(1)
Die Stellen nach § 1 Nr. 1 und 2, mit Ausnahme der Schulen in öffentlicher Trägerschaft sowie genehmigter und anerkannter Ersatzschulen im Sinne des Hessischen Schulgesetzes, treffen angemessene technische und organisatorische Maßnahmen zur Gewährleistung der Informationssicherheit. Hierbei soll der Stand der Technik maßgeblich sein. Maßnahmen sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den möglichen Folgen der Verletzung der Schutzziele steht. Um die Erreichung und Aufrechterhaltung eines angemessenen Informationssicherheitsniveaus zu gewährleisten, haben die Stellen nach § 1 Nr. 1 und 2 sich an der IT-Grundschutzmethodik des Bundesamtes für Sicherheit in der Informationstechnik zu orientieren und setzen ein Informationssicherheitsmanagementsystem um.
(2)
Die jeweils geltenden Standards und das jeweils geltende IT-Grundschutz-Kompendium des Bundesamtes für Sicherheit in der Informationstechnik werden zur Anwendung empfohlen. Werden dem Land Hessen Informationssicherheitsstandards verbindlich durch Beschlüsse des IT-Planungsrates nach Art. 91c Abs. 2 Satz 1 des Grundgesetzes für die Bundesrepublik Deutschland i. V. m. § 1 Abs. 1 Satz 1 Nr. 2 des IT-Staatsvertrages vom 30. Oktober 2009 bis 30. November 2009 (GVBl. I 2010 S. 65, 66), geändert durch Staatsvertrag vom 15. März 2019 bis 21. März 2019 (GVBl. S. 150, 151), vorgeschrieben oder nach § 5 des Onlinezugangsgesetzes vom 14. August 2017 (BGBl. I S. 3122, 3138), zuletzt geändert durch Gesetz vom 28. Juni 2021 (BGBl. I S. 2250), in der jeweils geltenden Fassung, festgelegt, sind diese Standards durch die Stellen nach § 1 Nr. 1 und 2 bei den von ihnen eingesetzten informationstechnischen Systemen einzuhalten.
(3)
Die Verantwortung für die Gewährleistung der Informationssicherheit im Sinne des Abs. 1 trägt die jeweilige Leiterin oder der Leiter der Stelle für ihren oder seinen jeweiligen Verantwortungsbereich. Sie oder er stellt im Rahmen der ihr oder ihm zugewiesenen Aufgaben und Befugnisse die erforderlichen personellen und finanziellen Ressourcen zur Verfügung. Für jede Stelle nach § 1 Nr. 1 und 2 ist eine Informationssicherheitsbeauftragte oder ein Informationssicherheitsbeauftragter und deren oder dessen Vertretung zu benennen. Für die Geschäftsbereiche der Staatskanzlei und der Ministerien der hessischen Landesverwaltung sind jeweils zentrale Informationssicherheitsbeauftragte des Geschäftsbereichs (Ressort-ISB) zu benennen; diese unterstützen die Leitung des Geschäftsbereichs in Belangen der Informationssicherheit.
(4)
Wesentliche Änderungen an den informationstechnischen Systemen einer Stelle nach § 1 Nr. 1 und 2 dürfen nur im Benehmen mit der oder dem nach Abs. 3 Satz 3 benannten Informationssicherheitsbeauftragten durchgeführt werden.
(5)
Den Stellen nach § 1 Nr. 3 und den Schulen in öffentlicher Trägerschaft sowie den genehmigten und anerkannten Ersatzschulen im Sinne des Hessischen Schulgesetzes wird die Einhaltung der Grundsätze nach Abs. 1 bis 4 empfohlen.