Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

nen haben. Dies kann keinesfalls zutreffen. Die Anzahl durchzuführender PSP dieser Stufe soll folglich deutlich geringer ausfallen.

 Zu den Kontrollaufgaben der Informationssicherheitsbeauftragten (s. Art. 84) gehört auch die Prüfung der

Rechtmässigkeit des Eintrags einer Funktion auf der Liste der zu prüfenden Funktionen.

Die mit den aufgeführten Massnahmen angestrebte Erhöhung des Schwellenwertes für die Durchführung einer PSP wird dazu führen, dass bestimmte Sicherheitsbedürfnisse nicht mehr durch die PSP abgedeckt werden. Um die Schaffung eines Sicherheitsvakuums zu vermeiden sollen den Arbeitgeberinnen und Arbeitgebern andere, verhältnismässigere Mittel zur Verfügung gestellt werden, um ihren durchaus legitimen Sicherheitsbedürfnissen zu genügen. Die Arbeitgeberinnen und Arbeitgeber sollen ermächtigt werden, von Stellenbewerberinnen und Stellenbewerbern sowie den Angestellten zu verlangen, dass sie einen Auszug aus dem Strafregister und aus dem Betreibungsregister vorlegen, sofern dies für die Wahrung der Interessen des Arbeitgebers erforderlich ist. Es wird eine entsprechende Revision des BPG beantragt (s. Art. 20a BPG).

1.2.5 Betriebssicherheitsverfahren

Das Betriebssicherheitsverfahren (BSV; bis anhin "Geheimschutzverfahren" genannt) befasst sich mit der Wahrung der Informationssicherheit bei der Vergabe von Aufträgen der Behörden an Dritte (nachfolgend "Betriebe" genannt), die nicht ihrer unmittelbaren Aufsicht unterstehen. Die Behörden vergeben in vielen Sachbereichen Aufträge, die mit sicherheitsempfindlichen Tätigkeiten verbunden sind, an die Privatwirtschaft. Damit die Interessen nach Art. 1 Abs. 2 auch ausserhalb des unmittelbaren Anwendungsbereichs des Gesetzes geschützt werden, wird bei entsprechenden Auftragnehmern ein BSV durchgeführt. Das Verfahren dient einerseits der Prüfung der Vertrauenswürdigkeit der zu beauftragenden Betriebe, andererseits ermöglicht es, die notwendigen Massnahmen zur Wahrung der Informationssicherheit während der Ausführung des Auftrags zu kontrollieren und durchzusetzen. Das BSV dient nicht der Produktsicherheit: Dafür ist selbstverständlich einzig die auftraggebende Stelle zuständig.

Das BSV ist zweckmässig und international üblich (s. etwa Art. 11 des Beschlusses des Rates über die Sicherheitsvorschriften für den Schutz von EU-Verschlusssachen vom 31. März 2011⁵ resp. Abschnitt VII der Regeln und Vorschriften der Europäischen Weltraumorganisation vom 15. Dezember 2011⁶). Es wird in der Schweiz für Aufträge des Bundes mit militärisch klassifiziertem Inhalt seit Ende der siebziger Jahre gestützt auf die GeheimschutzVO durchgeführt. Aufgrund des begrenzten materiellen Geltungsbereichs dieser Verordnung werden zurzeit nur militärische klassifizierte Aufträge erfasst. Das Manko eines einheitlichen, d.h. auch für Aufträge aus dem zivilen Bereich durchzuführenden BSV wurde vom Bundesrat bereits vor längerer Zeit erkannt. Es führte einerseits dazu, dass für klassifizierte Aufträge des Bundes aus dem nichtmilitärischen Bereich jeweils spezielle Sicherheitsvorkehrungen getroffen werden mussten. Andererseits hinderte es Schweizer Unternehmen mehrfach daran, sich erfolgreich um die Teilnahme an klassifizierten, nicht-militärischen Projekten des Auslandes zu bewerben. Als Beispiele können etwa die Herstellung von Ausweisen oder Zahlungsmitteln für Drittstaaten oder die Mitwirkung in bestimmten wissenschaftlichen Projekten erwähnt werden. Damit schadete es auch der Wettbewerbsfähigkeit der Schweizer Wirtschaft.

Das Verfahren läuft in groben Zügen wie folgt ab: Die auftragserteilende Stelle stellt der Fachstelle für Betriebssicherheit (Fachstelle BS) Antrag zur Durchführung des BSV. Nach der Einleitung desselben legt die Fachstelle BS in Absprache mit der Antragstellerin (Auftraggeberin) zunächst die Sicherheitsanforderungen fest. Hierauf prüft die Fachstelle BS die sicherheitsmässige Eignung der in Frage kommenden Firmen. Es soll insbesondere geprüft werden, ob die betroffenen Firmen von anderen Staaten kontrolliert oder beeinflusst werden und gegebenenfalls ob diese Kontrolle oder der Einfluss mit der Informationssicherheit des Bundes vereinbart werden kann. Die auftragserteilende Stelle vergibt anschliessend den Auftrag an eine Firma, welche als sicherheitsmässig geeignet beurteilt wurde. Die Fachstelle BS legt alsdann in einem Sicherheitskonzept fest, wie die Auftragnehmerin die Anforderungen an die Informationssicherheit umsetzen muss. Nachdem die erforderlichen Sicherheitsmassnahmen umgesetzt wurden, wird der Auftragnehmerin die Betriebssicherheitserklärung (BSE) ausgestellt. Sobald schliesslich nach der Durchführung der PSP auch die erforderlichen Sicherheitserklärungen vorliegen, darf die auftragserteilende Stelle dem Betrieb die für die Erledigung des sicherheitsempfindlichen Auftrags erforderlichen Mittel (z.B. Informationen, Daten etc.) zur Verfügung stellen. Die BSE hat besondere Wirkungen sowohl für den Betrieb als auch für die Fachstelle BS. Letztere erhält insbesondere das Recht, den Betrieb unangemeldet zu inspizieren sowie weitere Massnahmen zu treffen. Die Detailregelung des BSV wird der Bundesrat auf Verordnungsebene festlegen.