Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Schutz der Daten, die dem BIT anvertraut wurden (operativer Schutz der zentralen IKT-Infrastrukturen des Bundes).

 Militärisches Computer Emergency Response Team (MilCERT): Das MilCERT sorgt als Pendant des

CSIRT für die Sicherung der Netzwerke der Armee und des VBS. Es ist innerhalb der Führungsunterstützungsbasis der Armee (FUB) im Zentrum Elektronische Operationen (ZEO) integriert, um als unabhängige Einheit sicherheitsrelevante Vorfälle innerhalb des VBS und der Armee zu untersuchen.

 Informationssicherheit und Kryptologie (IS Krypt): Der Bereich IS Krypt ist ebenfalls bei der FUB/ZEO

angesiedelt. Seine Kryptologen stellen die Kommunikationssicherheit von Armee, VBS und weiteren Einheiten der Bundesverwaltung sicher, indem sie kryptographische Verfahren und Systeme evaluieren und selber entwickeln. Seine Arbeit erstreckt sich von der Überprüfung von kryptologischen Grobkonzepten bis hin zur Analyse einzelner kryptologischer Funktionen, wofür profunde Kenntnisse der aktuellen kryptoanalytischen Forschung notwendig sind.

 Armasuisse, Wissenschaft und Technologie (W+T): Durch den Bereich Informatik und Cyberspace der

W+T werden Risikoanalysen, Sicherheitsprüfungen und Audits im Bereich der organisatorischen und technischen Informationssicherheit durchgeführt. Die Dienste der W+T werden zunehmend auch von zivilen Stellen der Bundesverwaltung in Anspruch genommen, insbesondere für den Nachweis der Effektivität von Sicherheitskonzepten und der Schutzwirkung von Sicherheitsmassnahmen sowie für technische Verifikations- und Penetrationstests. W+T betreibt in diesem Bereich auch ein Monitoring der Technologie- und Bedrohungsentwicklung.

1.3.1.4 Vergleich der Zuständigkeiten und Verantwortlichkeiten

Die drei umschriebenen Fachorganisationen haben je einen beschränkten Auftrag im Bereich der Informationssicherheit zu erfüllen. In allen drei Bereichen sind die Departemente und die Bundeskanzlei für die Umsetzung der Vorgaben verantwortlich. Alle Bereiche haben darüber hinaus grundsätzlich den genau gleichen organisatorischen Aufbau:

 eine Vorgabestelle;

 Beauftragte auf den Stufen Departement / BK sowie Verwaltungseinheit; und

 ein überdepartementales Koordinationsgremium.

Die verschiedenen Funktionsinhaber nehmen in ihren Fachbereichen grundsätzlich auch dieselben Aufgaben wahr. Die einzige wichtige Ausnahme stellen die verschiedenen Vorgabestellen dar, deren Befugnisse sich zum Teil stark unterscheiden. Die nachfolgende Tabelle liefert eine Übersicht über diese Situation. Sie schliesst auch die zwei anderen Bereiche ein, die einen direkten Konnex zur Informationssicherheit haben: die Objektsicherheit und das Risikomanagement.

Vorgaben Dep/BK Verwaltungseinheit Koordination

Informationsschutz GSK Informationsschutz- Informationsschutz- KOAISchB / KISchB

beauftragte beauftragte/-berater

Datenschutz EDÖB Datenschutzberater Datenschutzberater IDAG Datenschutz

IKT-Sicherheit BR / ISB Informatiksicherheits- Informatiksicherheits- ISB-Sec / A-IS

beauftragte beauftragte

Objektsicherheit fedpol / BSD Sicherheitsbeauftragte Sicherheitsbeauftragte Koordinationsausschuss

Sicherheit

Risikomanagement BR / GSK Risikomanager/in Risikocoach Koordinationsstelle EFV

1.3.1.5 Organisatorische Mängel

Die heutige Organisation weist viele Lücken und Schwachstellen auf:

 Die Zuständigkeiten der verschiedenen Bereiche sind nicht immer klar und die Schnittstellen zwischen

den einzelnen Fachgebieten der Informationssicherheit werden ungenügend gepflegt.

Die unklaren Zuständigkeiten sind auf alle Ebenen ersichtlich. Für die elektronische Bearbeitung von besonders schützenswerten Personendaten oder klassifizierten Informationen ab der Klassifizierungsstufe VERTRAULICH ist beispielweise ein Informationssicherheits- und Datenschutz-Konzept (ISDS-Konzept) erforderlich. Ist dies eine Frage des Datenschutzes, des Informationsschutzes oder der IKT-Sicherheit und wer ist für die korrekte Einstufung der Informationen und für die Kontrolle der Umsetzung der Massnahmen zuständig? Ist der Schutz von Netzwerkleitungen eine Frage der Informatiksicherheit oder des Objektschutzes? Ist die Aktenvernichtung eine Frage des Informationsschutzes, des Datenschut-