Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

rechtmässige, zweckmässige und verhältnismässige Bearbeitung von Personendaten als auf dem tatsächlichen, praktischen Umgang der Mitarbeitenden mit Personendaten (z.B. Übermittlung, Aufbewahrung, Vernichtung, Verschlüsselung, usw.).

 Die Vorgaben zum Schutz von klassifizierten Informationen enthalten zahlreiche Widersprüche zu den

Informatikvorgaben. Dies betrifft z.B. die Zuständigkeitsregelungen sowie bestimmte Verfahren.

Informationen können aus verschiedenen Gründen schutzwürdig sein. Die organisatorischen und technischen Massnahmenpakete, die zur Umsetzung der jeweiligen Schutzbedürfnisse erforderlich sind, unterscheiden sich jedoch kaum. Wenn deren Umsetzung einheitlich geregelt, organisiert und geführt wird, können Synergien genutzt und gleichzeitig der Schutz von Informationen verbessert werden. Dafür muss die Führungslinie ihre Aufgaben klarer wahrnehmen und die Rechtsgrundlagen müssen zwingend auf die Bedürfnisse der elektronischen Bearbeitung abgestimmt werden.

1.2.1.3 Neue Ausrichtung auf eine integrale Informationssicherheit

Der Bundesrat ist sich der zunehmenden gegenseitigen Abhängigkeiten zwischen dem technischen und organisatorischen Schutz von Informationen sowie den aufgeführten organisatorischen Mängeln bewusst. Im Sinne einer Sofortmassnahme hat er beschlossen, das Kader der Bundesverwaltung in den Belangen der Informationssicherheit schulen zu lassen (s. Ziff. 1.1.3.7). Im Rahmen einer Aussprache am 30. November 2011 hat er zudem festgehalten, dass eine Beschränkung des materiellen Geltungsbereichs des vorliegenden Gesetzesentwurfs bloss auf den Schutz klassifizierter Informationen dem erkannten Regelungsbedarf nicht genügen würde. Er hat deshalb in der Folge das VBS beauftragt, die Rechtsetzungsarbeiten neu auszurichten: Es sei auf eine umfassende, die organisatorische und technische Seite berücksichtigende Informationssicherheit abzuzielen und die Neuregelung der Organisation habe sich nach anerkannten internationalen Standards zu richten.

Die vom Bundesrat verlangte Neuorientierung auf eine integrale Informationssicherheit entspricht dem, was in der Privatwirtschaft und in vielen öffentlichen Verwaltungen weltweit bereits seit einigen Jahren als règle de l'art gilt. Die Informationssicherheit wird durch einige internationale Standards, insbesondere durch die Normen ISO/IEC 27001/27002, formalisiert. Solche Standards haben wenig mit der Technik zu tun. Der Fokus wird fast auschliesslich auf die Aufgaben des Managements zum Schutz seiner informationellen Werte sowie auf die entsprechenden organisatorischen Massnahmen gesetzt. Die Standards enthalten jedoch auch praxistaugliche und -erprobte Best Practices zur Umsetzung von personellen, technischen und baulichen Massnahmen.

Der vorliegende Entwurf schafft einheitliche formell-gesetzliche Grundlagen für das Management der Informationssicherheit im Bund. Er basiert im Aufbau und Inhalt grösstenteils auf den erwähnten Normen und beabsichtigt deren massgeschneiderte Umsetzung. Dabei wird die Informationssicherheit nach einem integralen Ansatz betrachtet, d.h. möglichst alle Belange der Informationssicherheit werden zusammen gesteuert, umgesetzt, überprüft und verbessert. Die Vorlage fasst dementsprechend die wichtigsten organisatorischen Massnahmen für den Schutz aller Informationen und zur Gewährleistung der Sicherheit beim Einsatz der IKT in einer einzigen Regelung zusammen. Gegenüber den heutigen sektoriell ausgerichteten rechtlichen und organisatorischen Strukturen im Bund entspricht der Ansatz der Informationssicherheit einer neuen, integralen Ausrichtung.

1.2.2 Geltungsbereich

1.2.2.1 Sachlicher Geltungsbereich

Der sachliche Geltungsbereich ergibt sich grundsätzlich aus dem Begriff der Informationssicherheit. Im Zentrum des Schutzes sollen alle Informationen stehen, für welche die Bundesbehörden zuständig sind. Das Gesetz gilt für Informationen jeglicher Art (also beispielsweise nicht bloss für Informationen in Textform, sondern auch für graphische Darstellungen) und in beliebiger Form, d.h. nicht bloss für elektronische Informationen sondern auch für Informationen in physischer Form (Papierdokumente). Es handelt sich hauptsächlich um Informationen, die sie selber erstellen. Erfasst werden aber auch Informationen, welche die Bundesbehörden von Dritten erhalten und für deren sichere und rechtmässige Bearbeitung sie deshalb zuständig sind. Weiter sind Informationen betroffen, mit deren Bearbeitung die Bundesbehörden Dritte beauftragen. Eine Einschränkung des impliziten sachlichen Geltungsbereichs auf sensitive Informationen wäre nicht sinnvoll. Die Beurteilung, ob eine Information sensitiv oder schutzwürdig ist, setzt Beurteilungskriterien und -mechanismen voraus, die zwangsläufig auf alle Informationen angewendet werden müssten.

Vom Entwurf werden sämtliche IKT-Mittel erfasst, die von den Bundesbehörden eingesetzt werden oder deren Betrieb sie in Auftrag geben. Richtigbesehen müssen zwar die technischen Mittel zur Verarbeitung von Informationen nicht um ihrer selbst willen geschützt werden, sondern vielmehr selbst den Schutz der