Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Organisationen des öffentlichen und privaten Rechts, die den Vollzugsbestimmungen des Bundesrats unterstehen, kann der Bundesrat hingegen der Fachstelle weitere Kompetenzen erteilen sowie ihre Verhältnisse zur Führungslinie und zu den Informationssicherheitsbeauftragten differenziert gestalten. Obschon die Verantwortung für die Umsetzung der Vorgaben grundsätzlich bei der Führungsebene bleiben muss, hat sich im Rahmen der Gesetzgebungsarbeiten eine klare Mehrheit der Beteiligten für eine verstärkte Durchsetzungskompetenz der Fachstelle, insbesondere im Bereich Kontrollen, ausgesprochen.

In diesem Zusammenhang wurde von einigen Stellen verlangt, dass bereits jetzt Optionen zur Organisation des Vollzugs innerhalb der Bundesverwaltung mit Vor- und Nachteilen zugewiesen und zum Entscheid vorgelegt werden. Dabei sollten ein Modell mit komplett dezentraler Vollzugsorganisation und reiner Koordinationsfunktion der Fachstelle sowie eines mit zentraler Weisungsbefugnis der Fachstelle gegenüber den Informationssicherheitsbeauftragten der Departemente gegenübergestellt werden. Obschon die Erstellung und die Beurteilung solcher Umsetzungsmodelle zwingend notwendig sind, können derartige Fragen erst zu einem späteren Zeitpunkt seriös beantwortet werden. Bevor über die detaillierte Umsetzung in der Bundesverwaltung entschieden werden kann, müssen die übergeordneten Grundsätze dieser Vorlage, ihre materiellen Inhalte sowie die behördenübergreifenden Verhältnisse geklärt werden.

2 Erläuterungen zu den einzelnen Artikeln

2.1 Bundesgesetz über die Informationssicherheit

Titel

In Bezug auf den Titel des Erlasses sind zwei Präzisierungen wichtig:

 Der Erlass stellt kein allgemeines Informationssicherheitsgesetz dar. Er richtet sich primär an die Bun-

desbehörden sowie an zu bestimmende Organisationen des öffentlichen und privaten Rechts, die Aufgaben des Bundes erfüllen. Dritte können zwar vom Gesetz erfasst werden, wenn sie mit Informationen oder mit Mitteln und Einrichtungen der Informations- und Kommunikationstechnologie (IKT-Mitteln) des Bundes umgehen. Dies geschieht jedoch nur durch die Anwendung der relevanten Bestimmungen durch eine Behörde oder eine Organisation des Bundes.

 Beim Begriff "Informationssicherheit" wird grundsätzlich auf die derzeit gängigen Normenwerke abge-

stellt. Die Informationssicherheit umfasst demnach die Gesamtheit aller Anforderungen und Massnahmen, mit denen die Vertraulichkeit, die Integrität, die Verfügbarkeit und die Nachvollziehbarkeit von Informationen sowie die Verfügbarkeit und die Integrität von IKT-Mitteln geschützt wird. Die Informationssicherheit darf nicht auf die IKT-Sicherheit reduziert werden. Sie umfasst nämlich alle Bearbeitungsvorgänge, also auch Papierdokumente sowie mündliche Äusserungen, und nicht nur die Bearbeitung von Informationen mittels der elektronischen Infrastruktur des Bundes. Vom Begriff wird auch die Umsetzung der Schutzanforderungen der Datenschutzgesetzgebung oder anderer Gesetze, die Anforderungen an den Schutz von Informationen festlegen, erfasst.

Ingress

S. Ziff. 4.1.

2.1.1 Allgemeine Bestimmungen

Art. 1

Diese Bestimmung fasst den Zweck des Erlasses in allgemeiner Form zusammen.

Abs. 1 weist darauf hin, dass sowohl die Informationen als solche als auch die IKT vom Gesetz erfasst werden. Der Begriff "Information" wird im vorliegenden Informationssicherheitsgesetz (ISG) nicht definiert, da im Erlass auf Legaldefinitionen verzichtet wird und der Begriff im ISG sich mit dem umgangssprachlichen Gebrauch deckt. Das Gesetz macht grundsätzlich auch keinen Unterschied zwischen "Informationen" und "Daten": Beide Begriffe werden unter den Begriff "Informationen" subsumiert. Im Gesetz wird der Begriff "Daten" nur dann verwendet, wenn Personendaten nach dem DSG betroffen sind. Mit dem Begriff "IKT-Mittel" werden im ISG alle Einrichtungen, Geräte, Systeme und Anwendungen erfasst, die zur elektronischen Bearbeitung (inkl. Speicherung und Kommunikation) von Informationen verwendet werden. Zur ausdrücklichen Erwähnung der IKT im Zweckartikel s. Ziff. 1.2.2.1.

Abs. 2: Sicherheit ist kein Selbstzweck. Der Schutz der Informationen dient bestimmten öffentlichen Interessen bzw. Eigeninteressen des Bundes als Institution. Geschützt werden hier also primär die Interessen des Bundes bzw. der Schweiz und nicht diejenigen Dritter. Diese Interessen werden abschliessend aufgelistet (Bst. a-e). Die Liste orientiert sich im Wesentlichen an der bereits bestehenden Liste von Art. 7 Abs. 1 BGÖ. Diese nennt die Bereiche, in denen der Zugang zu amtlichen Dokumenten eingeschränkt, aufgeschoben oder