumentation) im Einsatz ist. Der GIS-Einsatz bei Fw erfolgt mit dem Standard- Datenbanksystem Oracle. Für den Bereich "Vermessung, Kataster und Geographischen Informationssysteme" wurde auf IZ-Ebene ein eigenes Projekt gebildet. Die IZ im Bereich GIS setzt voraus, dass die GIS-Strukturen in den beteiligten Städten analysiert und speziell in Nürnberg einer Schwachstellenanalyse unterzogen werden. Zwischenzeitlich wurde ein externes Beratungsunternehmen mit der Erstellung eines Grobkonzepts und Leistungsverzeichnisses für eine zweite Beratungsstufe beauftragt. Sofern die benötigten Mittel für die Umsetzung des Gesamtvorhabens zur Verfügung gestellt werden, wird im Rahmen der IZ auch die geforderte Gesamtplanung für die GIS der Stadt Nürnberg erstellt werden können.
2.5 Teilziffer 16 — „Bestandsverzeichnisse“
OrgA/luK plant für das nächste Jahr die Leistung „Softwareverteilung“ anzubieten. Zu diesem Zwecke wurde das Produkt Empirum Pro von der Fa. Matrix42 ausgewählt. In diesem Produkt ist neben der Funktion „Softwareverteilung® auch ein Modul „Inventarisierung" enthalten. Es ist geplant, dieses Inventarisierungs-Modul zur Führung des zentralen Bestandverzeichnisses einzusetzen. Voraussetzung für einen stadtweiten Einsatz ist jedoch der Aufbau einer Infrastruktur zur Softwareverteilung, da die Inventarisierung auf diese Infrastruktur aufsetzt. Im Rahmen der Migration des E-Mail-Systems wurde die Inventarisierung zur Erfassung des zu migrierenden Gerätebestands schon erfolgreich eingesetzt. Für die bisher migrierten Dienststellen (ca. 50 Prozent) liegt daher für den Zeitpunkt der Migration ein aktualisierter Datenbestand vor. Eine stadtweite Inventarisierung und damit ein stadtweites Bestandsverzeichnis ist auf dieser Basis nur möglich,
-3-
-3-
wenn alle Dienststellen sich daran beteiligen. Der Einsatz von Empirum ist mit Kosten pro Client verbunden. Derzeit ist eine verpflichtende Teilnahme der Dienststellen an diesem System sowie die Finanzierung noch nicht gesichert. Diese Thematik wird im Projekt „Konsolidierung der IT-Systeme der Stadt Nürnberg“ behandelt werden (siehe auch 2.7).
2.6 Teilziffer 17 — „Leasing“
Innerhalb der Phase 2 des Projektes "IT-Konsolidierung" die Laufzeit von Leasingverträge für IT-Arbeitsplatzausstattungen zu prüfen. Die Durchführung der Projektphase 2. wurde in der Sitzung des POA vom 13.07.2004 und die Vergabe in der Sitzung des BVA vom 21.09.2004 einstimmig beschlossen. Unabhängig vom Ergebnis des Projektes "IT-Konsolidierung" wird die Anregung des BKPV mit den Dienststellen erörtert, die den notwendigen IT-Bedarf über Leasing finanzieren wollen. Als Beispiel wird auf eine aktuelle Beschaffungsmaßnahme von StB verwiesen. Die Entscheidung über die Finanzierungsmethode Leasing und über die Vertragslaufzeit wird aber immer von der auftraggebenden Dienststelle, z. B. StB und nicht von der Beschaffungsdienststelle OrgA getroffen. Die auftraggebende Dienststelle hat bei der Entscheidung zu berücksichtigen, dass Verträge zu Lasten des Verwaltungshaushaltes, aus denen sich mehrjährige Verpflichtungen ergeben, nur abgeschlossen werden dürfen, wenn im Haushaltsjahr der erstmaligen finanziellen Auswirkung die Mittel für die erste Jahresrate zur Verfügung stehen (Ziffer 3.3.3 Abs. 2 AFB).
Die Vergabe von Leasingverträgen erfolgt im Wettbewerb. Die Leasinggeber werden hierzu auf der Grundlage eines speziellen Leistungsverzeichnisses für Leasing aufgefordert, Angebote abzugeben. In dem speziellen Leistungsverzeichnis sind Anregungen des BKPV berücksichtigt (vgl. Anlage).
2.7 Teilziffern 19 und 20 - „Personaleinsatz“ und „IT-Organisation/Betrieb“
Die vom BKPV getroffenen Feststellungsiennd wesentliche Inhalte des Projekts „Konsolidierung der IT-Systeme der Stadt Nürnberg“. Nach dem Abschluss der Phase | dieses Projektes, in dem die Einsparmöglichkeiten aufgrund von Schätzungen ermittelt wurden, steht nun die Phase Il an. Der BVA hat am 21.09.2004 der Phase Il zugestimmt, derzeit laufen mit der Beraterfirma entsprechende Verhandlungen. Voraussichtlich im November 2004 wird mit der Phase Il begonnen, die neben einer Ist-Aufnahme auch die Umsetzungplanung für die verschiedenen Maßnahmen beinhaltet. Für diese Phase ist ein Zeitravuomn ca. 11 Monaten geplant; Rpr ist an diesem Projekt beteiligt.
Il. Herrn Ref. | IA
II. Rpr ,
Nürnberg, 09.11.2004 i [
Amt für Organisation und |
PS a, ‘
—
(3253)*
Anlage 1 Leistungsverzeichnis Leasing
Leistungsverzeichnis Leasing
Wir bitten darum, das ausgefüllte LV bei Angebotsübersendung entweder beizulegen bzw. in Ihrem eigenen Angebot auf die Punkte einzugehen, bei denen weiterer Klärungsbedarf gesehen wird. In dem Fall gehen wir davon aus, dass die nicht angesprochenen Punkte so wie angefragt angeboten werden.
Leasingobjekt:
NR 1 Leasingdauer Monate mit Kaufoption am |[_] JA Ende LINEIN Anmerkungen:
Der Leasingnehmer hat danach das Recht, das Leasingobjekt zum Restkaufwert zu übernehmen!
Leasingsatz: 2 _|ordentliche Kündigung möglich? L_] JA L] NEIN (Leasingerlass 40/90 Regelung) Anmerkungen:
Bitte daraus folgende Zahlungsverpflichtungen angeben!
3 [Inklusive Elektronikversicherung ohne LI JA
Selbstbeteiligung L] NEIN
Anmerkungen:
4 voraussichtlicher Restkaufwert
5 Kündigungsfrist drei Monate zum L1JA Laufzeitende? [] NEIN Anmerkungen:
6 |Gerichtsstand und Erfüllungsort Nürnberg? LJJA [_] NEIN Anmerkungen:
7 |Komponenten (z. B. Platten oder L]JA Speichererweiterungen) können eingebaut und |[_] NEIN ggf. wieder entfernt werden, sie verbleiben im | Anmerkungen: Eigentum des Leasingnehmers
8 defekte Komponenten (z. B. Platten oder L]JA Speicher) können problemlos ersetzt werden. |[_] NEIN Anmerkungen:
9 |Leasingsatz wird nicht aufgrund von |] JA Zinsänderungen erhöht werden, sofern der [NEIN Abschluss des Vertrags bis zum Anmerkungen: stattfindet
10 | Zahlung erfolgt auf Rechnungsstellung (auch L_] JA Dauerrechnung möglich) ohne dass L] NEIN Bearbeitungsgebühr dafür anfällt Anmerkungen:
- | Falls Gerät(e) nach Leasingzeit nicht vom Leasingnehmer gekauft werden:
Rücknahme auf Kosten und Gefahr des L]JA
Leasinggebers? IL] NEIN
Anmerkungen:
Der Leasinggeber wird den Leasingnehmer am |[_] JA Remarketingerlös nach Abzug sämtlicher L] NEIN Kosten (z.B. Transport, Reinigung, Restwert) |Anmerkungen: beteiligen?
12 | Bilanzen oder dgl. können nicht vorgelegt IL] JA
werden [] NEIN
Anmerkungen:
13 Die refinanzierende Bank wird vor einer [JA Übertragung an Dritte zu einer evil. Abwicklung NEIN der Verträge den Leasingnehmer zur Anmerkungen: Genehmigung informieren
14 | Gewährleistung Warlung/Pflege: Vorkehrungen ||] JA tif der Leasingnehmer, IINEIN Anmerkungen:
das Leasingobiekt hat |] Gewährleistungserweiterung auf Monate | | Wartungs-/Pflegevertrag bzw. Supportpack