Vorlage

Informationssicherheit AS ...

2. Kapitel: Allgemeine Massnahmen der Informationssicherheit

1. Abschnitt: Grundsätze

Art. 4 Informationssicherheit

¹Die verpflichteten Behörden und Organisationen sorgen dafür, dass der Schutzbedarf der Informationen, für die sie zuständig sind, im Hinblick auf eine allfällige Beeinträchtigung der Interessen nach Artikel 1 Absatz 2 beurteilt wird.

²Sie sorgen dafür, dass diese Informationen ihrem Schutzbedarf entsprechend:

a. nur Berechtigten zugänglich sind (Vertraulichkeit);

b. verfügbar sind, wenn sie benötigt werden (Verfügbarkeit);

c. nicht unberechtigt oder unbeabsichtigt verändert werden (Integrität);

d. nachvollziehbar bearbeitet werden (Nachvollziehbarkeit).

³Sie sorgen dafür, dass die Mittel der Informations- und Kommunikationstechnologien (IKT-Mittel), die sie zur Erfüllung ihrer gesetzlichen Aufgaben einsetzen, vor Missbrauch und vor Störung geschützt werden.

⁴Sie verfolgen dabei einen risikobasierten Ansatz und tragen den Grundsätzen der Zweckmässigkeit, der Wirtschaftlichkeit und der Benutzerfreundlichkeit Rechnung.

Art. 5 Oberste Führungsverantwortung

¹Die verpflichteten Behörden sorgen in ihrem Zuständigkeitsbereich dafür, dass:

a. die Informationssicherheit nach dem Stand der Lehre und Technik organisiert, umgesetzt und überprüft wird;

b. die Informationssicherheit unter den Fachbereichen koordiniert wird.

²Sie legen die Aufgaben der betroffenen Stellen fest.

³Sie legen ferner fest:

a. ihre Ziele für die Informationssicherheit;

b. die Eckwerte für den Umgang mit Risiken;

c. die Folgen bei Missachtung der Vorschriften.

⁴Sie sorgen dafür, dass die Führungskräfte und das Personal regelmässig und stufengerecht informiert werden.

Art. 6 Risikomanagement

¹Die verpflichteten Behörden und Organisationen sorgen dafür, dass die Risiken für die Informationssicherheit in ihrem Zuständigkeitsbereich sowie bei der Zusammenarbeit mit Dritten laufend identifiziert, bewertet, beurteilt und überprüft werden.

²Sie sorgen dafür, dass die erforderlichen organisatorischen, personellen, technischen und baulichen Massnahmen getroffen werden, um die identifizierten Risiken zu vermeiden oder sie auf ein tragbares Mass zu reduzieren.