Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

derungen und Massnahmen nach dem Stand der Lehre und der Technik festzulegen. Die Wirtschaftlichkeit gebietet, dass nicht jede Behörde oder Organisation das Rad neu erfinden muss, wenn gute, in der Praxis erprobte Lösungen von einer anderen Behörde oder Organisation entwickelt oder gefunden worden sind.

Abs. 2: Die Sicherheitsmassnahmen müssen sich nach dem Stand der Lehre und der Technik richten. Die Informationssicherheit ist ein relativ junger Aufgabenbereich, der sich regelmässig weiterentwickelt. Auch wenn die Organisationsgrundsätze eine bestimmte Stabilität und Reife erreicht haben, weil sie den allgemeinen Organisationsgrundsätzen im Bereich des Risikomanagements entsprechen, werden regelmässig bessere organisatorische Massnahmen entwickelt, die wirksamer oder wirtschaftlicher sind. "Sich nach dem Stand der Lehre zu richten" bedeutet also im Kontext dieses Absatzes, dass die verpflichteten Behörden und Organisationen erprobte organisatorische Lösungen und Ansätze (best practices) anwenden sollen.

Neue Entwicklungen erfolgen im Bereich der technischen Informationssicherheit sehr rasch, insbesondere bei den IKT-Mitteln, aber auch bei der Sensorik (z.B. Feuer-, Hitze- oder Bewegungsdetektoren) oder bei der Schliesstechnik (z.B. Schliesssysteme für Türen). Es ist sehr wichtig, dass Sicherheitsmassnahmen nicht auf veralteten Technologien basieren, sondern gegen aktuelle Bedrohungen Wirkung zeigen.

Art. 8

Als Dritte gelten nach diesem Gesetz alle Behörden, Organisationen und Personen des öffentlichen oder privaten Rechts, die keine verpflichteten Behörden oder Organisation nach Art. 2 sind und deshalb grundsätzlich unabhängig von diesen Behörden und Organisationen handeln. Die Bundesbehörden sind für ihre Aufgabenerfüllung häufig auf eine Mitwirkung der Privatwirtschaft oder anderer Stellen angewiesen. Die auftragserteilenden Behörden und Organisationen haben dafür zu sorgen, dass bei der Auftragserteilung und -ausführung die gesetzlich vorgesehenen Massnahmen eingehalten werden.

Diese Zusammenarbeit mit Dritten sowie die einzuhaltenden Sicherheitsmassnahmen werden in der Regel vertraglich geregelt. Grundsätzlich sollten Dritte erst dann Zugang zu Informationen oder zu IKT-Mitteln des Bundes erhalten, wenn sie die erforderlichen Massnahmen umgesetzt haben. Das ISG verlangt von den verpflichteten Behörden und Organisationen auch, dass sie die Umsetzung der Massnahmen überprüfen. Schliesst der Auftrag die Ausübung einer sicherheitsempfindlichen Tätigkeit ein, so müssen die verpflichteten Behörden und Organisationen die erforderlichen PSP (s. Art. 32 ff.) einleiten bzw. die Durchführung eines BSV (s. Art. 56 ff.) beantragen.

Art. 9

Zu Vorfällen im Bereich der Informationssicherheit wird es auch in Zukunft kommen. Es ist deshalb nötig, einen einheitlichen und effektiven Ansatz für den Umgang mit solchen Vorfällen anzuwenden. Die verpflichteten Behörden und Organisationen müssen zunächst die erforderlichen Massnahmen treffen, um Informationssicherheitsvorfälle überhaupt frühzeitig identifizieren zu können (z.B. regelmässige Kontrollen, Sensoren, Alarmanlagen, Netzwerküberwachung, regelmässige Auswertung von Log-Files, usw.). Sie müssen ein Verfahren festlegen, nach welchem vorgegangen werden soll, wenn Ereignisse oder Schwachstellen identifiziert werden, sowie klare Zuständigkeiten für die Behandlung der Vorfälle zuweisen. Interne und externe Mitarbeitende müssen zudem wissen, wie sie beim Eintreten eines Ereignisses zu reagieren haben, damit dessen Auswirkungen minimiert werden können.

Damit aus Vorfällen gelernt wird, müssen die verpflichteten Behörden und Organisationen dafür sorgen, dass die Ursachen eines Vorfalls abgeklärt und ausgewertet werden. Die Identifizierung und Behandlung von Vorfällen soll so kontinuierlich verbessert werden.

Art. 10

Die Behörden müssen im Bereich der Informationssicherheit ein "Business Continuity Management" (BCM) betreiben. BCM bedeutet, dass alle notwendigen Vorkehrungen getroffen werden, damit die Behörden ihre Kernaufgaben selbst in ausserordentlichen Situationen termingerecht erfüllen können (s. auch Art. 6 Abs. 3 RVOG). Aufgrund der zunehmenden Abhängigkeit vom Einsatz der IKT zur Auftragserfüllung sind die Risiken und Vorsorgeplanungen im Bereich der Informationssicherheit zwingend in das allgemeine BCM der Behörden aufzunehmen. Das Gesetz verlangt die Erstellung solcher Vorsorgeplanungen nur für die unverzichtbaren Aufgaben der verpflichteten Behörden, und nicht für diejenige der verpflichteten Organisationen. Für die Bundesverwaltung bedeutet dies, dass der Bundesrat dafür sorgen muss, dass die aus seiner strategischen Sicht kritischsten Aufgaben der Bundesverwaltung und der Armee identifiziert werden. Obschon sie vom Gesetz nicht dazu verpflichtet werden, sind die Departemente und die Verwaltungseinheiten frei, für ihre kritischen Aufgaben, die nicht vom Bundesrat erfasst werden, Vorsorgeplanungen zu erstellen.

Art. 11