Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

heit aus. Er beauftragte zudem das VBS, die Gesetzgebungsarbeiten mit den Aufträgen zur Erarbeitung einer Cyber-Defense-Strategie sowie zur Informationsgesellschaft Schweiz zu koordinieren.

Die Ausdehnung des Regelungsbereichs sowie die geforderte Koordination mit den erwähnten Projekten führten zu einer Erweiterung der Expertengruppe. Vertreten waren nun: Die BK, das EDA, das EJPD (GS, BJ, Fedpol), das VBS (GS, Armeestab), das EFD (GS, ISB, BIT), das UVEK (BAKOM), der EDÖB, die Parlamentsdienste, die eidgenössischen Gerichte und die Kantone (SIK). Der NDB wurde punktuell beigezogen.

1.1.3.6 Bundesratsauftrag zur Harmonisierung und Straffung der Personensicherheitsprüfungen

Am 1. Februar 2012 beauftragte der Bundesrat das VBS, eine Harmonisierung und Straffung der zu überprüfenden Funktionen und der ihnen zugeordneten Prüfstufen sowie weitere Optimierungsmassnahmen mit Auswirkungen auf den Ressourcenbereich zu prüfen. Nach Kenntnisnahme des Berichts der hierfür eingesetzten IDAG PSP beauftragte der Bundesrat am 29. November 2013 unter anderem die IDAG ISG, bei ihren Arbeiten die Empfehlungen des Berichts zu berücksichtigen und soweit angemessen in den Gesetzesentwurf einzuarbeiten (s. Ziff. 1.2.4).

1.1.3.7 Zusatzauftrag und Erweiterung zu einer interdepartementalen Arbeitsgruppe (IDAG ISG)

Nach Bekanntwerden eines Vorfalls im NDB erhielt die Expertengruppe am 24. Oktober 2012 vom Bundesrat den Zusatzauftrag, einen Bericht über die Gefahren und Lücken in der Informationssicherheit in der Bundesverwaltung zu erstellen sowie Vorschläge für Sofortmassnahmen zu unterbreiten. Die Expertengruppe wurde hierauf noch einmal erweitert. Sie bildete nun, mit Vertretungen des EDI und WBF, eine IDAG.

Die IDAG ISG überreichte ihren Bericht samt Empfehlungen am 29. Januar 2013 dem VBS. Daraufhin beschloss der Bundesrat am 15. März 2013, das Führungskader der Bundesverwaltung schulen zu lassen. Für die Durchführung der Ausbildungsmassnahmen ist das Eidgenössische Personalamt (EPA) federführend.

1.2 Kernpunkte der beantragten Neuregelung

Nachfolgend werden der Regelungsbedarf und die vorgeschlagenen Lösungen für die Kernpunkte der beantragten Neuregelung dargestellt. Die vorgeschlagene Neurregelung der Organisation der Informationssicherheit wird getrennt erläutert (Ziff. 1.3).

Zwei Bemerkungen sind eingangs erforderlich:

 Der Regelungsbedarf ergibt sich aus den materiellen und rechtlichen Lücken und Schwachstellen im Be-

reich der Informationssicherheit. Die Fokussierung auf diese Lücken könnte den Eindruck erwecken, dass alle bisherigen Vorgaben, Prozesse und Massnahmen schlecht sind. Dem ist aber keinesfalls so.

 Detaillierte Berichte über Lücken und Schwachstellen im Bereich der Informationssicherheit werden in

der Regel klassifiziert. Aus diesem Grund kann im vorliegenden Bericht nicht auf alle Lücken und Schwachstellen näher eingegangen werden.

1.2.1 Informationssicherheit

Informationen werden heute mehrheitlich in elektronischer Form bearbeitet. Ihr Schutz hängt deshalb immer mehr von den elektronischen Verfahren und Mitteln ab, mit welchen sie bearbeitet werden. Zurzeit sind bei der elektronischen Bearbeitung von Informationen aller Art wesentliche Sicherheitslücken vorhanden.

1.2.1.1 Technische Lücken

Das VBS hat in einem Bericht zur Umsetzung, Wirksamkeit und Wirtschaftlichkeit der Informationsschutzverordnung (s. Ziff. 1.1.3.3) dem Bundesrat belegt, dass die im internationalen Vergleich eher wenig ambitiösen Vorgaben der ISchV für die elektronische Bearbeitung von klassifizierten Informationen mehrheitlich nicht eingehalten werden können, weil die dafür erforderlichen Sicherheitslösungen und -dienste heute entweder fehlen oder aus verschiedenen, insbesondere finanziellen Gründen nicht verwendet oder angeboten werden. Dies führt zu einer etwas skurrilen Situation: Mitarbeitende des Bundes, die im Privatleben ohne die erforderlichen Produkte und Verfahren, die dem aktuellen Stand der Sicherheitstechnik entsprechen, nie E-Banking betreiben würden, haben manchmal wenig Bedenken, VERTRAULICH oder sogar GEHEIM klassifizierte Informationen in ihrem Arbeitsumfeld unverschlüsselt zu speichern oder zu übermitteln.

Diese Erkenntnis betrifft nicht nur klassifizierte Informationen, die bereits heute nur einen kleinen Bruchteil aller schurzwürdigen Informationen des Bundes darstellen. Ähnliche Lücken sind beim Schutz von Personendaten, von Berufs-, Geschäfts- und Fabrikationsgeheimnissen sowie von anderen Informationen, die in Bezug auf die Vertraulichkeit, Verfügbarkeit, Integrität oder Nachvollziehbarkeit geschützt werden müssen, vorhanden. Bei erhöhten Schutzanforderungen müssen besondere technische Sicherheitsmassnahmen getroffen werden. Diese setzen die vorgängige Umsetzung eines Grundschutzes der Informatiksicherheit voraus.