Seitenhistorie

Ein zweiter wesentlicher Aspekt bei der Umsetzung von EfA-Leistungen ist die rechtliche Abbildung der länderübergreifenden Kooperation.

...

Anforderung R1: „Das verantwortliche Land MUSS eine geeignete rechtliche Mitnutzungsmöglichkeit für Leistungen im Landesvollzug und übertragenen Wirkungskreis anbieten (z.B. Verwaltungsvereinbarung, FIT-Store, govdigital Marktplatz).“"
Anforderung R2: „Das verantwortliche Land MUSS für den Online-Dienst über ausreichende Lizenzrechte für die Nutzung durch andere Länder und Kommunen verfügen."

Wie in der ersten rechtlichen Mindestanforderung bereits angedeutet gibt es aktuell im Wesentlichen zwei Optionen, wie Länder eine Kooperation im Rahmen eines EfA-Projekts aus juristischer Sicht ermöglichen können: Den Abschluss einer leistungsspezifischen Verwaltungsvereinbarung mit Hilfe der Blaupause Verwaltungsabkommen oder den Abschluss von bilateralen Verträgen mit der FITKO AöR (FITKO) im Rahmen des FIT-Stores.

...

Neben der vergaberechtskonformen Abwicklung der Nachnutzung stellen Datenschutz sowie Datensicherheit und IT-Sicherheit einen weiteren Themenkomplex mit rechtlichem Bezug dar, in dem sich aufgrund der länderübergreifenden Strukturen von EfA-Diensten komplexe Anforderungen ergeben. Die Perspektive des BMI auf zentrale datenschutzrechtliche Fragestellungen im OZG wurde im Rahmen einer datenschutzrechtlichen Einordnung dokumentiert, die über das OZG-Programmmanagement verfügbar ist und sich in weiterer Abstimmung mit FITKO und Datenschutzkonferenz (DSK) befindet.

Die EfA-Mindestanforderungen legen mit Blick auf die IT-Sicherheit folgendes Vorgehen fest:

Anforderung S1: "Der Online-Dienst MUSS über eine security.txt gemäß RFC 9116 verfügen. Ein interner Prozess zum Umgang mit Responsible-Disclosure-Meldungen muss etabliert sein."

In bisherigen EfA-Umsetzungen wie etwa dem Projekt Wohngeld hat sich gezeigt, dass diese Themen z.T. erheblicher Vorlauf- und Klärungszeiten bedürfen und dementsprechend direkt nach Projektstart adressiert werden sollten. Insbesondere die Abgrenzung der Verantwortlichkeiten zwischen den beteiligten Akteuren kann Herausforderungen bereithalten und bedarf üblicherweise einer sorgfältigen Betrachtung der Spezifika des geplanten Online-Dienstes. Alle Daten- und Grundschutzanforderung sollten daher möglichst frühzeitig geklärt und als eigene Arbeitspakete unter Einbeziehung von Fach-experten/ -Spezialisten behandelt werden.

...