Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

 Bst. a: Mit der Anführung der Klassifizierungsstufe VERTRAULICH als Ausgangspunkt für die Definiti-

on der sicherheitsempfindlichen Tätigkeit wird implizit festgelegt, dass die Sicherheitsempfindlichkeit einer Tätigkeit erst dann angenommen wird, wenn die Interessen nach Art. 1 Abs. 2 mindestens erheblich beeinträchtigt werden können. Sicherheitsempfindlich beim Umgang mit klassifizierten Informationen ist zudem nicht der blosse "Zugang" zu diesen Informationen, sondern deren tatsächliche und berechtigte "Bearbeitung". Mit anderen Worten übt z.B. das Reinigungspersonal in der Regel keine sicherheitsempfindliche Tätigkeit nach dem vorliegenden Gesetz aus, obwohl die Wahrscheinlichkeit gross ist, dass es während seiner Tätigkeit hin und wieder faktischen Zugang zu klassifizierten Informationen erhalten wird, weil die Mitarbeitenden die Sicherheitsvorschriften nicht immer einhalten.

Erwähnt ist auch der Umgang mit klassifiziertem Material. Es handelt sich dabei um verschiedene Materialien und Gegenstände, deren Existenz oder Beschaffenheit als solche vor der Kenntnisnahme durch Unberechtigte geschützt werden muss oder deren Eigenschaften klassifizierte Informationen vermitteln können: das Material ist bzw. enthält also die Information. Betroffen sind hauptsächlich Rüstungsgegenstände, Waffensysteme oder integrierte Kommunikationssysteme. Häufig schreibt ein Drittstaat, der die Lieferung an die Schweiz bewilligt hat, eine Klassifizierung solcher Materialien und Gegenstände vor. Die Schweiz kennt entsprechende Klassifizierungen bis heute nur im Armeebereich; im Zivilbereich (z.B. Polizei und Grenzwachtkorps) fehlte bis anhin eine entsprechende Grundlage, die nun mit dieser Bestimmung implizit geschaffen wird.

 Bst. b: Hier werden Tätigkeiten erfasst, die mit besonderen Zugriffsrechten auf IKT-Mittel der beiden

höheren Sicherheitsstufen verbunden sind oder bei deren Ausübung Personen in der Lage sind, z.B. durch Datendiebstahl oder Sabotage die Interessen nach Art. 1 Abs. 2 erheblich zu beeinträchtigen. Die blosse Benützung dieser IKT-Mittel wird also nicht als sicherheitsempfindlich betrachtet (ob die Anwender eine sicherheitsempfindliche Tätigkeit ausüben entscheidet sich aufgrund der Inhalte der bearbeiteten Informationen). Bst. b erfasst vor allem bestimmte Administratoren oder Anwendungsverantwortliche.

 Bst. c: Als sicherheitsempfindlich wird schliesslich der Zugang zu den in Art. 31 geregelten Sicherheits-

zonen der Informationssicherheit bezeichnet, weil das Schadenspotenzial bei Spionage oder bei Sabotage in diesen Zonen aufgrund der darin befindlichen Informationen und IKT-Mittel sehr hoch ist.

Abs. 3 enthält weitere Abweichungen von der bisherigen Regelung in Art. 19 Abs. 1 BWIS. So stellt nach dem vorliegenden Gesetz der regelmässige Zugang zu besonders schützenswerten Personendaten, deren Offenbarung die Persönlichkeitsrechte der Betroffenen schwerwiegend beeinträchtigen könnte, keine sicherheitsempfindliche Tätigkeit mehr dar. Der Umgang mit Geschäfts- und Fabrikationsgeheimnissen soll ebenfalls nicht als sicherheitsempfindlich im Sinne des ISG gelten. Zu beachten bleibt, dass ein Teil der Schutzbedürfnisse im Bereich der Personendaten sowie der Geschäfts- und Fabrikationsgeheimnisse über die Regelungen im Bereich der IKT-Mittel abgedeckt wird. Eine andere wichtige Änderung im Vergleich zur heutigen Regelung liegt darin, dass das Element der Regelmässigkeit bei der Ausübung der aufgeführten Tätigkeiten nicht Bestandteil der Sicherheitsempfindlichkeit dieser Tätigkeiten ist. Die einmalige Bearbeitung von als VERTRAULICH klassifizierten Informationen gilt also für das ISG bereits als sicherheitsempfindlich. Diese Änderung ist in Bezug auf die Sicherheitsüberprüfung von Dritten, die Aufträge des Bundes ausführen sollen, notwendig. Da diese Kategorie von Personen ihre Tätigkeiten nicht ständig im Kontrollbereich der verpflichteten Behörden oder Organisationen ausüben werden, müssen für sie differenzierte Voraussetzungen für die Unterstellung unter die PSP gelten.

Zum Verhältnis zu den Personensicherheitsprüfungen, s. Ziff. 1.2.4.

Art. 3

Abs. 1: Mit einem Vorbehalt für die Bestimmungen des BGÖ wird klar festgehalten, dass der Geltungsbereich des Öffentlichkeitsgesetzes durch die Regelung der Informationssicherheit in keiner Art und Weise eingeschränkt wird. Informationen, die nach dem ISG klassifiziert worden sind, fallen nicht unter den Vorbehalt von Art. 4 BGÖ (Spezialbestimmungen, die bestimmte Informationen als geheim bezeichnen). Demnach finden die Bestimmungen des BGÖ über den Zugang zu amtlichen Dokumenten auch auf Informationen Anwendung, die nach dem ISG klassifiziert worden sind.

Die Beurteilung von Dokumenten im Verfahren nach dem BGÖ erfolgt unabhängig von den Regelungen des ISG. Bei Gesuchen um Zugang zu amtlichen Dokumenten überprüft die zuständige Stelle also unabhängig von einem allfälligen Klassifizierungsvermerk, ob der Zugang zu gewähren, zu beschränken, aufzuschieben oder zu verweigern ist. Die Klassifizierung von Informationen kann bei der Beurteilung von Dokumenten nach BGÖ jedoch als Indiz für die Nichtöffentlichkeit des entsprechenden Dokuments gewertet werden. Der Entscheid zur Klassifizierung setzt nämlich eine Beurteilung des Schutzbedarfs der Information hinsichtlich einer Beeinträchtigung der öffentlichen Interessen nach Art. 1 Abs. 2 ISG voraus, die im Grunde genommen