Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

 Standardanforderungen und -massnahmen: Der Bundesrat soll ermächtigt werden, standardisierte Anfor-

derungen und Massnahmen nach dem Stand von Lehre und Technik festzulegen, die für die anderen Bundesbehörden als Empfehlungen gelten sollen. Dabei handelt es sich nicht um grundsätzliche Organisationsfragen, sondern um untergeordnete Prozesse, Mittel und Dienstleistungen (z.B. Erhebung des Schutzbedarfs von Informationen, Methoden für die Risikobeurteilung, Verschlüsselung, Anforderungen an Sicherheitsbehältnisse). Damit soll ein einheitliches Sicherheitsniveau erreicht werden, es sollen aber auch die Projekt- und Umsetzungskosten reduziert werden. Der Bundesrat soll die Möglichkeit haben, die Festlegung an kompetente Fachorgane zu delegieren.

 Die Schaffung eines fachspezifischen behördenübergreifenden Koordinationsorgans: Die für die fachli-

che Steuerung der Umsetzung des Gesetzes zuständigen Informationssicherheitsbeauftragten werden aufgrund ihrer Stellung umfassende Kenntnisse der Situation und der Probleme der Informationssicherheit in ihrem Zuständigkeitsbereich, insbesondere bei der Umsetzbarkeit und Wirksamkeit der Vorschriften sowie der beschlossenen Massnahmen erhalten. Es bietet sich daher an, als Koordinationsorgan eine Konferenz dieser Beauftragten gesetzlich zu institutionalisieren. Die Konferenz dient hauptsächlich dem einheitlichen, behördenübergreifenden und risikobasierten Vollzug des Gesetzes. Sie soll hierzu auch bei der Festlegung der Standardanforderungen und -massnahmen einbezogen werden.

Mit der vorgeschlagenen Lösung wird die Unabhängigkeit der Bundesbehörden beim Vollzug bewahrt. Der Vollzug erfolgt dezentral. Das angestrebte einheitliche Sicherheitsniveau wird durch einheitliche Doktrin, durch die Erarbeitung von Standards sowie durch die professionelle Unterstützung und Beratung von Fachorganen erreicht. Zu den gesetzestechnischen Nachteilen der Lösung, s. Ziff. 1.2.2.2.

1.2.7.2 Vollzug in der Bundesverwaltung und bei weiteren verpflichteten Organisationen

Der Gesetzesentwurf regelt hauptsächlich den behördenübergreifenden Rahmen. Für den Vollzug in der Bundesverwaltung sowie bei Organisationen, welche Verwaltungsaufgaben im Sinne von Artikel 2 Absatz 4 RVOG erfüllen, ist der Bundesrat zuständig. Seine Vollzugsautonomie ist - unter Vorbehalt der Erfüllung der materiellen und organisatorischen Anforderungen des Gesetzes - kaum eingeschränkt. Die Vorlage sieht zwei Eingriffe in seine Autonomie vor:

 Der Bundesrat muss wie alle anderen Bundesbehörden die Informationssicherheit in seinem Zuständig-

keitsbereich nach dem Stand von Lehre und Technik steuern, umsetzen und überprüfen (s. Art. 5 Abs. 1).

 Der Bundesrat sowie die Departemente und die BK müssen je eine/n Informationssicherheitsbeauftragte/n

sowie eine Stellvertretung für ihren Bereich bezeichnen (s. Ziff. 1.3.2 sowie Art. 84).

Der Entwurf legt keine weiteren Vorgaben für den Vollzug in der Bundesverwaltung und das entsprechende Verordnungsrecht fest. Das Gesetz lässt hier dem Bundesrat viel Spielraum. So kann der Bundesrat z.B. den Organisationen des dritten Kreises oder Organisationen nach Art. 2 Abs. 4 RVOG eine grössere Vollzugsautonomie einräumen. In diesem Zusammenhang wird er auch beschliessen können, ob er am heutigen grösstenteils dezentralisierten Vollzug festhalten will oder ob bestimmte Kompetenzen und Zuständigkeiten zentralisiert werden sollen.

1.2.8 Bereiche, in denen auf eine Regelung verzichtet wird

Die Prüfung der Möglichkeiten und der Opportunität einer gesetzlichen Regelung der folgenden Problembereiche hat ergeben, dass sie die hier anvisierte Regelung eines Informationssicherheitsgesetzes materiell in verschiedener Hinsicht wesentlich ausdehnen und vermutlich auf wenig Akzeptanz stossen würde. Es wird daher auf entsprechende Regelungsvorschläge verzichtet.

1.2.8.1 Strafbestimmungen

Es wurde zwar festgestellt, dass die Bestimmungen im StGB und im MStG, die sich mit dem Schutz des Amtsgeheimnisses und dem Schutz klassifizierter bzw. schutzwürdiger Informationen des Bundes und der Kantone befassen, heute wenig kohärent und in verschiedensten Teilen revisionsbedürftig sind. Es handelt sich bei diesen Bestimmungen aber um eine Materie des Kernstrafrechts, die nicht annexweise im Rahmen eines Organisationserlasses, sondern durch eine selbständige Revision des StGB revidiert werden sollte. Der Bundesrat wird zu gegebener Zeit einen entsprechenden Auftrag erteilen.

1.2.8.2 Einschränkung des Zugangs zu klassifizierten Informationen aufgrund der

Staatsbürgerschaft

In ersten Entwürfen der Expertengruppe war vorgesehen, den Zugang zu als GEHEIM klassifizierten Informationen des Bundes grundsätzlich Schweizer Bürgerinnen und Bürgern vorzubehalten. Personen, die das Bürgerrecht eines Staates besitzen, mit dem die Schweiz ein Informationsschutzabkommen geschlossen hat, hätte in Ausnahmefällen jedoch Zugang gewährt werden können. Auf Beschränkungen des Zugangs für aus-