Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

selbst Schaden zufügen kann. Die Klassifizierung von Informationen wird heute durch die ISchV nur für die Bundesverwaltung und die Armee geregelt. Eines der Ziele des vorliegenden Entwurfs ist ein Klassifizierungssystem, das behördenübergreifend gelten und nach möglichst einheitlichen Grundsätzen umgesetzt werden soll. Dabei sollen die erhöhten Erwartungen der Bürgerinnen und Bürger an die Transparenz des Handelns der Bundesbehörden berücksichtigt werden. Die Klassifizierung soll deshalb als eine zu begründende Ausnahme konzipiert werden. Zudem sollen gegenüber heute die Schwellenwerte für die Klassifizierung teilweise erhöht werden.

Das dreistufiges System erlaubt einen risikogerechten Schutz von Informationen. Je grösster das Risiko für die zu schützenden öffentlichen Interessen, desto aufwändiger und kostspieliger die Sicherheitsmassnahmen. Die Klassifizierungsstufe INTERN erlaubt eine einfache, aufwandarme Bearbeitung von Informationen, die zwar schutzwürdig sind, deren Schutzbedarf aber den Aufwand für die Bearbeitung von als VERTRAU-LICH klassifizierten Informationen nicht rechtfertigen kann. Damit soll auch im internationalen Verhältnis ein einheitliches Sicherheitsniveau erreicht werden. Die meisten Staaten verwenden ein vierstufiges System (z.B. für die EU: RESTRICTED, CONFIDENTIAL, SECRET und TOP SECRET).

1.2.3.5 Sicherheit beim Einsatz von IKT

Heute befinden sich die Bestimmungen über die Sicherheit beim Einsatz von IKT entweder auf Verordnungsebene oder, in den meisten Fällen, auf Weisungsstufe. Aufgrund der zunehmenden Vernetzung der IKT-Systeme sowie der stets ansteigenden Abhängigkeit der Bundesbehörden von diesen Mitteln für die Erfüllung ihrer gesetzlichen Aufgaben, hat die Sicherheit der IKT-Mittel seit einigen Jahren stark an Bedeutung gewonnen. Zahlreiche Vorfälle weltweit oder in der Schweiz belegen die Verwundbarkeit der IKT-Mittel und zeigen die potentiellen Konsequenzen solcher Vorfälle. Eine Übernahme bestimmter Eckwerte der IKT-Sicherheit auf die formell-gesetzliche Ebene ist heute insbesondere deshalb unerlässlich, weil die behördenübergreifende Vernetzung der IKT-Mittel und der elektronische Informationsaustausch weiterhin zunehmen werden. Deshalb werden vermehrt behördenübergreifende Lösungen und Prozesse angestrebt werden müssen. Die meisten konkreten Schutzmassnahmen werden aber aufgrund des raschen Fortschritts der technologischen Entwicklung weiterhin auf Verordnungs- oder sogar auf Weisungsstufe umschrieben und verankert werden müssen.

Berichte über detaillierte Lücken und Schwachstellen im Bereich der IKT werden in der Regel klassifiziert. Der erste Revisionsbericht der EFK nach dem Bundesratsbeschluss vom 16. Dezember 2009 über Massnahmen zur Erhöhung der Informationssicherheit in der Bundesverwaltung gibt trotz eingeschränktem Prüfumfang einen guten Überblick über den Handlungsbedarf, der beim Einsatz der IKT besteht (s. Ziff. 1.1.3.2).

Die Sicherheit von Informationen beim Einsatz der IKT wird oft als technische Angelegenheit betrachtet. Dies trifft nur am Rande zu: Die überwiegende Mehrheit der Sicherheitsvorkehrungen in Bezug auf die IKT sind organisatorischer Natur. Dafür sind hauptsächlich die Behörden und Organisationen zuständig, die den Einsatz von IKT beschliessen (Leistungsbezüger), und nicht die Organisationen, welche im Auftrag dieser Behörden und Organisationen die entsprechenden Mittel betreiben (Leistungserbringer). Es ist also der organisatorische Bereich, der den grössten Handlungsbedarf aufweist.

Die vorgeschlagene Regelung basiert auf bestehenden Prozessen und Verfahren, die entsprechend dem erkannten Bedarf angepasst werden. Dabei geht es, nebst der Verstärkung des Risikomanagements (s. Ziff. 1.2.3.2), hauptsächlich um vier wesentliche Aspekte:

 Eine klare Regelung der Zuständigkeiten und Verantwortlichkeiten zwischen den IKT-Leistungsbezügern

und den IKT-Leistungserbringern. Die Hauptverantwortung für die Sicherheit beim Einsatz von IKT-Mitteln liegt bei den Leistungsbezügern. Sie sind für die Durchführung des Sicherheitsverfahrens zuständig. Die Leistungserbringer sind hingegen dafür zuständig, die Sicherheit der IKT-Mittel beim Betrieb zu gewährleisten. Sie müssen die Anforderungen und Massnahmen nach diesem Gesetz sowie die vereinbarten zusätzlichen Anforderungen der Leistungsbezüger berücksichtigen und umsetzen.

 Die Beurteilung der Kritikalität der einzusetzenden IKT-Mittel in Bezug auf die Informationen, die damit

bearbeitet werden sollen, sowie auf die Aufgabenerfüllung der betroffenen Behörde oder Organisation (Sicherheitseinstufung). Die Sicherheitseinstufung eines IKT-Mittels dient einerseits dazu, dass die Behörden sich der Kritikalität ihrer Informationen und IKT-Mittel bewusst werden und in der Folge bei der Festlegung der Sicherheitsmassnahmen den Fokus auf ihre kritischsten Werte legen. Andererseits sollen zu jeder Sicherheitsstufe standardisierte minimale Sicherheitsanforderungen und -massnahmen bestimmt werden, die vor der Inbetriebnahme des IKT-Mittels umgesetzt werden sollen.

 Eine verstärkte operationelle Rolle der Leitung der verpflichteten Behörde oder Organisation. Die Lei-

tung der Behörde oder Organisation muss im Sicherheitsverfahren einbezogen werden. Sie muss frühzeitig über die Risiken informiert werden und entsprechende Massnahmen beschliessen können. Deshalb