Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

gangspunkt, beispielweise persönliche oder finanzielle Schwierigkeiten. Eine Personensicherheitsprüfung (PSP) kann Linienvorgesetzten Risiken, die sich aus dem Vorleben oder dem Umfeld der geprüften Person ergeben, aufzeigen (s. auch: Botschaft vom 7. März 1994 zum BWIS und zur Volksinitiative «S.O.S. Schweiz ohne Schnüffelpolizei», BBl 1994 II 1127).

Die PSP stellt eine vorbeugende Massnahme zum Schutz vor Innentätern dar. Sie hat zum Ziel, das Risiko einer vorsätzlichen oder fahrlässigen Beeinträchtigung wesentlicher öffentlicher Interessen, das mit der Ausübung einer sicherheitsempfindlichen Tätigkeit durch eine bestimmte Person verbunden ist, zu identifizieren. Es liegt anschliessend alleine in der Verantwortung der auftraggebenden bzw. anstellenden Behörde oder Organisation, zu entscheiden, ob sie ein allfälliges erhöhtes Risiko tragen, ob sie es mit bestimmten Auflagen reduzieren oder ob sie es durch Nichtanstellung oder Kündigung vermeiden will. Auch eine positive Beurteilung des Sicherheitsrisikos durch die zuständige Fachstelle für Personensicherheitsprüfungen (Fachstelle PSP) entbindet die Linienvorgesetzten auf keinen Fall von ihrer Führungsverantwortung und von ihrer Pflicht, Personalrisiken zu identifizieren und zu bewältigen. Die PSP hat deshalb eine ähnliche Ausprägung wie ein Assessment, welches die Arbeitgeberinnen und Arbeitgeber vor der Anstellung von Führungs- oder Schlüsselpersonen oft in Auftrag geben.

1.2.4.1 Transfer der Regelung vom BWIS ins Informationssicherheitsgesetz

Die formell-gesetzlichen Grundlagen für die Durchführung von PSP befinden sich heute in zwei Gesetzen. Für den Bund sind sie zurzeit im BWIS geregelt. Für das Personal der Betreiberinnen von Kernkraftwerken sieht das KEG in seinem Art. 24 ebenfalls Zuverlässigkeitskontrollen vor. Für die Durchführung der Prüfungen setzte der Bundesrat zwei Fachstellen PSP ein: Die eine ist beim VBS angesiedelt. Sie ist für die Mehrheit der Prüfungen zuständig. Die andere ist der BK administrativ zugeordnet. Sie prüft das Top-Kader der Bundesverwaltung sowie die Angestellten der anderen Fachstelle PSP.

Mit dem geplanten Nachrichtendienstgesetz soll das BWIS fast vollständig aufgehoben werden. Übrig werden nur noch die PSP sowie diejenigen Aufgaben bleiben, für deren Erfüllung fedpol zuständig ist. Da die heutige Regelung der PSP im BWIS ausschliesslich dem Schutz von Informationen dient (s. Art. 19 Abs. 1 BWIS), ist es zweckmässig, diese Regelung in das vorliegende Gesetz zu verschieben. Geprüft wurde auch die Schaffung eines eigenständigen Gesetzes für die PSP (und für das Betriebssicherheitsverfahren; s. Ziff. 1.2.5). Angesichts des Zieles, alle Massnahmen der Informationssicherheit für den Bund in einem einzigen Erlass zusammenzuführen, wurde diese Variante aber verworfen.

1.2.4.2 Behebung rechtlicher Mängel

Mit dem Transfer der formell-gesetzlichen Bestimmungen über die PSP in den vorliegenden Entwurf sollen einige Mängel des geltenden Rechts behoben werden. Die PSP stellt einen schweren Eingriff in die Persönlichkeitsrechte der zu prüfenden Personen dar. Das verfassungsmässige Prinzip der Legalität verlangt für solche Eingriffe eine detaillierte formell-gesetzliche Grundlage. Die vorgeschlagene Regelung ist demnach wesentlich detaillierter als im heutigen BWIS. Sie erfüllt damit auch die Erwartungen des Parlaments an eine formell-gesetzliche Definition der Kriterien zur Risikobeurteilung (s. Art. 42).

Obschon die Regelung der PSP im BWIS ausschliesslich zum Schutz von Informationen dienen soll, wurden die Gründe für die Durchführung einer PSP in der PSPV in der Vergangenheit contra legem erweitert. Es wird deshalb vorgeschlagen, im künftigen Informationssicherheitsgesetz die Prüfgründe abschliessend festzulegen und diese auf die direkten Bedürfnisse der Informationssicherheit einzuschränken. Im Entwurf werden diese eng gefassten Prüfgründe unter dem Ausdruck "sicherheitsempfindliche Tätigkeit" subsumiert. Folgende Betätigungen stellen eine solche dar:

 die Bearbeitung von als VERTRAULICH oder GEHEIM klassifizierten Informationen oder der Umgang

mit entsprechend klassifiziertem Material;

 die Verwaltung, den Betrieb, die Wartung oder die Überprüfung von IKT-Mitteln der Sicherheitsstufe

«hoher Schutz» oder «sehr hoher Schutz»;

 den Zugang zu Sicherheitszonen, insbesondere zu Schutzzonen 2 oder 3 einer Anlage nach der Gesetzge-

bung über den Schutz militärischer Anlagen.

Bestimmte bisherige Prüfgründe werden also ersatzlos gestrichen. Dies betrifft insbesondere den bisherigen Grund des regelmässigen Zugangs zu besonders schützenswerten Personendaten, deren Offenbarung die Persönlichkeitsrechte der Betroffenen schwerwiegend beeinträchtigen könnte (s. Art. 19 Abs. 1 Bst. e BWIS). Es ist in der Praxis kaum möglich, die Informationen zu bestimmen, welche darunter fallen.

Sofern für weitere Tätigkeiten aus Sicherheitsgründen eine Prüfung erforderlich ist, sollen die Prüfgründe in der Spezialgesetzgebung geregelt werden. Um zwischen der PSP nach dem Informationssicherheitsgesetz