Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

setzen entsprechende Schutzvorkehrungen um. Bei weitem nicht alle Staaten verfolgen aber bloss defensive Strategien. Viele sind daran, auch offensive militärische und nachrichtendienstliche Fähigkeiten aufzubauen. Auch in der Schweiz werden nun Stimmen laut, die den Ausbau solcher offensiven Fähigkeiten fordern. Im Gegensatz zum klassischen Wettrüsten nehmen aber nicht nur staatliche oder staatlich finanzierte Akteure daran teil. Da dies nicht immer besonders kompliziert und kostspielig ist oder grössere Anlagen verlangt, arbeiten zahlreiche Informatiker, Mathematiker und sonstige technologisch versierte Personen unermüdlich an der Entwicklung neuer technischer Schutz- oder Schadprogramme. Angesichts der eingesetzten Mittel und der Heterogenität der Akteure scheint das digitale Wettrüsten erst begonnen zu haben. Diese Dynamik einzudämmen, wird eine riesige Herausforderung sein, auf die es zurzeit keine Antwort gibt, ausser dass kein Land sie allein bewältigen kann.

Die enge Fokussierung auf den Bereich "Cyber" ist gefährlich. Durch die Elektronisierung der Informationsbearbeitung und die Vernetzung der Systeme zur Informationsbearbeitung, insbesondere über das Internet, sind neue Bedrohungsarten entstanden. Es ist deshalb verständlich, dass momentan der Schutz vor diesen neuen Bedrohungen im Zentrum der Aufmerksamkeit und des Handelns steht. Dies darf aber nicht dazu führen, dass der Schutz von Informationen und IKT-Mitteln auf den Schutz vor Cyber-Angriffen reduziert wird. Wesentliche Gefahren haben nämlich wenig oder nur indirekt mit dem Internet oder elektronischen Schadprogrammen zu tun. Spionage wird beispielweise immer noch mit alten Methoden ausgeübt. Zwar ist der Einsatz elektronischer Spionagemittel verhältnismässig günstiger und weniger riskant als der Einsatz von eigentlichen Spionen. Die menschliche Komponente ist jedoch für die Beschaffung hochqualitativer Informationen weiterhin unentbehrlich. Informationen werden auch heute noch zwischen Menschen mündlich ausgetauscht oder auf Papier bearbeitet. Die Risiken, die damit verbunden sind, dürfen bei den Bestrebungen zur Schaffung von Informationssicherheit nicht ignoriert werden.

1.1.2.2 Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken (NCS)

Der Bundesrat will in Zusammenarbeit mit Behörden, Wirtschaft und den Betreibern von kritischen Infrastrukturen (KI) die Cyber-Risiken, welchen diese täglich ausgesetzt sind, minimieren. Die NCS identifiziert Cyber-Risiken als Ausprägung bestehender Prozesse und Verantwortlichkeiten. Entsprechend sollen sie in bereits bestehenden Risikomanagementprozessen berücksichtigt werden.

Der Bundesrat verfolgt folgende Ziele:

 Frühzeitige Erkennung der Bedrohungen und Gefahren im Cyber-Bereich;

 Erhöhung der Widerstandsfähigkeit der KI;

 Wirksame Reduktion der Cyber-Risiken, insbesondere der Cyber-Kriminalität, der Cyber-Spionage und

der Cyber-Sabotage.

Er will die Zusammenarbeit zwischen Behörden und Wirtschaft im Cyber-Bereich vertiefen und das bereits gelegte Fundament weiter stärken. Er setzt somit auf bestehende Strukturen und verzichtet auf ein zentrales nationales Steuerungs- und Koordinationsorgan, wie es derzeit in andern Ländern aufgebaut wird. Die NCS führt die Handlungsfelder und Massnahmen auf, die zur Reduktion der Cyber-Risiken auf nationaler Ebene führen sollen. Die bestehende Melde- und Analysestelle Informationssicherung (MELANI), welche diese Aufgabe in Form von Public Private Partnerships schon bis anhin wahrnahm, wurde zu diesem Zweck gestärkt. Der Bundesrat erteilte den Departementen überdies den Auftrag, auf ihrer Ebene sowie im Dialog mit den kantonalen Behörden und der Wirtschaft die Umsetzung verschiedener Massnahmen an die Hand zu nehmen. Diese reichen von Risikoanalysen zu kritischen IKT-Infrastrukturen bis hin zur stärkeren Einbringung der Schweizer Interessen auf internationaler Ebene. Für die Koordination der Umsetzung der NCS wurde im EFD eine Koordinationsstelle geschaffen.

Zur Nationalen Strategie zum Schutz kritischer Infrastrukturen s. Ziff. 3.5.3.

1.1.2.3 Risiken für die Bundesbehörden

Die Bundesbehörden sind den in der NCS aufgeführten Gefahren ebenfalls ausgesetzt. Sie betreiben nämlich auch Informations- und Kommunikationsinfrastrukturen, deren Störung, Ausfall oder Zerstörung die Erfüllung kritischer gesetzlicher Aufgaben gefährden und somit gravierende Auswirkungen auf die Gesellschaft, die Wirtschaft oder den Staat haben kann. Der Bund bearbeitet zur Erfüllung seiner Aufgaben zudem täglich grosse Mengen von Informationen. Unter diesen Informationen befinden sich auch solche, die für die innere oder äussere Sicherheit, die internationalen Beziehungen oder die wirtschaftspolitischen Interessen der Schweiz besonders empfindlich sind und deshalb mittels Klassifizierung geschützt werden müssen.

Klassifizierte Informationen sind aber nicht die einzigen Informationen, die einen erhöhten Schutzbedarf aufweisen. Spionage richtete sich zwar in der Vergangenheit hauptsächlich auf die Beschaffung von militäri-