Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Ohne ein solches Fundament sind die zusätzlichen technischen Vorkehrungen leicht zu umgehen. Überprüfungen des BIT zeigen aber, dass die entsprechenden Mindestmassnahmen oft mangelhaft umgesetzt werden.

Vor dem Hintergrund wesentlicher Lücken beim elektronischen Schutz von Informationen muss aber auch festgehalten werden, dass die Aufgaben derjenigen Stellen, die für die Vorgaben der Informatiksicherheit oder für deren Umsetzung zuständig sind, innert kürzester Zeit wesentlich komplexer geworden sind. Gründe dafür sind die laufenden technologischen Innovationen, die damit verbundenen neuen Gefahren und Schwachstellen sowie die zu knappen finanziellen und personellen Ressourcen.

1.2.1.2 Organisatorische Mängel

Angesichts der Herausforderungen im technischen Bereich kündigte die Melde- und Analysestelle Informationssicherung (MELANI) bereits 2008 in ihrem Halbjahresbericht an, dass eine Neuausrichtung notwendig sei:

"Aktuelle gezielte IT-Angriffe lassen sich auch mit Hilfe technischer Sicherheitsvorkehrungen sowie einer gesunden Portion Menschenverstand nicht immer erfolgreich abwehren. Deshalb ist eine Neufokussierung nötig, welche den Schutz der Information ins Zentrum rückt und nicht nur den Schutz der Computer und Netzwerke berücksichtigt. [...] Dies wird ein verstärktes Informations- und Datenmanagement, Informationsklassifizierung und dergleichen nach sich ziehen.“⁴

Diese Aussage ist für das Verständnis der beantragten Neuregelung zentral. Die technische IKT-Sicherheit alleine genügt nicht mehr. Bedeutend wichtiger für einen wirksamen Schutz der Informationen sind die organisatorischen Massnahmen. Organisatorische Mängel bestehen beim Bund insbesondere beim Management der Informationssicherheit sowie bei den Rechtsgrundlagen.

Dass Sicherheit Chefsache ist und sich wirtschaftlich lohnt, wird in der Privatwirtschaft spätestens dann wahrgenommen, wenn ein Schadenfall eintritt und Schadenbegrenzung betrieben wird. Bei öffentlichen Verwaltungen wird Sicherheit aber häufig lediglich als Kostentreiber und Hindernis betrachtet. Grund dafür ist insbesondere die Tatsache, dass der öffentlichen Hand bei Vorfällen kein wettbewerblicher Schaden entstehen kann. Demzufolge wird in der Regel auch der Produktivitätsverlust, der z.B. durch den Ausfall von IKT-Diensten verursacht wird, weder eruiert noch mit den Kosten zur Umsetzung risikomindernder Massnahmen abgewogen.

Beim Bund ist die Lage beim Schutz von Informationen nicht anders. So wird beispielweise die IKT-Sicherheit oft als rein technische Angelegenheit betrachtet und nicht als Führungsaufgabe wahrgenommen. Demzufolge hat die Führungslinie in der Regel nur wenig Verständnis für ihre Rolle im Sicherheitsprozess und die geschäftsüblichen Führungstätigkeiten (z.B. Setzung von Zielen, Kontrolle der Umsetzung oder Prüfung der Wirksamkeit von Massnahmen) finden nur selten auf den Sicherheitsbereich Anwendung. Auch die Kosten der Sicherheit können nicht transparent dargelegt werden, was eine Beurteilung der Wirtschaftlichkeit der Massnahmen (Kosten-Nutzen-Analyse) verunmöglicht. Schliesslich werden bei Vorfällen oder Verstössen gegen die Vorschriften die Verantwortlichen nur selten zur Rechenschaft gezogen.

Mängel bestehen auch bei den rechtlichen Rahmenbedingungen. Die Rechtsgrundlagen für den Schutz von Informationen sind beim Bund sehr sektoriell ausgelegt, kaum aufeinander abgestimmt und oft lückenhaft. So betreibt der Bund heute sowohl rechtlich also auch organisatorisch parallele Systeme für den Datenschutz, den Informationsschutz (Schutz klassifizierter Informationen), die Informatiksicherheit, die physische Sicherheit und das Risikomanagement. Ferner ist heute die Durchführung von Personensicherheitsprüfungen (s. Ziff. 1.2.4) und von Betriebssicherheitsverfahren (s. Ziff. 1.2.5) hauptsächlich bei Personen bzw. Unternehmen vorgesehen, die klassifizierte Informationen des Bundes bearbeiten, nicht aber bei Personen, die seine kritischen IKT-Mitteln verwalten oder betreiben.

Darüber hinaus sind die Rechtsgrundlagen nicht immer auf die praktischen Bedürfnisse der elektronischen Bearbeitung von Informationen abgestimmt. Beispiele:

 Geschäfts- und Fabrikationsgeheimnisse werden hauptsächlich durch eine Schweigepflicht (Amtsge-

heimnis) für die Personen, die sie bearbeiten müssen, geschützt. Die Wahrung des Amtsgeheimnisses erfordert jedoch in einer Informationsgesellschaft mehr als nur eine persönliche Schweigeflicht. Werden Geschäfts- und Fabrikationsgeheimnisse elektronisch erfasst, müssen sie ihrem Schutzbedarf entsprechend zusätzlich organisatorisch und technisch geschützt werden. Vorgaben, wie dieser Schutz erhoben, gestaltet, umgesetzt und überprüft werden muss, fehlen aber grösstenteils.

 Beim Schutz von Personendaten besteht hingegen eine hohe Regelungsdichte. Das Schwergewicht liegt

dabei für die Bundesbehörden aber eher auf dem Vorliegen der notwendigen Rechtsgrundlagen für die