Vorlage

Informationssicherheit AS ...

cherheit, die damit verbunden sind. Sie teilen die Risikobeurteilung der Fachstelle des Bundes für Informationssicherheit mit.

Art. 21 Sicherheitseinstufung von IKT-Mitteln

¹Die Sicherheitsstufe «Grundschutz» gilt für sämtliche IKT-Mittel, sofern diese nicht höher eingestuft werden müssen.

²Die Sicherheitsstufe «hoher Schutz» gilt für IKT-Mittel:

a. bei denen eine Verletzung der Vertraulichkeit, der Verfügbarkeit, der Integrität oder der Nachvollziehbarkeit der Informationen, die damit bearbeitet werden sollen, die Interessen nach Artikel 1 Absatz 2 erheblich beeinträchtigen kann; oder

b. deren Störung oder Missbrauch die Interessen nach Artikel 1 Absatz 2 erheblich beeinträchtigen kann.

³Die Sicherheitsstufe «sehr hoher Schutz» gilt für IKT-Mittel:

a. bei denen eine Verletzung der Vertraulichkeit, der Verfügbarkeit, der Integrität oder der Nachvollziehbarkeit der Informationen, die damit bearbeitet werden sollen, die Interessen nach Artikel 1 Absatz 2 schwerwiegend beeinträchtigen kann; oder

b. deren Störung oder Missbrauch die Interessen nach Artikel 1 Absatz 2 schwerwiegend beeinträchtigen kann.

Art. 22 Sicherheitsanforderungen der Sicherheitsstufe «Grundschutz»

¹Die verpflichteten Behörden legen die Mindestanforderungen für IKT-Mittel der Sicherheitsstufe «Grundschutz» fest.

²Diese Mindestanforderungen müssen für sämtliche IKT-Mittel erfüllt werden.

Art. 23 Informationssicherheitskonzept

¹Die verpflichteten Behörden und Organisationen sorgen dafür, dass für IKT-Mittel der Sicherheitsstufen «hoher Schutz» und «sehr hoher Schutz» eine Risikoanalyse durchgeführt und ein Informationssicherheitskonzept erstellt wird.

²Das Informationssicherheitskonzept muss durch die zuständige Informationssicherheitsbeauftragte oder den zuständigen Informationssicherheitsbeauftragten geprüft werden und von der verpflichteten Behörde oder Organisation genehmigt werden.

³Es muss laufend aktualisiert werden.

Art. 24 Konformitäts- und Wirksamkeitsprüfungen

¹Bevor ein IKT-Mittel eingesetzt werden darf, muss geprüft werden, ob das Sicherheitsverfahren rechtmässig durchgeführt wurde und die beschlossenen Massnahmen umgesetzt wurden.