Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

damit verarbeiteten Informationen und der damit unterstützten Geschäftsprozesse gewährleisten. Da die Praxis aber die IKT-Mittel als Schutzobjekte betrachtet, werden diese im ISG auch ausdrücklich erfasst.

1.2.2.2 Institutioneller Geltungsbereich

Beim vorliegenden Erlass handelt es sich über weite Strecken um einen Organisationserlass. Das Gesetz soll aber von allen Bundesbehörden sowie den ihnen unterstellten Organisationen in ihrem jeweiligen Zuständigkeitsbereich angewendet werden, da nur auf diese Weise eine wirksame Informationssicherheit erzielt werden kann. Weitere Organisationen des öffentlichen oder privaten Rechts sollen vom Gesetz erfasst werden, sofern sie sicherheitsempfindliche Tätigkeiten im Auftrag des Bundes ausüben. Dies entspricht dem Auftrag des Bundesrats, den Geltungsbereich der Informationsschutzregelungen auf alle Personen zu erstrecken, die vom Bund mit der Bearbeitung geschützter Informationen betraut werden.

Die Gründe, weshalb alle Bundesbehörden einschliesslich der gesetzgebenden und der rechtsprechenden Behörden vom Gesetz erfasst werden sollen, sind vielfältig. Zum einen tauschen die Bundesbehörden regelmässig zur Erfüllung ihrer verfassungsmässigen und gesetzlichen Aufgaben Informationen untereinander aus. Darunter fallen auch klassifizierte Informationen oder sonstige schutzwürdige Informationen. Die Bundesbehörden verwenden jedoch bis anhin kein einheitliches Klassifizierungssystem. Die Massnahmen, die von den jeweiligen Behörden getroffen werden, um solche Informationen zu schützen, sind überdies sehr unterschiedlich und kaum aufeinander abgestimmt. Es ist deshalb in der Vergangenheit oft vorgekommen, dass z.B. klassifizierte Informationen der Bundesverwaltung, die an andere Bundesbehörden abgegeben wurden, so bearbeitet wurden, dass dabei wesentliche Schutzvorschriften des Bundesrats verletzt wurden. Alle Bundesbehörden sollen die gleichen Klassifizierungsgrundsätze anwenden und äquivalente Schutzmassnahmen treffen. Nur so kann das beim Umgang mit solchen Informationen erforderliche gegenseitige Vertrauen gewährleistet werden.

Weiter nimmt die Vernetzung der Informatiksysteme der Bundesbehörden untereinander laufend zu. Es ist ein Ziel des Bundesrats, vermehrt und verstärkt auf den elektronischen Austausch von Informationen und auf elektronische Dienstleistungen zu setzen (E-Government). Damit steht fest, dass die Systeme der verschiedenen Bundesbehörden immer mehr gemeinsame Schnittstellen aufweisen werden. Dadurch wird das Risiko erhöht, dass sich Angriffe sowie Bedrohungen gegen eine Behörde auf die Zuständigkeitsbereiche anderer beteiligten Behörden ausbreiten können. Es ist deshalb unentbehrlich, dass die jeweiligen Bundesbehörden gleichwertige Risikobeurteilungskriterien und -methoden anwenden und dass ihre organisatorischen, personellen, technischen und physischen Sicherheitsmassnahmen beim Einsatz der IKT aufeinander abgestimmt werden.

Der institutionelle Geltungsbereich soll nicht zur Folge haben, dass die verfassungsmässige Unabhängigkeit der betroffenen Behörden eingeschränkt wird. Deshalb sollen diese Bundesbehörden das Gesetz eigenständig vollziehen. Auf ein behördenübergreifendes Steuerungsorgan mit Weisungsbefugnissen wird verzichtet. Der eigenständige Vollzug hat einen Nachteil: Die minimalen organisatorischen Anforderungen der Informationssicherheit, die von allen Bundesbehörden erfüllt werden sollen, müssen zwingend auf Gesetzesebene verankert werden. Demzufolge enthält die Vorlage auch zahlreiche Bestimmungen, die von der Normenhierarchie eher dem Verordnungsrecht entsprechen.

1.2.3 Allgemeine Massnahmen der Informationssicherheit

1.2.3.1 Management der Informationssicherheit

Informationssicherheit ist Chefsache. Die Verantwortung dafür liegt bei der Behördenleitung und kann nicht delegiert werden. Der Entwurf legt entsprechend bestimmte Pflichten fest, die nur von den jeweiligen Bundesbehörden erfüllt werden dürfen. So werden die obersten Behörden z.B.:

 die für den Vollzug des Gesetzes erforderlichen Ausführungsbestimmungen erlassen (s. Art. 87);

 die Informationssicherheit nach dem Stand der Lehre (z.B. nach ISO 27001) organisieren, steuern, umset-

zen und überprüfen. Dazu gehört die Festlegung von klaren Aufgaben, Kompetenzen und Verantwortlichkeiten (s. Art. 5 Abs. 1 Bst. a und Abs. 2);

 ihre Ziele für die Informationssicherheit sowie das zu erreichende Sicherheitsniveau festlegen (s. Art. 5

Abs. 3 Bst. a);

 die Eckwerte für den Umgang mit Risiken festlegen (s. Art. 5 Abs. 3 Bst. b);

 die Folgen bei Missachtung der Vorschriften festlegen und erläutern (s. Art. 5 Abs. 3 Bst. c);

 die regelmässige Überprüfung der Umsetzung und Wirksamkeit der Massnahmen anordnen (s. Art. 11);

 eine Liste der mittels Personensicherheitsprüfung zu prüfenden Funktionen erlassen (s. Art. 33).