Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Zum Kontroll- und Auditwesen, s. Ziff. 1.2.3.3.

Abs. 1 verlangt von den verpflichteten Behörden und Organisationen, dass sie die Einhaltung der Vorschriften regelmässig überprüfen. Grundsätzlich obliegt diese Kontrolle den Linienvorgesetzten. Die Informationssicherheitsbeauftragten werden aber gemäss Art. 84 Abs. 2 Bst. c ebenfalls Kontrollen und Audits im Auftrag ihrer Behörde durchführen.

Abs. 2 richtet sich nur an die verpflichteten Behörden. Eine periodische unabhängige Prüfung ist notwendig, denn sie soll sich hauptsächlich auf die Wirksamkeit der Organisation der Informationssicherheit fokussieren. Diese Organisation schliesst natürlich die Aufgaben derjenigen Personen ein, die für die ordentlichen Kontrollen zuständig sind. Der Entscheid sowohl über die Periodizität der Wirksamkeitsprüfung als auch über die Stelle, welche die Prüfung durchführen soll, obliegt der betroffenen Behörde. Die Behörden können z.B. ihre interne Revisionsstelle oder eine externe Firma oder Stelle beauftragen. Sie können auch die Fachstelle des Bundes für Informationssicherheit (s. Art. 86 Abs. 1 Bst. c) beauftragen. Der Bundesrat kann zudem die EFK ersuchen, solche Prüfungen durchzuführen.

Art. 12

Abs. 1 legt fest, dass die Klassifizierung von Informationen zwingend ist, sofern die Kriterien zur Klassifizierung nach Art. 14 erfüllt sind. Heute ist jede verpflichtete Behörde grundsätzlich frei, ihr eigenes Klassifizierungssystem (wenn überhaupt), ihre eigenen Klassifizierungsgründe sowie ihre eigenen Bearbeitungsvorschriften festzulegen. Einige Vorfälle in den letzten Jahren haben gezeigt, dass diese unterschiedliche Behandlung klassifizierter Informationen zu erhöhtem Misstrauen führen kann. Eine einheitliche Regelung der Klassifizierungsstufen und -gründe ist nötig.

Mit Abs. 2 soll auf Gesetzesebene festgehalten werden, dass die Klassifizierung von Informationen angesichts des Öffentlichkeitsprinzips sowie auch des mit der Klassifizierung verbundenen Aufwandes grundsätzlich die Ausnahme darstellen soll.

Abs. 3 hält fest, dass die Klassifizierung nach Möglichkeit zu befristen ist. Die Schutzwürdigkeit von Informationen nimmt oftmals mit der Zeit ab oder erübrigt sich nach einem bestimmten Ereignis (z.B. Veröffentlichung eines Berichts oder Ende einer bestimmten Massnahme). Die Klassifizierung derartiger (beispielsweise nicht mehr aktueller) Informationen rechtfertigt sich dann nicht mehr. Sie würde bloss unnötigen Aufwand verursachen oder zu Problemen nach der Archivierung der Informationen führen. Informationen, die für längere Zeit klassifiziert bleiben müssen, erfordern zudem zunehmend andere technische Schutzvorkehrungen als jene, die nur eine befristete Schutzwürdigkeit haben.

Soweit eine Klassifizierung auf Zeit im Voraus nicht möglich ist, wird durch die in Abs. 4 enthaltene Pflicht, die Notwendigkeit der Klassifizierungen periodisch zu überprüfen, sichergestellt, dass Informationen nicht unnötig klassifiziert bleiben.

Art. 13

Abs. 1: Die verpflichteten Behörden müssen festlegen, wer für die Klassifizierung zuständig ist. In der Bundesverwaltung wird diese Zuständigkeit heute der Verfasserin oder dem Verfasser eines Dokuments zugewiesen, weil sie am Besten den Schutzbedarf der Informationen sowie allfällige Risiken einschätzen können. Die Regelung des Bundesrats soll aber für die anderen Bundesbehörden nicht verbindlich sein. So können diese auch entscheiden, dass die Klassifizierung z.B. durch die Behördenleitung, durch eine zentrale zuständige Stelle oder nur durch die Linie erfolgen darf. Der Begriff "klassifizierende Stelle" ist insbesondere für den Entscheid betreffend den Kreis der berechtigten Empfänger, die Entklassifizierung, die Archivierung und die Vernichtung von klassifizierten Informationen wichtig, aber auch für allfällige vorläufige Schutzmassnahmen, die getroffen werden müssen, wenn klassifizierte Informationen gefährdet werden (s. Art. 18).

In Abs. 2 wird die Verbindlichkeit der Klassifizierung geregelt. Ist eine Information klassifiziert, wird sie auf ihrem weiteren Weg sozusagen von dieser Klassifizierung begleitet. Wer Zugang zu einer solchen Information erhält, muss die Vorgaben einhalten, die mit der Klassifizierung verbunden sind. Eine Änderung oder Aufhebung der Klassifizierung darf im Grundsatz nur von der Stelle vorgenommen werden, welche die Klassifizierung festgelegt hat. Es versteht sich, dass auch hier der Dienstweg, die Dienstaufsicht und die entsprechenden Weisungsbefugnisse der vorgesetzten Stellen bzw. Aufsichtsbehörden zum Tragen kommen. Letztere können Entscheide der klassifizierenden Stelle gegebenenfalls korrigieren.

Art. 14

Zu den Zielen der Klassifizierungsregelung: s. Ziff. 1.2.3.4.

Art. 14 regelt die materiellen Voraussetzungen für die Klassifizierung von Informationen für alle verpflichteten Behörden und Organisationen und legt die Klassifizierungsstufen fest. Der vorgeschlagene Text be-