Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

und nach den anderen Erlassen klar unterscheiden zu können, soll für letztere eine andere Terminologie verwendet werden: "Prüfung der Vertrauenswürdigkeit". Entsprechend wird im Anhang eine Änderung des BPG und des MG vorgeschlagen. So sollen Personen, welche regelmässig die Schweiz im Ausland vertreten oder Entscheidungskompetenzen bzw. Aufsichtsaufgaben in wesentlichen Finanzangelegenheiten erfüllen, einer Prüfung der Vertrauenswürdigkeit unterstellt werden können.

Umstritten war die Frage, ob für den Eintrag einer Funktion in die Liste der zu prüfenden Funktionen bei Bundesangestellten die einmalige Ausübung einer sicherheitsempfindlichen Tätigkeit genügen soll oder ob am Grundsatz der Regelmässigkeit gemäss heutigem System (s. Art. 19 Abs. 1 BWIS) festgehalten werden soll. Das Kriterium der Regelmässigkeit basiert unter anderem auf der Beurteilung des Nachrichtendienstes des Bundes, der die Gefährdung im Staatschutz insbesondere dort als hoch einschätzt, wo Mitarbeitende regelmässig und über einen längeren Zeitraum Zugang zu klassifizierten Informationen haben. Personen mit nur punktuellem und befristetem Zugang sind weniger stark gefährdet bzw. für Stellen, dies sich Informationen verschaffen wollen, weniger interessant. Mit dem Kriterium der Regelmässigkeit sind jedoch zwei Probleme verbunden. Nachrichtendienstliche Beschaffungsaktivitäten sind vorerst nur eine von vielen Bedrohungen für die Informationssicherheit. Bereits beim einmaligen Zugang zu einer als GEHEIM klassifizierten Information kann eine Person dem Bund schwerwiegenden Schaden zufügen. Dies kann z.B. der Fall sein, wenn diese Person Informationen über die Verhandlungsstrategie der Schweiz in besonders wichtigen Angelegenheiten der Öffentlichkeit preisgibt. Der Schaden selbst ergibt sich also nicht bloss aus der Regelmässigkeit des Zugangs, sondern auch aus dem Informationsinhalt. Des Weiteren ist der Begriff "regelmässig" selbst nicht eindeutig und hat im geltenden Recht oft zu uneinheitlichen Auslegungen geführt.

Die materiellen Voraussetzungen für den Eintrag einer Funktion in die Funktionsliste und damit für die Durchführung einer Personensicherheitsprüfung sind im Entwurf deshalb leicht anders als im heutigen System. Vom Kriterium der Regelmässigkeit, insbesondere bei der Bearbeitung von klassifizierten Informationen, soll formell-gesetzlich abgesehen werden. Wichtiger für die Unterstellung der Bundesangestellten unter die PSP ist nämlich die Frage, ob die Inhaberin oder der Inhaber einer bestimmten Funktion für ihre oder seine Aufgabenerfüllung klassifizierte Informationen der Stufen VERTRAULICH oder GEHEIM bearbeiten muss, IKT-Mittel der Stufe «hoher Schutz» oder «sehr hoher Schutz» verwalten, betreiben, warten oder überprüfen muss oder Zugang zu Sicherheitszonen haben muss. Wenn eine solche Tätigkeit für die funktionsbedingte Aufgabenerfüllung erforderlich ist, dann - und nur dann - muss die Funktion in die Liste der zu prüfenden Funktionen aufgenommen werden. Dieser Ansatz entspricht dem Grundsatz der restriktiven Erteilung von Berechtigungen (Art. 29) und dem Grundsatz des "Need to know", der für die Bearbeitung von klassifizierten Informationen gilt (Art. 15 Abs. 1).

Im Weiteren wurde die heutige Regelung insbesondere in folgenden Punkten geändert:

 Rechtliche Natur der auszustellenden Erklärung: Art. 22 PSPV sieht vor, dass die Fachstellen PSP nach

Abschluss der PSP eine Verfügung nach Art. 5 VwVG erlassen. Die Beurteilung des allfälligen Sicherheitsrisikos durch die Fachstellen PSP entspricht aber nicht der rechtlichen Definition einer Verfügung, denn sie beeinflusst im juristischen Sinne die Rechte und Pflichten und den Status der betroffenen Person nicht unmittelbar. Die für die Übertragung der sicherheitsempfindlichen Tätigkeit zuständige Stelle ist nämlich nicht an die Erklärung der Fachstellen PSP gebunden (s. Art. 46) und die zu prüfende Person hat kein Recht auf eine Anstellung, die Übertragung einer bestimmten Funktion oder auf die Erteilung eines Auftrags. Die Beurteilungen der Fachstellen PSP bilden daher rechtlich gesehen Realakte nach Art. 25a VwVG (zum Rechtsmittelweg s. Art. 51).

 Sicherheitserklärung mit Vorbehalt statt Auflagen: Falls ein bedingtes Sicherheitsrisiko besteht, das durch

bestimmte Massnahmen oder Auflagen hinreichend eingeschränkt werden kann, stellen die Fachstellen PSP neu eine Sicherheitserklärung mit Vorbehalt (anstatt wie bisher mit Auflagen) aus. Die Fachstellen PSP legen selbst keine Auflagen fest, empfehlen aber solche. Die neue Formulierung zeigt einerseits, dass die Fachstellen PSP einen Vorbehalt bezüglich der Sicherheitserklärung haben. Andererseits wird deutlich, dass ihr Vorbehalt bloss empfehlenden Charakter für die Behörde oder Organisation hat, die für die Übertragung der sicherheitsempfindlichen Tätigkeit bzw. Funktion zuständig ist. Diese Stelle legt allenfalls entsprechende Auflagen fest.

 Streichung des Verbots nach Art. 20 Abs. 1 BWIS, Daten über die Ausübung verfassungsmässiger Rechte

zu erheben. Obwohl Sinn und Zweck dieser Bestimmung klar und zweckmässig sind, ist dieses Verbot nicht praxistauglich. Jede Person hat z.B. das verfassungsmässige Recht zu heiraten. Bei der Erhebung der Daten werden aber selbstverständlich auch Daten über den Zivilstand erhoben, was eigentlich aufgrund der erwähnten BWIS-Bestimmung verboten wäre. Die geltende Regelung will nur verhindern, dass Personen aufgrund ihrer politischen Ansichten sicherheitsmässig ausgeschlossen werden. Deshalb sieht der Entwurf neu vor, dass ein Sicherheitsrisiko immer durch die tatsächlichen Umstände der persönlichen