Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Übersicht

Information ist die Währung der Informationsgesellschaft. Die Bundesbehörden tragen die Verantwortung für den sicheren Umgang mit den Informationen, die sie oder ihre unterstellten Organisationen im Auftrag und im Namen der Schweiz bearbeiten. Um diese Verantwortung wahrnehmen zu können, müssen sie über zeitgemässe Instrumente verfügen. Die Gefahren und Bedrohungen für Informationen sind mit der Entwicklung zu einer Informationsgesellschaft komplexer und dynamischer geworden. Mehrere Angriffe auf Informationssysteme des Bundes haben aufgezeigt, dass der Schutz von Informationen Lücken aufweist. Diese Lücken, insbesondere im organisatorischen Bereich, sind auch auf unzeitgemässe oder inkohärente Rechtsgrundlagen zurückzuführen.

Der vorliegende Gesetzesentwurf schafft - basierend auf international anerkannten Standards - einheitliche formell-gesetzliche Grundlagen für das Management der Informationssicherheit im Zuständigkeitsbereich des Bundes. Dabei strebt er an, den Schutz der Informationen und die Sicherheit beim Einsatz von Informations- und Kommunikationstechnologien (IKT) an die Anforderungen einer modernen, vernetzten Informationsgesellschaft anzupassen sowie Lücken und Schwachstellen des geltenden Rechts zu beheben.

Kernpunkte des Entwurfs

Informationssicherheit

Der Begriff "Informationssicherheit" erfasst "sämtliche Anforderungen und Massnahmen, die zum Schutz der Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit von Informationen dienen, und zwar unabhängig davon, ob die Informationen elektronisch, mündlich oder in Papierform bearbeitet werden".

Die bestehenden Rechtsgrundlagen für die Festlegung solcher Anforderungen und die Umsetzung von Massnahmen sind beim Bund sehr sektoriell ausgelegt, kaum aufeinander abgestimmt und oft lückenhaft. Dasselbe gilt für die organisatorischen Zuständigkeiten. So betreibt der Bund heute sowohl rechtlich also auch organisatorisch parallele Organisationen für den Datenschutz, den Informationsschutz (Schutz klassifizierter Informationen), die Informatiksicherheit, die Personensicherheit, die physische Sicherheit und das Risikomanagement. Die Praxis hat gezeigt, dass diese sektorielle Ausrichtung nicht effizient ist. Der Entwurf fasst deshalb die wichtigsten Massnahmen für den Schutz von Informationen in einer einzigen, einheitlichen Regelung zusammen. Er sieht ferner eine einzige Struktur vor, um die Belange der Informationssicherheit rechtlich und organisatorisch integral zu steuern und zu überprüfen.

Institutioneller Geltungsbereich

Der Umfang des zunehmend elektronischen Informationsaustauschs unter Behörden sowie zwischen Behörden und Privaten (inkl. Wirtschaft) hat stark zugenommen. Die Schutzwürdigkeit einer Information hängt aber nicht davon ab, welche Stelle oder Person sie bearbeitet. IKT-Infrastrukturen und Systeme werden zudem vermehrt untereinander vernetzt. Dadurch wird das Risiko erhöht, dass sich Angriffe sowie Bedrohungen gegen eine Behörde auf die Zuständigkeitsbereiche anderer beteiligten Behörden ausbreiten können. Es ist daher notwendig, ein einheitliches, behördenübergreifendes Sicherheitsniveau festzulegen, um einerseits das gegenseitige Vertrauen der Bundesbehörden bei der Informationsbearbeitung zu gewährleisten, andererseits aber auch, um das Risiko für alle beteiligten Behörden zu reduzieren.

Vom primären Geltungsbereich des Entwurfs werden deshalb alle Bundesbehörden (die Bundesversammlung, die eidgenössischen Gerichte, der Bundesrat, die Bundesanwaltschaft, die Aufsichtsbehörde über die Bundesanwaltschaft und die Nationalbank) sowie die ihnen unterstellten Organisationen (die Parlamentsdienste, die Verwaltungen der eidgenössischen Gerichte, die Bundesverwaltung und die Armee) erfasst werden. Soweit die Kantone oder Dritte mit der Bearbeitung von Informationen des Bundes betraut werden oder Zugang zu seinen IKT-Mitteln erhalten, müssen die Vorgaben des Bundes für sie ebenfalls verbindlich sein.

Risikomanagement

Die Komplexität und Dynamik der Bedrohungen erfordert von den Bundesbehörden, dass sie den Fokus vermehrt auf die systematische Bewertung des Schutzbedarfs von Informationen und auf die Beurteilung der entsprechenden Risiken setzen. Dies setzt ein wirksames Risikomanagement im Bereich der Informationssicherheit sowie eine regelmässige Überprüfung der Umsetzung von risikomindernden Massnahmen voraus. Beides fehlt heute weitgehend. Deshalb initialisiert der Entwurf auch einen Prozess zur nachhaltigen und wirtschaftlichen Aufrechterhaltung der Informationssicherheit.