Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Art. 6

Art. 6 verpflichtet die Behörden und Organisationen, ein Risikomanagement im Bereich der Informationssicherheit zu betreiben (zum Risikomanagement, s. Ziff. 1.2.3.2).

Abs. 1 legt fest, dass die verpflichteten Behörden und Organisationen die Risiken identifizieren, bewerten, beurteilen und überprüfen müssen, und zwar sowohl in ihrem eigenen Zuständigkeitsbereich als auch im Rahmen der Zusammenarbeit mit Dritten. Idealerweise sollten alle verpflichteten Behörden und Organisationen einheitliche Methoden verwenden. Der Bundesrat wird hierzu Standardanforderungen und -massnahmen definieren (s. Art. 88). Dies im Wissen darum, dass die Kriterien für die Risikoakzeptanz, die für die Bewertung der Risiken massgebend sind, von den jeweiligen verpflichteten Behörden gestützt auf ihre eigenen Bedürfnisse an Informationssicherheit festgelegt werden (s. auch Art. 5 Abs. 3 Bst. a und b).

Die Beurteilung der Risiken setzt profunde Kenntnisse der gesetzlichen Aufgaben und der entsprechenden kritischen Geschäftsprozesse, die regelmässige Beurteilung der Bedrohungen und Gefahren für die zu schützenden Werte, die Analyse der Schwachstellen sowie die Einschätzung der Eintrittswahrscheinlichkeit und des potentiellen Schadensausmasses bestimmter Risiken voraus. Der Risikomanagementprozess im Bereich der Informationssicherheit muss laufend durchgeführt werden. Dies gilt insbesondere für den Informatikbereich, denn neue Malware wird täglich entwickelt. Anwendungen und Sicherheitssoftware müssen entsprechend dauernd aktualisiert werden.

Nach Abs. 2 müssen die erforderlichen Massnahmen zur Risikovermeidung oder -reduktion getroffen werden. Selbstverständlich können Risiken auch in Kauf genommen bzw. getragen werden (s. Abs. 3). Sie sollten aber nicht ignoriert werden. Risiken können vermieden werden, indem auf eine bestimmte, zu riskante Tätigkeit ganz verzichtet wird (z.B. wird auf ein Informatikvorhaben verzichtet, für welches die Umsetzung von risikogerechten Massnahmen wirtschaftlich nicht vertretbar ist; oder es wird beispielsweise untersagt, als GEHEIM klassifizierte Informationen mit vernetzten IKT-Mitteln zu bearbeiten). Die zu treffenden Massnahmen gehören zu folgenden Kategorien, die sich z.T. überschneiden:

 Organisatorische Massnahmen: z.B. Erlass von Rechtsgrundlagen, Festlegung der Sicherheitspolitik und

-organisation, Zuteilung klarer Verantwortlichkeiten und Zuständigkeiten, Klassifizierung von Informationen, Trennung von sicherheitsempfindlichen Funktionen, Zutrittsregelungen und -kontrollen für Personen, allgemeine Kontrollen, Zugriffsregelungen auf Systeme, Erstellung von Informationssicherheitskonzepten für IKT-Mittel, Organisation der Behandlung von Vorfällen.

 Personelle Massnahmen: z.B. Ausbildung und Sensibilisierung, vertragliche Verpflichtung zur Einhal-

tung der Informationssicherheit, Durchführung von PSP, regelmässige persönliche Gespräche mit Schlüsselpersonen zur Förderung der bewussten Wahrnehmung von bestimmten Gefahren, Umschreibung und Durchsetzung von Sanktionen.

 Technische Massnahmen: z.B. Verschlüsselung von Informationen, Redundanz von wichtigen Diensten,

Schutz vor Malware, starke Authentifizierung, Zugriffsschutz zu Netzwerken.

 Bauliche Massnahmen: z.B. Umzäunung von sicherheitsempfindlichen Perimetern, Verwendung von

Sicherheitsschliesssystemen, Einrichtung von Sicherheitszonen und -räumen, Einsatz von Überwachungsanlagen.

Abs. 3 legt fest, dass Risiken, die nach der Umsetzung der vorgesehenen Sicherheitsmassnahmen bestehen bleiben (sogenannte Restrisiken) oder Risiken, die nicht vermindert werden sollen, klar auszuweisen sind. Die Entscheidungsträger sind für ihre diesbezügliche Güterabwägung in dokumentierter Form auf diese Risiken und die potenziellen Auswirkungen hinzuweisen. Die verbleibenden Risiken müssen nachweisbar akzeptiert und auch entsprechend getragen werden.

Abs. 4 hält fest, dass das Risikomanagement im Bereich der Informationssicherheit zwingend auf allen Stufen in den allgemeinen Risikomanagementprozess des Bundes integriert werden muss. Auch wenn das vorliegend geforderte Risikomanagement fachspezifisch ist und deshalb von Fachspezialisten gesteuert und betrieben werden muss, bleibt die Informationssicherheit ein Anliegen, das die Bewirtschaftung von üblichen Geschäftsrisiken betrifft. Die verpflichteten Behörden müssen deshalb die Zusammenarbeit der Fachorganisation des allgemeinen Risikomanagements mit der Fachorganisation der Informationssicherheit regeln.

Art. 7

Abs. 1 verlangt, dass die Behörden und Organisationen sich bei der Festlegung ihrer Sicherheitsanforderungen und -massnahmen an den Standardanforderungen und -massnahmen des Bundesrats nach Art. 88 orientieren. Für Behörden und Organisationen, die dem Bundesrat nicht unterstellt sind, besteht keine Pflicht, diesen Standards zu folgen. Da ein wichtiges Ziel dieses Gesetzes darin besteht, behördenübergreifend möglichst einheitliche Sicherheitsstandards zu erreichen, wird der Bundesrat verpflichtet, standardisierte Anfor-