Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

der Kreis der Berechtigten auf wenige Personen beschränkt oder sehr gross sein. Wenn die Informationen öffentlich zugänglich gemacht werden sollen, ist der Kreis uneingeschränkt.

 Bst. b: Die Verfügbarkeit der Informationen ist nicht absolut zu verstehen, doch ist es für die Entscheid-

und Handlungsfähigkeit der Behörden und Organisationen erforderlich, dass sie im Rahmen der gesetzlichen Aufgabenerfüllung die notwendigen Informationen rechtzeitig abrufen können. Die Anforderungen an die Verfügbarkeit von Informationen sind höher, wenn diese für die Erfüllung von wesentlichen Aufgaben stets und unterbruchlos verfügbar sein müssen. Dies gilt insbesondere dann, wenn diese Informationen elektronisch bearbeitet werden.

 Bst. c: Die Wahrung der Integrität (Unversehrtheit und Richtigkeit) der Informationen ist eine wichtige

Teilaufgabe des Schutzes von Informationen, die - im Hinblick auf die Vertrauenswürdigkeit der Behörden - auch für Informationen von Bedeutung ist, die zur Veröffentlichung bestimmt sind. Sie ist auch für das korrekte Funktionieren der IKT-Mittel entscheidend.

 Bst. d: Die nachvollziehbare Bearbeitung der Informationen ist insbesondere für alle öffentlichen Verfah-

ren (Strafverfahren, Beschwerdeverfahren, usw.) von grosser Bedeutung, aber auch für die Wahrnehmung von Kontroll- und Aufsichtsfunktionen und das Vorgehen bei Missbräuchen.

Die verpflichteten Behörden und Organisationen müssen also eine Beurteilung des Schutzbedarfs von Informationen vornehmen und bestimmen, in welcher Hinsicht und wie stark die Informationen geschützt werden müssen (Sicherheitsanforderungen). Der Schutz der Vertraulichkeit ist z.B. nur erforderlich, wenn diese Vertraulichkeit aus einem rechtlichen Grund (z.B. DSG, Geschäfts- oder Fabrikationsgeheimnisse Dritter oder Art. 14 ISG) gewährleistet werden muss. Zu beachten ist aber auch, dass bestimmte Informationen höhere Anforderungen an den Schutz ihrer Integrität oder Verfügbarkeit haben können, ohne dass diese besonderen Anforderungen gesetzlich festgelegt sind, etwa dann, wenn die entsprechenden Informationen für die Aufgabenerfüllung einer Behörde unbedingt richtig bzw. verfügbar sein müssen. Dies trifft insbesondere für Informationen und IKT-Mittel zu, die geschäftskritische Prozesse unterstützen. Der Schutzbedarf ergibt sich also auch aus der Wichtigkeit der Erfüllung der gesetzlichen Aufgaben, in welchen oder zu deren Unterstützung die Informationen verwendet werden.

Abs. 3: Der Schutz der Verfügbarkeit und der Integrität der IKT-Mittel stellt für eine integrale Informationssicherheit eine wichtige Ergänzung der erwähnten vier Kriterien dar. Obwohl sich diese Anforderung grundsätzlich bereits aus Abs. 2 Bst. b und c ergibt, wird die Anforderung nach einem angemessenen Schutz vor Missbrauch und Störung noch ausdrücklich erwähnt, weil die IKT-Unterstützung der Geschäftsprozesse immer mehr an Bedeutung gewonnen hat. Ihr gutes Funktionieren stellt heute sogar eine unentbehrliche Voraussetzung für die effiziente Aufgabenerfüllung der Bundesbehörden dar.

Abs. 4: Die Informationssicherheit muss risikobasiert, zweckmässig und wirtschaftlich umgesetzt werden. Eine möglichst objektive Beurteilung der Risiken soll für die Umsetzung von Sicherheitsmassnahmen massgebend sein (s. Art. 6 und 7). Es versteht sich, dass eine absolute Sicherheit ein unerreichbares Ideal darstellt, und dass der Aufwand für die Behebung verbleibender kleinerer Sicherheitslücken unverhältnismässig hoch werden kann. Die zuständigen Behörden und Organisationen müssen daher darauf achten, dass ihre Massnahmen zweckmässig und wirtschaftlich sind. Entsprechend ist durch die Linie bei der Verfolgung der Schutzmassnahmen eine Güterabwägung zwischen Sicherheitskosten und -nutzen vorzunehmen.

In diesem Kontext wird auch der Grundsatz der Benutzerfreundlichkeit aufgeführt. Personen, die Informationen bearbeiten oder mit IKT-Mitteln umgehen, müssen oft bestimmte Verhaltensvorschriften einhalten, damit die Informationssicherheit gewährleistet ist (z.B. muss die Bürotür abgeschlossen oder eine E-Mail verschlüsselt werden). Erschweren aber Sicherheitsmassnahmen die Aufgabenerfüllung der Mitarbeitenden zu sehr, ist erfahrungsgemäss die Wahrscheinlichkeit gross, dass sie entweder nicht eingehalten oder gar absichtlich umgegangen werden.

Art. 5

Sicherheit ist Chefsache. Art. 5 umschreibt den Inhalt der obersten Führungsverantwortung im Bereich der Informationssicherheit. Er richtet sich deshalb nur an die verpflichteten Behörden (Art. 2 Abs. 1), welche diese Verantwortung alleine tragen.

In Abs. 1 werden die verpflichteten Behörden aufgefordert, die Informationssicherheit in ihrem Zuständigkeitsbereich zu organisieren.

 Bst. a: Die Informationssicherheit muss nach dem Stand der Lehre und der Technik organisiert, umgesetzt

und überprüft werden. Mehrere unverbindliche Fachnormen formulieren sogenannte Best Practices in Bezug auf das Management der Informationssicherheit (z.B. DIN ISO/IEC Norm 27'001 und 27'002). Besonders wichtig an diesen Normen ist, dass sie einerseits in der Praxis erprobt wurden und dass sie ande-