Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

materiell einer Beurteilung über die Einschränkung, Aufschiebung und Verweigerung des Zugangs nach Art. 7 Abs. 1 BGÖ entsprechen müsste. Die Bestimmungen über die Klassifizierung sind inhaltlich so gestaltet, dass sie dem Ausnahmekatalog nach Art. 7 BGÖ inhaltlich nicht widersprechen müssten.

Im Übrigen ist darauf hinzuweisen, dass der Anwendungsbereich des ISG im Grundsatz weiter als jener des BGÖ gefasst werden soll, indem das ISG für sämtliche Bundesbehörden anwendbar sein soll. Es konzentriert sich zudem nicht nur auf den Schutz der Vertraulichkeit, sondern schützt auch die Verfügbarkeit, Integrität und Nachvollziehbarkeit von Informationen.

Abs. 2 regelt das Verhältnis des neuen Erlasses zu den zahlreichen Bundesgesetzen, die Anforderungen an den Schutz der Vertraulichkeit, Verfügbarkeit, Integrität oder Nachvollziehbarkeit von Informationen oder an die Verfügbarkeit und Integrität von IKT-Mitteln festlegen (s. Art. 4 Abs. 2 Bst. a-d). Die Bestimmungen des ISG sollen für solche Gesetze ergänzende Anwendung finden. Dies bedeutet, dass das ISG einen einheitlichen Rahmen zur Beurteilung des Schutzbedarfs dieser Informationen und zur Umsetzung der spezialgesetzlichen Sicherheitsanforderungen an diese Informationen schafft.

Das Beispiel des DSG vermag diesen Grundsatz zu erläutern. Das DSG enthält die Anforderungen an die rechtmässige Bearbeitung sowie an den Schutz von Personendaten. Es versteht sich, dass Personendaten im Aufgabenbereich der Bundesbehörden weiterhin nach den Regeln des Datenschutzgesetzes bearbeitet werden müssen und dürfen. Da allerdings das DSG selbst wenig detaillierte Vorschriften über organisatorische, personelle, technische und physische Schutzmassnahmen enthält, sollen die entsprechenden Vorschriften des vorliegenden Gesetzes auf die Bearbeitung von Personendaten als ergänzendes Recht angewendet werden. Sofern schliesslich Personendaten auch als wesentlich - etwa für die Wahrung der öffentlichen Sicherheit - zu beurteilen sind, sollen sie nach den entsprechenden Vorschriften des vorliegenden Gesetzes behandelt und gegebenenfalls klassifiziert werden.

Abs. 3: Der Bundesrat hat in der NCS am Grundsatz der dezentralen Regulierung der KI festgehalten. Soweit sektorspezifisch formell-gesetzlicher Handlungsbedarf besteht, muss die entsprechende Fachgesetzgebung angepasst werden (s. Ziff. 1.1.2.2 und 1.2.6). Mit dem ISG verfügt der Bund aber über besondere Instrumente im Bereich der Informationssicherheit, auf welche gewisse Regulatoren und KI-Betreiber zugreifen möchten, insbesondere die PSP. Auf Interesse stossen z.T. auch die Bestimmungen über die Klassifizierung oder über die Sicherheit beim Einsatz von IKT. Bestimmte KI greifen bereits heute auf diese Instrumente des Bundes zu. Dies ist z.B. der Fall im Bereich der Kernkraftwerke, in welchem der Bund bestimmte Massnahmen der Informationssicherheit vorschreibt (s. Art. 5 und 24 KEG). Auch im Bereich der Luftraumüberwachung (Skyguide) werden bestimmte Angestellte vorgängig einer PSP unterzogen. Neu sollen auch gewisse Angestellte der nationalen Netzgesellschaft, die das Übertragungsnetz für Elektrizität auf gesamtschweizerischer Ebene betreibt (Swissgrid), der PSP unterstellt werden. Es wird deshalb festgehalten, dass die Spezialgesetzgebung für eine Unterstellung unter das ISG (oder Teile davon) massgebend ist.

Zur entsprechenden Änderung der Spezialgesetzgebung, s. auch Ziff. 2.9 und 2.10.

2.1.2 Allgemeine Massnahmen der Informationssicherheit

Art. 4

Art. 4 erfasst den materiellen Inhalt der Informationssicherheit sowie die wichtigsten Grundsätze, nach welchen sie umgesetzt werden muss. Er ergänzt somit den Zweckartikel (Art. 1), indem er die detaillierten Schutzziele darlegt.

Abs. 1 hält fest, dass die verpflichteten Behörden und Organisationen den Schutzbedarf der Informationen, für die sie zuständig sind, beurteilen müssen. Der Schutzbedarf der Informationen wird hinsichtlich der potenziellen Beeinträchtigung der Interessen nach Art. 1 Abs. 2 erhoben und in Bezug auf die detaillierten Kriterien von Abs. 2 definiert. Der spezifische sachbedingte Schutzbedarf wird implizit sehr häufig von anderen Gesetzen vorgegeben (s. auch Art. 1 Abs. 2 Bst. e sowie Art. 3 Abs. 2).

Abs. 2: In sachlicher Hinsicht nennen Lehre und Praxis meistens vier jeweils nach den Umständen zu gewichtende Schutzkriterien der Informationssicherheit, nämlich die Wahrung der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der Informationen. Oft werden noch weitere Schutzkriterien erwähnt, die aber grundsätzlich durch die in Abs. 2 aufgeführten Kriterien oder allenfalls durch eine Kombination derselben abgedeckt werden, z. B. die Authentizität (in diesem Gesetz unter "Integrität" erfasst), die Zurechenbarkeit oder die Nichtabstreitbarkeit (in diesem Gesetz von den Kriterien der "Integrität" und der "Nachvollziehbarkeit" abgeleitet).

 Bst. a: Der Grundsatz der Vertraulichkeit wird dahingehend konkretisiert, dass Informationen nur Berech-

tigten zugänglich sein sollen. Der Kreis der Berechtigten ergibt sich aus dem Kontext der jeweiligen gesetzlichen Aufgabenerfüllung sowie dem Inhalt und der Bedeutung der Information. Entsprechend kann