Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

1.3.2.2 Konferenz der Informationssicherheitsbeauftragten

Es ist ein deklariertes Ziel dieses Gesetzes, ein möglichst einheitliches Sicherheitsniveau für die verschiedenen Bundesbehörden und Organisationen zu erreichen. Aufgrund der verfassungsmässigen Unabhängigkeit der Behörden kann dieses einheitliche Sicherheitsniveau nur erreicht werden, wenn in Bezug auf die Informationssicherheit trotz teilweise unterschiedlicher Bedürfnisse eine möglichst einheitliche Fachdoktrin herrscht. Aufgrund ihrer Stellung haben die Informationssicherheitsbeauftragten (Art. 84) umfassende Kenntnisse der Situation und der Probleme der Informationssicherheit in ihrem Zuständigkeitsbereich, insbesondere der Umsetzbarkeit und Wirksamkeit der Vorschriften und Massnahmen. Es bietet sich daher an, als Koordinationsorgan eine Konferenz dieser Beauftragten zu institutionalisieren.

Die vorgesehene Konferenz der Informationssicherheitsbeauftragten wird sich hauptsächlich mit der behördenübergreifenden Koordination des Vollzugs beschäftigen. Sie wird dabei eine wichtige Rolle für die Bildung einer einheitlichen Doktrin sowie für den nötigen Erfahrungsaustausch spielen. Die Informationssicherheitsbeauftragten der Departemente und der Bundeskanzlei sowie ein Vertreter des EDÖB sollen ebenfalls Einsitz haben. Für strategische Fragen der Informationssicherheit soll die Konferenz auch Fachexperten aus den Kantonen, der Wissenschaft oder der Wirtschaft beiziehen können.

Diese Konferenz wird für die Bundesverwaltung den heutigen Koordinationsausschuss für den Informationsschutz im Bund (ISchV) sowie den Ausschuss Informatiksicherheit (BinfV) ersetzen, wobei die technischen Angelegenheiten weiterhin in unterstellten Fachorganen behandelt werden sollen.

1.3.2.3 Fachstelle des Bundes für Informationssicherheit

Die Informationssicherheit muss nach einem integralen Ansatz organisiert, gesteuert und überprüft werden, Aufgaben nach diesem Gesetz, die heute bereits bestehen, werden von verschiedenen Fachorganen wahrgenommen. In der Folge werden sie nach einer sektoriellen Betrachtungsweise konzipiert und angegangen sowie kaum aufeinander abgestimmt. Eine verbesserte Koordination alleine wird nicht genügen, um dem integralen Ansatz der Informationssicherheit zu verwirklichen. Die Fachstelle ist in der Vorlage vor allem als Kompetenzzentrum für die behördenübergreifenden Aufgaben konzipiert. Es kommen ihr deshalb keine Weisungsbefugnisse zu: Sie handelt grundsätzlich immer auf Antrag oder im Auftrag einer verpflichteten Behörde. Ihr Auftrag ist unterstützend und beratend zu verstehen.

Die konkreten behördenübergreifenden Aufgaben der Fachstelle werden abschliessend im Gesetz festgehalten. Nebst Beratung und Unterstützung soll die Fachstelle auch beauftragt werden können, die Risiken beim Einsatz neuartiger Technologien zu beurteilen oder im Rahmen wichtiger behördenübergreifender Projekte die Belange der Informationssicherheit zu steuern und zu koordinieren. Eine weitere Kernaufgabe der Fachstelle soll (auf Antrag der verpflichteten Behörden) die Prüfung sicherheitsrelevanter Aspekte bestimmter Prozesse, Mittel und Dienstleistungen darstellen. Wird bestätigt, dass diese betreffenden Prozesse, Mittel oder Dienstleistungen die Standardanforderungen des Bundes erfüllen, können sie standardisiert werden und somit auch von anderen Behörden oder Organisationen des Bundes eingesetzt werden (Aufwandreduktion). Ferner soll sie auch beauftragt werden dürfen, Sicherheitskontrollen und -audits durchzuführen. Schliesslich soll die Fachstelle im internationalen Verhältnis als Ansprechstelle für Fachkontakte mit ausländischen und internationalen Stellen im Bereich der Informationssicherheit gelten. Diese Rolle ist für die Umsetzung völkerrechtlicher Verträge erforderlich (s. Art. 90 sowie Ziff. 4.2).

Der Bundesrat soll auf Verordnungsebene die Organisation der Fachstelle regeln. Hierzu soll er bestimmen, welche Aufgaben die Fachstelle selbst oder in Zusammenarbeit mit anderen Bundesstellen erfüllen soll. Aktuell nehmen in der Bundesverwaltung viele Stellen Querschnittaufgaben im Bereich der Informationssicherheit wahr, die zum gesetzlichen Pflichtenheft der künftigen Fachstelle des Bundes gehören. Die Fachstelle soll z.B. für die Bundesverwaltung bestimmte Aufgaben übernehmen, die heute durch das ISB-Sec und die IOS wahrgenommen werden. Die Aufgaben bestehender Verwaltungseinheiten werden demzufolge auf Verordnungsebene neu definiert und bestimmte Schnittstellen überprüft werden müssen.

Der Bundesrat wird in diesem Zusammenhang selbstverständlich noch über die heikle Frage der administrativen Zuordnung der Fachstelle entscheiden müssen. Diese Frage soll im Interesse der Organisationsautonomie des Bundesrates nicht auf formell-gesetzlicher Stufe beantwortet werden. Die Ansiedelung der Fachstelle soll dem Bundesrat erst beantragt werden, wenn klar ist, welche Aufgaben und Kompetenzen ihr zugewiesen werden, und ein detailliertes Konzept zur Umsetzung der gesetzlichen Vorgaben für die Bundesverwaltung und die dadurch verpflichteten Organisationen des öffentlichen und privaten Rechts vorliegt.

1.3.3 Neuregelung für die Bundesverwaltung und weitere verpflichtete Organisationen

Im behördenübergreifenden Rahmen verfügt die Fachstelle des Bundes für Informationssicherheit also bei Design über keine rechtliche Durchsetzungskraft. Für die Bundesverwaltung sowie für die verpflichteten