Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Die Regelung steht zum Teil mit der PSP in relativ engem Zusammenhang, unterscheidet sich aber von dieser in wesentlichen Punkten des Verfahrensablaufs:

 Zwar wird im Grundsatz ebenfalls eine Prüfung der Vertrauenswürdigkeit des Betriebs vorgenommen. Je

nach dem Ergebnis der Beurteilung wird dann eine BSE ausgestellt, welche die Vertrauenswürdigkeit des Betriebs bescheinigt und es ihm als Auftragnehmer ermöglicht, sicherheitsempfindliche Tätigkeiten des Bundes (oder einer ausländischen Behörde) auszuüben. Dabei geht es aber nicht nur um die eigentliche "Prüfung" des Betriebs, sondern auch um die Festlegung der umzusetzenden auftragsbezogenen Sicherheitsmassnahmen im Betrieb.

 Anders als die PSP ist das Verfahren mit der Erteilung der BSE auch nicht einfach abgeschlossen, son-

dern die Einhaltung der festgelegten Massnahmen muss jederzeit überprüft werden können.

1.2.6 Informationssicherheit bei den kritischen Infrastrukturen (KI)

Mit Beschluss vom 30. November 2011 hat der Bundesrat das VBS beauftragt, soweit erforderlich die formell-gesetzlichen Bedürfnisse der Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken (NCS) in das vorliegende Gesetz zu integrieren. Der Bundesrat hat in der NCS am Grundsatz der dezentralen Regulierung der KI festgehalten (s. Ziff. 1.1.2.2). Die Prüfung des formell-gesetzlichen Regelungsbedarfs zur Erfüllung des dezentralen Vollzugs der NCS obliegt demnach denjenigen Departementen, die im Rahmen ihrer Aufgabenerfüllung gegenüber KI-Betreibern über Regulationsbefugnisse verfügen (z.B. das UVEK für die Sektoren der Kommunikationsinfrastruktur oder Energieversorgung). Soweit sektorspezifisch formellgesetzlicher Handlungsbedarf besteht, muss die entsprechende Fachgesetzgebung angepasst werden.

Es gibt demgegenüber auch bestimmte Aufgaben, die sektorübergreifend angegangen werden müssen und nicht zuletzt aus Effizienz- und Kostengründen nicht durch die einzelnen dezentralen Regulatoren wahrgenommen werden können. Primär betroffen ist die Unterstützung der verschiedenen KI durch den gegenseitigen Austausch von Informationen über Bedrohungen im Bereich der Informationssicherheit, welche insbesondere der Früherkennung von Risiken und der Abwehr von Gefahren dient. In diesem Bereich hat sich in der Praxis gezeigt, dass die Verbindung zu einer einheitlichen Ansprechstelle auf der Seite des Bundes (in Form der Melde- und Analysestelle Informationssicherung MELANI) von den KI-Betreibern ausdrücklich erwünscht ist. Es hat sich weiter erwiesen, dass die im Rahmen von MELANI aufgebaute öffentlich-private Partnerschaft, insbesondere dank ihrem Zugang zu Informationen aus dem Nachrichtendienst des Bundes, sehr wirksam ist. Geschätzt werden neben den von MELANI bereitgestellten Informationen insbesondere der Verbleib der Informationsherrschaft beim Informationslieferanten bezüglich ausgetauschten Informationen über Vorfälle, die Freiwilligkeit der Zusammenarbeit sowie der Ansatz, durch Informationen und gegebenenfalls Empfehlungen den Informationssicherungs- und Risikomanagementprozess zu unterstützen, statt durch Regulierungen Massnahmen vorzuschreiben.

Diese bereichsübergreifende Aufgabe des Bundes zur Unterstützung der KI soll im vorliegenden "Querschnittgesetz" vorgesehen werden, soweit dafür eine formell-gesetzliche Grundlage nötig ist. Im Entwurf werden somit die zentralen Aufgaben von MELANI verankert. Zur Erfüllung dieser Aufgaben muss ME-LANI regelmässig Personendaten bearbeiten. Darunter können auch (selten) besonders schützenswerte Personendaten fallen. Der Entwurf schafft die erforderliche formell-gesetzliche Grundlage für die Bearbeitung solcher Daten.

1.2.7 Vollzug

1.2.7.1 Vollzug bei den Bundesbehörden

Die Regelung des Vollzugs dieses Gesetzes steht vor der Herausforderung, dass die Anwendung des Gesetzes nach möglichst einheitlichen Kriterien erfolgen soll. Die Vorgaben der Informationssicherheit sollen durchgehend zur Anwendung gelangen. Kann ein einheitlicher Vollzug (insbesondere bei der Handhabung klassifizierter Informationen oder beim Umgang mit IKT-Mitteln) nicht erreicht werden, sind im behördenübergreifenden Informationsaustausch zwangsläufig Lücken bei der Informationssicherheit die Folge. Die Organisations- und Vollzugsautonomie der betroffenen Behörden (Parlament, Bundesrat, Gerichte des Bundes, Bundesanwaltschaft, Nationalbank) muss aber gewahrt bleiben. Die verfassungsmässige Zuständigkeit der verschiedenen Behörden darf durch partielle behördenübergreifende Vollzugsvorgaben einer einzelnen Behörde (etwa des Bundesrats) nicht in Frage gestellt werden.

Der Vorentwurf berücksichtigt diese an sich widersprüchlichen Anforderungen mit drei Mechanismen:

 Eine "Opting-out"-Regelung für den Vollzug: Als Grundsatz wird festgelegt, dass jede Behörde in ihrem

Bereich den Erlass selbständig vollzieht und entsprechendes Verordnungsrecht erlässt. Das Vollzugsrecht des Bundesrates soll jedoch für die übrigen Bundesbehörden sinngemäss gelten, solange und soweit sie keine eigenen Regelungen erlassen.