(1)
Im Anwendungsbereich des § 3 sind bei der Ausgestaltung der zur Verarbeitung von Daten eingesetzten Anwendungssoftware und dem Betrieb der IT die Grundsätze der Datensparsamkeit und Datenvermeidung zu beachten.
(2)
Die in der Datenverarbeitung tätigen Auftragsverarbeiter sowie in der Datenverarbeitung tätige Dienststellen (datenverarbeitende Stellen) haben eine sichere Verarbeitung der zu schützenden Daten unter Beachtung des Standes der Technik zu gewährleisten.
(3)
Bei dem Betrieb der IT und der Datenverarbeitung haben sie unter Beachtung des Standes der Technik insbesondere sicherzustellen, dass
1.
keine unbefugten Einsichtnahmen und Eingriffe in die richterliche, rechtspflegerische und staatsanwaltschaftliche Tätigkeit erfolgen,
2.
unbefugte Übermittlungen und sonstige Verarbeitungen nach § 3 geschützter Daten unterbleiben,
3.
keine unbefugten Veränderungen der technischen Zugriffsberechtigungen erfolgen und
4.
die Funktionsfähigkeit der IT nicht eingeschränkt wird.
(4)
Die datenverarbeitenden Stellen erstellen Sicherheitskonzepte, die eine effektive Kontrolle durch die IT-Kontrollkommission und die zuständige Behörde gewährleisten. Dazu gehört die Etablierung geeigneter Mechanismen zur internen Kontrolle, mittels derer sicherheitsrelevante Betriebsabläufe und Zustände regelmäßig nachvollziehbar daraufhin überprüft werden, ob unbefugte Zugriffe, Unregelmäßigkeiten oder Probleme des ordnungsgemäßen Betriebs aufgetreten sind. Zugriffe durch Administratorinnen und Administratoren sind revisionssicher zu protokollieren, es sei denn, der Zugriff erfolgt mit ausdrücklicher Einwilligung der oder des unmittelbar Berechtigten. Die Einwilligung soll protokolliert werden. Die Konzepte und Protokolle sind der zuständigen Behörde, den Leitungen der Gerichte und Staatsanwaltschaften für ihren jeweiligen Geschäftsbereich sowie der IT-Kontrollkommission auf Verlangen zugänglich zu machen.
(5)
Die Inhaberinnen und Inhaber administrativer Zugänge sind der IT-Kontrollkommission sowie für ihren jeweiligen Geschäftsbereich den Leitungen der Gerichte und Staatsanwaltschaften bekanntzugeben.
(6)
Sicherheitsrelevante Ereignisse sind der IT-Kontrollkommission, der zuständigen Behörde und den Leitungen der Gerichte und Staatsanwaltschaften innerhalb angemessener Frist zu melden.
(7)
Der Senat wird ermächtigt, Einzelheiten zu den technischen Anforderungen, zu internen Kontrollmechanismen, zur Protokollierung und den Aufbewahrungsfristen, zu Meldepflichten im Sinne des Absatzes 6 und zu den Sicherheitskonzepten durch Rechtsverordnung zu regeln. Der Senat kann die Ermächtigung durch Rechtsverordnung auf die zuständige Behörde weiter übertragen. Bei Erlass oder Änderungen der Verordnung nach Satz 1 sind die Leitungen der Gerichte und Staatsanwaltschaften sowie die IT-Kontrollkommission zu beteiligen.