Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

 Generalsekretärenkonferenz (GSK): Nach Art. 8 und 18 ISchV ist die GSK für den Erlass der detaillier-

ten Vorgaben (Klassifizierungskatalog und Bearbeitungsvorschriften) im Bereich des Informationsschutzes zuständig. Die Bearbeitungsvorschriften legen auch Verhaltensvorschriften für den elektronischen Umgang mit klassifizierten Informationen sowie Anforderungen an die Sicherheit von IKT-Mitteln fest.

 Informationsschutzbeauftragte: Alle Departemente und die Bundeskanzlei müssen nach Art. 19 ISchV

eine/n Informationsschutzbeauftragte/n bezeichnen. Die Informationsschutzbeauftragten sorgen für die Umsetzung des Informationsschutzes in ihrem Zuständigkeitsbereich. Obschon die ISchV es nicht verlangt, haben alle Departemente auf Stufe Verwaltungseinheit weitere "Informationsschutzberater" bezeichnet.

 Koordinationsausschuss für den Informationsschutz im Bund (KOAISchB): Die interdepartementale Ko-

ordination erfolgt im Rahmen des KOAISchB (Art. 20 ISchV). Er sorgt für einen einheitlichen Vollzug des Informationsschutzes im Bund, erarbeitet die Vorlagen zu Handen der GSK und erstattet ihr alle zwei Jahre Bericht. Er koordiniert seine Tätigkeiten mit dem Ausschuss Informatiksicherheit (A-IS) des ISB.

 Koordinationsstelle für den Informationsschutz im Bund (KISchB): Der KOAISchB und die Informations-

schutzbeauftragten werden nach Art. 20a ISchV von der bei der Informations- und Objektsicherheit (IOS) im VBS angesiedelten KISchB unterstützt. Sie erstellt die notwendigen Ausbildungshilfsmittel und nimmt die Rolle der Ansprechstelle für Kontakte mit in- und ausländischen sowie internationalen Stellen im Bereich des Informationsschutzes wahr. Sie kann auch die in völkerrechtlichen Verträgen vorgesehenen Sicherheitsinspektionen und im Einvernehmen mit den Departementen und der BK weitere Kontrollen durchführen.

1.3.1.2 Organisation des Datenschutzes

Die Rechtsgrundlagen für die Bearbeitung von Personendaten finden sich in den jeweiligen Spezialgesetzen. Die Organisation des Datenschutzes im Bund ist dagegen grundsätzlich im DSG und in der VDSG geregelt. Im Gegensatz zur ISchV gelten diese Erlasse auch für Private. Der Vollzug des Datenschutzes erfolgt dezentral. Er wird aber zentral durch den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) überwacht und durch die Gruppe Datenschutz, ein informelles Organ ohne Weisungsbefugnisse, koordiniert.

 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB): Das DSG hat die Stelle des

EDÖB geschaffen, mit dem Zweck, Privatpersonen und Bundesorgane im Hinblick auf die Einhaltung der Datenschutzbestimmungen zu beraten und zu beaufsichtigen. Der EDÖB überwacht die Einhaltung des DSG und der übrigen Datenschutzvorschriften des Bundes durch die Bundesorgane. Er ist administrativ der BK zugeordnet.

 Datenschutzberater: Die Bundeskanzlei und die Departemente müssen nach Art. 23 VDSG jeweils min-

destens einen Berater für den Datenschutz bezeichnen. Diese Berater unterstützen die verantwortlichen Organe und Benutzer, fördern die Information und die Ausbildung der Mitarbeiter und wirken beim Vollzug der Datenschutzvorschriften mit. Der Verkehr der Bundesorgane mit dem EDÖB läuft über die Berater. Die meisten Verwaltungseinheiten haben auch auf ihrer Ebene eine/n Datenschutzberater/in bezeichnet.

 Gruppe Datenschutz: Die Datenschutzgesetzgebung sieht kein Organ für die departementsübergreifende

Koordination des Datenschutzes im Bund vor. Deshalb wurde eine informelle Gruppe Datenschutz unter der Leitung des Datenschutzberaters der Bundeskanzlei geschaffen. Ihr gehören alle Datenschutzberater der Departemente, eine Vertretung des EDÖB und eine Vertretung der Parlamentsdienste an. Die Gruppe sorgt insbesondere für einen einheitlichen und koordinierten Vollzug des Datenschutzes im Bund, vertritt Praxisanliegen gegenüber dem EDÖB und sorgt für die Organisation von Ausbildungsveranstaltungen.

1.3.1.3 Fachorganisation der Informatiksicherheit

Die Organisation der Informatiksicherheit ist hauptsächlich in der Bundesinformatikverordnung (BinfV) geregelt, wobei zahlreiche andere Erlasse Einfluss auf die entsprechenden Zuständigkeiten und Verantwortlichkeiten haben (ISchV, Informationsschutzabkommen, VDSG, GEVER-Verordnung, usw.). Der Vollzug der Informatiksicherheit erfolgt dezentral. Die Departemente und die Bundeskanzlei sind für die Umsetzung in ihrem Bereich selbst verantwortlich. Der Vollzug wird aber zentral durch ein Organ mit Weisungsbefugnissen (ISB) gesteuert und durch ein Konsultativorgan (A-IS) begleitet.

 Bundesrat: Der Bundesrat übernimmt bei der IKT-Sicherheit eine strategische Rolle. Viele seiner Aufga-

ben im IKT-Sicherheitsbereich beziehen sich auf seine Verantwortung im allgemeinen IKT-Bereich nach Art. 14 BinfV: Er bestimmt die IKT-Strategie des Bundes; überwacht die Umsetzung der IKT-Strategie