Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

schen und aussenpolitischen Informationen. Sie ist heute aber vermehrt wirtschaftsorientiert. Im harten globalen Wettbewerb schafft sich derjenige einen entscheidenden Vorteil, welcher sich das Wissen (Forschungs- und Entwicklungsergebnisse, Knowhow) seiner Konkurrenten verschaffen kann. Entsprechend hat Spionage in der Wirtschaft und in der Industrie, insbesondere im hochtechnologischen Bereich, seit einigen Jahren zugenommen. Gerade in diesem Zusammenhang aber stellt die Bundesverwaltung ein hochsensibles Nervenzentrum dar: Sie reguliert die Privatwirtschaft; sie prüft bestimmte Produkte und entscheidet über deren Zulassung; sie kontrolliert gewisse Unternehmen; sie beschafft selber hochwertige Produkte und Dienstleistungen, usw. Die Bundesverwaltung steht dabei in einem ständigen Dialog mit ihren öffentlichen und privaten Partnern im In- und im Ausland. Bei diesen Tätigkeiten bearbeitet sie sehr viele Informationen, die Geschäfts- und Fabrikationsgeheimnisse Dritter beinhalten. Sie kann in der Folge ins Visier derjenigen geraten, die solche Informationen beschaffen wollen. Dritte, die ihre Informationen aufgrund einer gesetzlichen Pflicht oder eines Vertrags den Bundesbehörden anvertrauen, erwarten zu Recht, dass diese auch dort zuverlässig geschützt werden.

Der Bund bearbeitet überdies in grossem Umfang Personendaten. Diese dürfen nach den Vorschriften der Datenschutzgesetzgebung nur rechtmässig, zweckkonform sowie in verhältnismässigem Rahmen bearbeitet werden. Sie müssen sowohl mit organisatorischen als auch mit technischen Massnahmen geschützt werden. Bei einem Datenmissbrauch können die Persönlichkeitsrechte der Personen, deren Daten bearbeitet werden, schwerwiegend verletzt werden. Gewisse Personendaten sind ebenso gefragt wie Technologieinformationen der Industrie. Ihr finanzieller Wert sollte nicht unterschätzt werden. Es gibt einen blühenden Markt für die Beschaffung und die Bekanntgabe personenbezogener Daten.

Bei schweren oder wiederholten Vorfällen, kann das Vertrauen in die Bundesbehörden ernsthaft gestört werden. Dies kann sogar soweit gehen, dass dem Bund wichtige Informationen vorenthalten werden, solange er deren zuverlässigen Schutz nicht nachweislich gewährleistet.

Diese Risiken für den Bund sind nicht abstrakte, unwahrscheinliche Hypothesen. So wurde im Oktober 2009 beim EDA ein Schadprogramm entdeckt, das Spionageaktivitäten ausführte. Es gelangte via E-Mail in das Netzwerk und blieb lange unentdeckt. Auf ähnliche Weise wurden in den Jahren zuvor das bundesnahe Rüstungsunternehmen RUAG und die Firma Mowag angegriffen. Nicht vergessen werden dürfen die Bedrohungen durch Mitarbeitende des Bundes. So wurde im Mai 2012 beim Nachrichtendienst des Bundes (NDB) ein schwerwiegender Datendiebstahl entdeckt. Ein Mitarbeiter des NDB speicherte grosse Mengen an sensiblen Informationen, die ihm mit seinen Berechtigungen zugänglich waren, auf entfernbare Datenträger und schmuggelte sie aus den Räumlichkeiten des Dienstes. Vor seiner Verhaftung traf der Mitarbeiter erste Vorkehrungen, um die entwendeten Daten zu verkaufen.

Häufig werden auch weniger gravierende Vorkommnisse festgestellt. Diese Ereignisse reichen über Diebstahl oder Verlust von Laptops oder Smartphones, Verlust von klassifizierten Informationsträgern oder unberechtigte, meistens politisch motivierte Preisgabe von schutzwürdigen Informationen hin bis zu Betriebsstörungen wegen Server-Ausfällen, Netzwerk-Überlastungen oder fehlerhaften Software-Konfigurationen. Da die Mehrheit solcher Vorfälle entweder nicht systematisch erfasst oder mindestens nicht an die Fachorgane zur Bewertung kommuniziert wird, ist es schwierig, den Gesamtschaden für den Bund einzuschätzen.

1.1.3 Aufträge des Bundesrats

Im Rahmen der Ausarbeitung des Entwurfs waren zahlreiche Aufträge, die der Bundesrat in Bezug auf die Informationssicherheit erteilt hatte, zu berücksichtigen. Nachfolgend werden nur diejenigen Aufträge aufgeführt, die einen wesentlichen Einfluss auf die Gesetzesvorlage hatten.

1.1.3.1 Verabschiedung der Informationsschutzverordnung und Prüfauftrag des Bundesrats

Mitte 2007 verabschiedete der Bundesrat die neue Informationsschutzverordnung (ISchV). Diese ersetzte die beiden bisherigen Verordnungen aus dem zivilen und dem militärischen Bereich und verzichtete auf die ohnehin kaum mehr mögliche Unterscheidung zwischen zivilen und militärischen Informationen. Mit den darin geregelten Klassifizierungs- und Bearbeitungsvorschriften wurde zudem erstmals ein einheitliches Schutzniveau innerhalb der Bundesverwaltung festgelegt. Die mit der ISchV neu eingeführte dritte Klassifizierungsstufe INTERN ermöglichte es zudem, fortan einen Grossteil der klassifizierten Informationen einfacher zu bearbeiten. Aus dem gleichen Grund vereinfachte sich auch die internationale Zusammenarbeit, insbesondere mit der Europäischen Union.

Die ISchV wurde als Übergangserlass konzipiert und ihre Geltungsdauer entsprechend befristet. Gleichzeitig mit ihrer Verabschiedung beauftragte der Bundesrat das VBS, ihm bis Ende 2009 einen Bericht über den Vollzug, die Wirksamkeit und die Wirtschaftlichkeit der ISchV zu erstatten und Antrag zur Schaffung formell-gesetzlicher Grundlagen zu stellen.