Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Klassifizierung von Informationen

Aufgrund der höhten Erwartungen der Bürgerinnen und Bürger an die Transparenz der Bundesbehörden legt die Vorlage die Kriterien für die Klassifizierung von Informationen des Bundes transparent fest und erhöht zudem die Schwellenwerte für die Klassifizierung. Das Öffentlichkeitsprinzip der Bundesverwaltung wird durch die Bestimmungen zur Klassifizierung in keinerlei Weise eingeschränkt.

Sicherheit beim Einsatz von IKT

Der Entwurf trägt der Erkenntnis Rechnung, dass die Gewährleistung der Informationssicherheit beim Einsatz der IKT seit einigen Jahren stark an Bedeutung gewonnen hat. Er legt einen Mechanismus zur Beurteilung der Kritikalität von IKT-Mitteln fest und verknüpft diese Beurteilung mit der Umsetzung entsprechender Sicherheitsmassnahmen. Der Fokus soll dabei hauptsächlich auf die Sicherheit der kritischsten IKT-Systeme und Mittel gesetzt werden. Die Vorlage verstärkt die strategische und operationelle Rolle der Behörden bei der Umsetzung von Massnahmen sowie das Auditwesen.

Personensicherheitsprüfungen (PSP)

Die PSP stellen in erster Linie eine Massnahme der Informationssicherheit dar. Sie werden deshalb vom BWIS in das neue Informationssicherheitsgesetz übertragen. Gleichzeitig werden bestehende Mängel der heutigen Regelung behoben und es wird eine Straffung der PSP angestrebt. Die Prüfgründe werden angepasst an die heutigen Bedürfnisse der Informationssicherheit. Es wird von drei auf zwei Prüfstufen reduziert. Die Datenerhebung wird für beide Prüfstufen angepasst. Inskünftig sollen weniger, aber risikogerechtere Prüfungen durchgeführt werden.

Betriebssicherheitsverfahren (BSV)

Das BSV ist anwendbar auf Unternehmen, die im Rahmen einer öffentlichen Beschaffung des Bundes mit der Ausübung sicherheitsempflindlicher Tätigkeiten beauftragt werden sollen. Es dient einerseits der Prüfung der Vertrauenswürdigkeit dieser Unternehmen und ermöglicht es andererseits, die Wahrung der Informationssicherheit während der Ausführung des Auftrags zu kontrollieren und durchzusetzen. Der Anwendungsbereich des heutigen Geheimschutzverfahrens ist auf klassifizierte Aufträge aus dem militärischen Bereich beschränkt. Mit der Vorlage wird ein einheitliches BSV eingeführt. Gleichzeitig wird eine Grundlage für die Abgabe behördlicher Sicherheitserklärungen zu Gunsten von Schweizer Unternehmen geschaffen, die sich für ausländische oder internationale Aufträge bewerben und hierfür eine nationale Sicherheitserklärung benötigen. Dadurch wird die Wettbewerbsfähigkeit dieser Unternehmen gestärkt.

Unterstützung der kritischen Infrastrukturen (KI)

In seiner Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken vom 27. Juni 2012 (BBl 2013 563) hat der Bundesrat den Grundsatz der Unterstützung der KI-Betreiber durch den Bund im Bereich der Informationssicherheit festgelegt. Im Rahmen der Zusammenarbeit zwischen den KI-Betreibern und dem Bund müssen die zuständigen Stellen Personendaten (Adressierungselemente im Fernmeldebereich) austauschen können, die eventuell im Zusammenhang mit administrativen und strafrechtlichen Verfolgungen und Sanktionen stehen. Der Entwurf schafft die formell-gesetzliche Grundlage, die für die Bearbeitung solcher Personendaten erforderlich ist.

Vollzug

Der Vollzug dieses Gesetzes soll einerseits möglichst einheitlich erfolgen; andererseits müssen die Unabhängigkeit und Organisationsautonomie der jeweiligen Bundesbehörden gewahrt werden. Der Vorentwurf berücksichtigt diese an sich widersprüchlichen Anforderungen mit drei Mechanismen:

 "Opting-out"-Regelung für den Vollzug: Jede Behörde vollzieht den Erlass in ihrem Bereich selbständig

und erlässt entsprechendes Verordnungsrecht. Das Vollzugsrecht des Bundesrates gilt jedoch für die übrigen Bundesbehörden sinngemäss, solange und soweit sie keine eigenen Regelungen erlassen.

 Standardanforderungen und -massnahmen: Der Bundesrat wird ermächtigt, standardisierte Anforderun-

gen und Massnahmen nach dem Stand der Lehre und der Technik festzulegen. Diese gelten für die anderen Bundesbehörden als Empfehlungen.

 Schaffung eines behördenübergreifenden Koordinationsorgans: Dieses Organ (Konferenz der Informati-

onssicherheitsbeauftragten) dient hauptsächlich dem einheitlichen, behördenübergreifenden und risikobasierten Vollzug des Gesetzes. Es wird auch bei der Festlegung der Standardanforderungen und -massnahmen berücksichtigt.