Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Der Entwurf verstärkt schliesslich die operationelle Rolle der Linie beim Einsatz von IKT (s. Art. 23-26).

1.2.3.2 Risikomanagement

Die Gefahren für und Bedrohungen von Informationen und IKT-Mittel sind mit der Entwicklung zu einer Informationsgesellschaft komplexer und dynamischer geworden. Diese Ausgangslage erfordert von den Bundesbehörden, dass sie den Fokus vermehrt auf die systematische Bewertung des Schutzbedarfs von Informationen sowie auf eine laufende Beurteilung der entsprechenden Risiken setzen. Dies wiederum setzt ein wirksames Risikomanagement im Bereich der Informationssicherheit sowie eine regelmässige Überprüfung der Umsetzung von risikomindernden Massnahmen voraus. Beides fehlt heute weitgehend. Deshalb wird auch ein Prozess zur nachhaltigen und wirtschaftlichen Aufrechterhaltung der Informationssicherheit initialisiert.

Risikomanagement ist für die Bundesbehörden sowohl ein politisches als auch ein wirtschaftliches Anliegen. Die verpflichteten Behörden werden im Entwurf aufgefordert, das Niveau festzulegen, das sie in Bezug auf die Informationssicherheit erreichen wollen (Ziele für die Informationssicherheit). Dieses Niveau ist für die Gestaltung der Sicherheitsmassnahmen sowie für die Beurteilung von deren Wirksamkeit massgebend. Die verpflichteten Behörden müssen in Bezug auf den Umgang mit Risiken auch bestimmen, wer welche Risiken tragen darf und was geschieht, wenn die Restrisiken zu hoch sind.

Das Risikomanagement im Bereiche der Informationssicherheit ist fachspezifisch. Es muss aber bei allen verpflichteten Behörden in den allgemeinen Risikomanagementprozess integriert werden, weil die Risiken der Informationssicherheit selbstverständlich auch zu den allgemeinen Geschäftsrisiken gehören.

Im Rahmen des Risikomanagements wird der Schutzbedarf der Informationen (bezüglich Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit) beurteilt. Die Gefahren, die von Menschen, Technik und Elementarereignissen ausgehen sowie die entsprechenden Schwachstellen werden analysiert. Die Risikobewertung muss möglichst objektiv und systematisch erfolgen. Die zur Erreichung des massgebenden Sicherheitsniveaus erforderlichen Massnahmen müssen durch die Linie festgelegt werden. Schliesslich müssen die identifizierten Risiken überwacht werden.

Eng mit dem Risikomanagement verbunden ist auch das sogenannte Business Continuity Management (BCM). Das BCM soll sicherstellen, dass die Behörden ihre Kernaufgaben selbst in ausserordentlichen Situationen termingerecht erfüllen können. Aufgrund der zunehmenden Abhängigkeit der Auftragserfüllung vom Einsatz der IKT können die Risiken im Bereich der Informationssicherheit die Erfüllung kritischer gesetzlicher Aufgaben des Bundes gefährden (s. auch Art. 6 Abs. 3 RVOG). Entsprechend werden die Bundesbehörden aufgefordert, für Vorfälle der Informationssicherheit, welche die Erfüllung unverzichtbarer Aufgaben gefährden können, Vorsorgeplanungen zu erstellen und entsprechende Übungen durchzuführen.

1.2.3.3 Kontroll- und Auditwesen

Jede einzelne Massnahme im Bereich der Informationssicherheit, die angeordnet wird, muss überprüfbar sein und überprüft werden. Nur mit angemessenen Kontrollen können die Behörden und Organisationen wissen, in welchem Zustand sich ihre Informationssicherheit befindet, welche Risiken bestehen und welche Korrekturmassnahmen allenfalls erforderlich sind. Das Kontrollwesen stellt heute eine der wesentlichsten Schwächen im Bereich der Informationssicherheit des Bundes dar: Es wird nur in Einzelfällen oder erst nach einem Vorfall überprüft. Da zurzeit fast keine Kontrollen durchgeführt werden, fehlen grösstenteils das entsprechende Know-how und die personellen Mittel. Es muss deshalb davon ausgegangen werden, dass die verpflichteten Behörden und Organisationen für die Wahrnehmung dieser Aufgabe nicht darum herumkommen werden, zusätzliche Ressourcen einzusetzen.

Die Kontrollmechanismen und -instrumente müssen zwingend für alle Bereiche der Informationssicherheit verstärkt werden. Die Vorlage sieht deshalb eine allgemeine Kontrollpflicht vor (Art. 11). Dort wo gezielte Kontrollen, Audits oder Überprüfungen erforderlich sind, werden diese ausdrücklich verlangt (für die IKT: s. Ziff. 1.2.3.5). Die Verantwortung für die Kontrollen und Audits im Rahmen des Tagesgeschäfts soll nach wie vor grundsätzlich bei der Führungslinie bleiben. Es gehört zu den Kernaufgaben der Führung, die Umsetzung der angeordneten Massnahmen zu überprüfen. Die Vorlage verstärkt aber auch die Instrumente, die der Führungslinie für Audits und Kontrollen im Bereich der Informationssicherheit zur Verfügung stehen. So sollen die Informationssicherheitsbeauftragten Kontrollen im Auftrag ihrer Behörde durchführen können. Für schwierigere Audits oder für unabhängige Kontrollen sollen die Behörden die vorgesehene Fachstelle des Bundes für Informationssicherheit oder die EFK beauftragen können.

1.2.3.4 Klassifizierung von Informationen

Die Klassifizierung ist eine seit jeher angewandte Massnahme zum Schutz von organisationseigenen Informationen, deren unberechtigte Kenntnisnahme die Organisationsziele beeinträchtigen oder der Organisation