Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

ländische Staatsangehörige zu als GEHEIM klassifizierten Informationen des Bundes muss aber im Auftrag des Bundesrats verzichtet werden.

1.2.8.3 Rückgabe schutzwürdiger Informationen des Bundes im Besitz Privater

Es wurde geprüft, ob es für die rasche Durchsetzung des Informationsschutzes wesentlich wäre, dass Informationsträger mit schutzwürdigen Informationen, die ohne Zustimmung der zuständigen Behörde in den Besitz Dritter gelangt sind, durch direkte Verfügung sichergestellt werden könnten. Damit hätten die betroffenen Bundesbehörden im Rahmen des Verwaltungsverfahrensrechts (d.h. ohne vorgängiges Straf- oder Zivilverfahren) die Rückgabe oder Vernichtung entsprechender Informationsträger verfügen können. Da zu vermuten ist, dass eine solche Bestimmung insbesondere im Hinblick auf die Pressefreiheit ausserordentlich konfliktträchtig wäre und auf starken politischen Widerstand stossen würde, wird auf eine entsprechende Regelung verzichtet.

1.2.8.4 Gefährdung der Sicherheit durch die Verbreitung von Informationen durch Private

Ausserhalb eigentlicher Straftatbestände gibt es heute für die Behörden keine Grundlagen, um die Verbreitung von privaten Informationen zu verhindern, die für die Allgemeinheit und den Staat zu erheblichen Bedrohungen und Gefährdungen führen können. Gedacht wird dabei insbesondere an Baupläne bestimmter Waffen, Labordaten, Infrastrukturpläne etc. Es wurde geprüft, ob eine Kompetenz der vom Sachbereich her zuständigen Bundesstellen eingeführt werden sollte, solche Publikationen im Rahmen des Verwaltungsverfahrens im Einzelfall zu untersagen oder die Inhaber solcher Informationen zu Sicherheitsmassnahmen nach dem Gesetz zu verpflichten (Klassifizierung der Informationen, Durchführen von PSP oder eines BSV). Eine solche Regelung würde aber einen erheblichen Eingriff in grundrechtlich geschützte Positionen Dritter darstellen und es wäre mit erheblichem politischem Widerstand zu rechnen.

1.2.8.5 Integration bestehender gesetzlicher Regelungen im Bereich des Objektsschutzes

An sich ist unbestritten, dass die Informationssicherheit (einschliesslich des Schutzes der IKT-Mittel) und die PSP einen relativ engen Zusammenhang mit dem Objektschutz haben, d.h. mit dem Schutz der Gebäude und Einrichtungen des Bundes. Diese Materie wird derzeit durch verschiedene gesetzliche Bestimmungen mit relativ unterschiedlicher Ausgestaltung und in unterschiedlicher Weise erfasst (s. im militärischen Bereich das AnlageschutzG, im zivilen Bereich etwa Art. 22-24 BWIS, Art. 62f RVOG, Art. 69 ParlG und Art. 25a BGG). Die Prüfung hat ergeben, dass eine gewisse Harmonisierung dieser Bestimmungen bzw. die Schaffung einer einheitlichen gesetzlichen Grundlage zwar wünschbar wäre, von der materiellen und organisatorischen Tragweite her aber den Rahmen des vorliegenden Projektes sprengen würde. Die Vorlage enthält jedoch zwei Bestimmungen über den physischen Schutz von Informationen und IKT-Mitteln. Die heutigen Zuständigkeiten im Bereich des Objektschutzes werden damit nicht in Frage gestellt.

1.3 Organisation der Informationssicherheit im Bund

Der Bundesrat hat in seinem Beschluss vom 12.05.2010 das VBS beauftragt, bei der Erarbeitung des Entwurfs zu prüfen, ob und inwieweit die Zuständigkeiten und Verantwortlichkeiten im Bereiche der Informationssicherheit den heutigen Anforderungen genügen. Zu prüfen war insbesondere auch, ob eine Zusammenlegung der verschiedenen interdepartementalen Ausschüsse opportun erscheint. Dieser Prüfauftrag betrifft grundsätzlich nur die Bundesverwaltung. Die Prüfungsergebnisse liefern aber wichtige Erkenntnisse, die für die Organisation der behördenübergreifenden Informationssicherheit auch gelten.

1.3.1 Heutige Organisation der Informationssicherheit in der Bundesverwaltung

In der Bundesverwaltung werden die Zuständigkeiten und Verantwortlichkeiten für den Schutz von Informationen je nach Informationsart (z.B. klassifizierte Informationen oder Personendaten) oder Bearbeitungs- oder Schutzmassnahmenart (elektronisch oder physisch) durch verschiedene rechtliche Erlasse und Vorgabestellen geregelt. Der Bund betreibt in der Folge auch mehrere parallele Organisationen, die sich mit Haupt- oder Teilaufgaben der Informationssicherheit befassen (Informationsschutz, Datenschutz, Informatiksicherheit, Objektsicherheit und Risikomanagement). Nachfolgend werden die drei Bereiche, die vom Bundesrat explizit erwähnt wurden (Informationsschutz, Datenschutz und Informatiksicherheit), bezüglich Zuständigkeiten und Verantwortlichkeiten näher betrachtet.

1.3.1.1 Organisation des Informationsschutzes

Der Informationsschutz in der Bundesverwaltung ist zur Hauptsache in der ISchV geregelt. Ergänzende Regelungen befinden sich in den sogenannten Informationsschutzabkommen (ISA; s. auch Art. 90). Die Umsetzung des Informationsschutzes erfolgt dezentral, wird aber zentral durch Organe ohne Weisungsbefugnisse koordiniert.