Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

hungen für Informationen und IKT-Mittel komplexer und dynamischer. Ihnen muss integral begegnet werden, was entsprechende rechtliche und organisatorische Vorkehren sowie erhöhtes Fachwissen und - kompetenz voraussetzt. Es ist offensichtlich, dass die Organisation des Bundes diesen Anforderungen nicht genügt.

Folgende Punkte sind für die Verbesserung dieser Organisation wichtig:

 Die Verantwortung für die Umsetzung der Vorgaben muss bei der Führungsebene bleiben. Diese muss

aber auf allen Ebenen kompetenter beraten und unterstützt werden.

 Die künftige Organisation der Informationssicherheit muss sich vermehrt auf die frühzeitige Erkennung

und Behandlung der Risiken fokussieren. Dies setzt ein systematisches Risikomanagement im Bereich der Informationssicherheit voraus, das heute grösstenteils noch fehlt. Es verlangt aber auch eine bessere Kontrolle bei der Umsetzung von risikomindernden Massnahmen.

 Die verschiedenen Fachorgane müssen soweit möglich zusammengeführt werden, um Synergien zu nut-

zen und Skaleneffekte zu erzielen. So können auch die Zuständigkeitsprobleme systemisch gelöst und das interdisziplinäre Fachwissen erhöht werden. Eine vollständige Zusammenführung der Fachorgane ist jedoch nicht möglich. Bei den verbleibenden Fachorganen müssen aber die Zuständigkeiten und Verantwortlichkeiten klarer definiert und die Koordination und der Wissensaustausch verbessert werden.

 Bei den verschiedenen Beauftragten kann durch zunehmende Professionalisierung eine Erhöhung der

Kompetenzen erreicht werden. Die Professionalisierung würde verbessert, wenn die Managementaufgaben der Informationssicherheit auf möglichst wenige Funktionsinhaber konzentriert würden.

 Besondere Aufmerksamkeit ist der Funktionstrennung und -zuordnung zu schenken. Die Beauftragten

sollten nicht einem Fachbereich unterstellt sein, dessen Risiken sie objektiv und unabhängig beurteilen müssen. Sie sollten auch keine Aufgaben wahrnehmen, die sie in einen Interessenkonflikt verwickeln könnten.

Die vorstehenden Ausführungen zeigen auf, dass eine Zusammenlegung der drei Ausschüsse anzustreben ist. Es liegt jedoch auf der Hand, dass die gewünschte Zusammenlegung der Ausschüsse nicht dazu führen soll, dass die einzelnen Themen (Klassifizierung, Datenschutz oder technische Sicherheit) nicht mehr speziell behandelt werden. Diese Behandlung soll lediglich in einem konsolidierten Gremium stattfinden, das seine Agenda nach dem tatsächlichen Bedarf festlegt.

1.3.2 Neuregelung der Organisation auf Stufe Bund

Die Vorlage trägt den Ergebnissen des bundesrätlichen Prüfauftrags bezüglich der heutigen Organisation der Informationssicherheit Rechnung. Die Lösung des Gesetzesentwurfs liefert die Grundlage für eine Klärung und Vereinfachung der diesbezüglichen Zuständigkeiten und Verantwortlichkeiten. Sie legt auch ein Schwergewicht auf die Kompetenzbildung der Stellen, die für den Vollzug zuständig sind, durch die Unterstützung und Beratung durch Sachverständige und durch einen verstärkten Informationsaustauch zwischen diesen Stellen. Der Entwurf sieht in der Folge eine einzige Beauftragtenrolle (Informationssicherheitsbeauftragte/r), ein einziges Koordinationsorgan sowie eine Fachstelle des Bundes für Informationssicherheit, die alle Querschnittaufgaben der Informationssicherheit wahrnehmen sollen, vor. Mit der beantragten Neuregelung sollen in der Bundesverwaltung die Vollzugsstrukturen der bisherigen Bereiche des Informationsschutzes und der Informatiksicherheit vollständig zusammengelegt werden.

1.3.2.1 Informationssicherheitsbeauftragte

Die neue Rolle des Informationssicherheitsbeauftragten ist für den Vollzug des Gesetzesentwurfs zentral. Diese neue Funktion ist vor allem eine Managementfunktion. Die Informationssicherheitsbeauftragten werden sich nicht primär mit hochtechnischen Informationssicherheitsfragen befassen, sondern im Auftrag ihrer Behörde (oder der Departemente und der BK) die Fachorganisation der Informationssicherheit steuern sowie die Umsetzung der beschlossenen Massnahmen überprüfen. Schwergewichte werden sie auch auf das Risikomanagement sowie auf die Koordination mit anderen Bereichen legen müssen. Eine wirksame, risikogerechte Aufgabenerfüllung durch die Informationssicherheitsbeauftragten setzt - neben einer klaren Unterstützung durch die Geschäftsleitung- eine enge Zusammenarbeit mit den Stellen, die für das allgemeine Risikomanagement, den Datenschutz und die Sicherheit zuständig sind, voraus. Die Informationssicherheitsbeauftragten werden also als Drehscheibe zwischen der Geschäftsleitung und den Stellen, die für die Umsetzung der Massnahmen zuständig sind, agieren.

Bei den Departementen und der Bundeskanzlei wird diese neue Funktion die bisher getrennten Rollen der Informationsschutzbeauftragten und Informatiksicherheitsbeauftragten ersetzen. Der Bundesrat soll auf Verordnungsebene beschliessen, ob eine entsprechende Zusammenlegung der Funktionen auf Stufe Verwaltungseinheit zweckmässig und erforderlich ist.