Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

1.1.3.2 Bundesratsbeschluss über Massnahmen zur Erhöhung der Informationssicherheit in der

Bundesverwaltung

Der Bundesrat beschloss in der Folge des Angriffs auf die Systeme des EDA am 16. Dezember 2009 und am 4. Juni 2010 Massnahmen zur Erhöhung der Informationssicherheit in der Bundesverwaltung. Er legte dabei eine Reihe von organisatorischen und technischen Massnahmen fest, die kurz- und mittelfristig den Schutz der Informationen bei deren Bearbeitung mit Informatikmitteln der Bundesverwaltung verbessern sollen.

Der Bundesrat beantragte zudem der Eidgenössischen Finanzkontrolle (EFK), den Stand der Umsetzung dieser Massnahmen zu überprüfen. Der erste Revisionsbericht der EFK wurde den Mitgliedern des Bundesrates am 2. Dezember 2011 zur Kenntnis gebracht.¹

1.1.3.3 Bundesratsauftrag zur Schaffung formell-gesetzlicher Grundlagen für den

Informationsschutz bzw. für die Informationssicherheit

Der vom Bundesrat bei der Verabschiedung der ISchV verlangte Bericht über den Vollzug, die Wirksamkeit und die Wirtschaftlichkeit zeigte auf, dass die von der ISchV vorgesehene Übergangsfrist bis Ende 2009 für technische Anpassungen zur Gewährleistung des Schutzes von Informationen mehrheitlich nicht eingehalten wurde. Damit bestanden erhebliche Lücken insbesondere beim elektronischen Schutz von klassifizierten Informationen. Nach Kenntnisnahme des Berichts des VBS sowie in Anbetracht der Lehren aus dem Hacker-Angriff gegen das EDA erteilte der Bundesrat am 12. Mai 2010 dem VBS den Auftrag, formell-gesetzliche Grundlagen für den Informationsschutz des Bundes auszuarbeiten. Die neue Regelung sollte insbesondere:

 den Geltungsbereich der Informationsschutzregelungen auf alle Personen erstrecken, die vom Bund mit

der Bearbeitung geschützter Informationen betraut werden;

 einheitliche formell-gesetzliche Grundlagen für die Durchführung von Geheimschutzverfahren im militä-

rischen und zivilen Bereich schaffen;

 eine einheitliche Vertragsschlusskompetenz des Bundesrats für internationale Vereinbarungen im Bereich

des Informationsschutzes schaffen.

Der Bundesrat beauftragte ferner das VBS, bei der Erarbeitung des Entwurfs zu prüfen, ob und inwieweit weitere materielle Probleme im Bereich des Informationsschutzes einer formell-gesetzlichen Regelung zuzuführen sind sowie ob die Zuständigkeiten und Verantwortlichkeiten im Bereiche der Informationssicherheit den heutigen Anforderungen genügen.

1.1.3.4 Bundesratsbeschluss zur Empfehlung 12 der Geschäftsprüfungskommission des Ständerats

(GPK-S) im Zusammenhang mit der Libyen-Krise

Die GPK-S stellte im Rahmen ihrer Prüfung des Verhaltens der Bundesbehörden in der diplomatischen Krise zwischen der Schweiz und Libyen eine Reihe von Informationsschutzproblemen fest. In ihrem Bericht vom 3. Dezember 2010 hielt sie fest, dass "derartige Ereignisse belegen, dass in Sachen Informationsschutz und Schutz von technischen Geräten in der Bundesverwaltung ein grosser Handlungsbedarf besteht, weshalb es zwingend ist, dass eine rasche Abhilfe erfolgt". Sie empfahl dem Bundesrat, "in seinem Kompetenzbereich die nötigen Massnahmen zu treffen, um inskünftig die Geheimhaltung auch auf höchster Stufe innerhalb der Bundesverwaltung gewährleisten zu können. Dabei ist auch den technischen Aspekten der den Mitarbeitenden abgegebenen Geräte eine gebührende Aufmerksamkeit zu schenken".²

Der Bundesrat beschloss in der Folge Massnahmen, um den erkannten organisatorischen und technischen Mängeln beizukommen.³

1.1.3.5 Ergänzung des Bundesratsauftrags

Am 14. Januar 2011 setzte der Chef VBS eine Expertengruppe unter der Leitung von Prof. Dr. iur. Markus Müller, Ordinarius für Staats- und Verwaltungsrecht an der Universität Bern, ein. Er erteilte ihr den Auftrag, ein Normkonzept und darauf gestützt einen vernehmlassungsreifen Gesetzesentwurf auszuarbeiten. Die Expertengruppe unterbreitete ihr Normkonzept dem Chef VBS am 29. Juni 2011. Dieser unterrichtete den Bundesrat über die Erkenntnisse der Expertengruppe. Der Bundesrat dehnte daraufhin mit Beschluss vom 30. November 2011 den künftigen Regelungsbereich vom engen Informationsschutz auf die Informationssicher-