Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

schränkt sich auf eher allgemeine Kriterien für die Klassifizierung und nimmt direkten Bezug auf die in Art. 1 Abs. 2 Bst. a-d umschriebenen und zu schützenden öffentlichen Interessen. Der Verweis auf diese Interessen ist jedoch eingeschränkt: Der Schutz der öffentlichen Interessen nach Bst. e stellt keinen eigenen Grund zur Klassifizierung dar. Mit dem Schutz dieses Interesses soll nämlich die rechtmässige Bearbeitung von Informationen sichergestellt werden, deren Schutz in anderen Gesetzen vorgesehen oder mit Dritten durch Vertrag vereinbart wird. Personendaten nach dem DSG oder Geschäfts-, Fabrikations- oder Berufsgeheimnisse werden also grundsätzlich nicht klassifiziert, es sei denn, dass einzelne Informationen zum Schutze eines Interesses nach Art. 1 Abs. 2 Bst. a-d klassifiziert werden müssen. Dasselbe gilt für Informationen, die bei den Gerichten oder Staatsanwaltschaften im Rahmen ihrer ordentlichen Verfahren bearbeitet werden. Die Mehrheit dieser Informationen sind Personendaten, die zwar schützenswert sind, die aber aufgrund des vorliegenden Gesetzes nicht klassifiziert werden müssen. Hingegen können bzw. sollen die besonderen Massnahmen, die zum Schutz solcher Informationen getroffen werden, klassifiziert werden. Werden z.B. besonders schützenswerte Personendaten in einem Informationssystem bearbeitet, dann muss das entsprechende Informationssicherheitskonzept klassifiziert werden.

Für die Klassifizierungsstufe selbst ist der Grad der Beeinträchtigung massgebend, den eine Kenntnisnahme durch Unberechtigte den Interessen nach Art. 1 Abs. 2 Bst. a-d zufügen kann. Für die Zuweisung zu einer Klassifizierungsstufe ist massgebend, ob die Kenntnisnahme durch Unberechtigte die betroffenen Interessen:

 beeinträchtigen kann: Klassifizierungsstufe INTERN;

 erheblich beeinträchtigen kann: Klassifizierungsstufe VERTRAULICH;

 schwerwiegend beeinträchtigen kann: Klassifizierungsstufe GEHEIM.

Diese Qualifizierungen stellen unbestimmte Rechtsbegriffe dar, die unter Berücksichtigung der Risikopolitik noch zu konkretisieren sind. Obschon das Kriterium der Schwere der potenziellen Beeinträchtigung der Interessen nach Art. 1 Abs. 2 Bst. a-d für die Klassifizierung massgebend ist, genügt es alleine nicht. Es muss auch eine vernünftige kausale Verbindung zwischen der unberechtigten Kenntnisnahme der Information und dieser potenziellen Beeinträchtigung der geschützten Interessen geben. Erforderlich ist somit, dass auch die Eintrittswahrscheinlichkeit des Schadens berücksichtigt wird. Die Klassifizierung einer Information entspricht also dem Ergebnis einer Risikobeurteilung und soll somit den tatsächlichen Schutzbedarf dieser Information wiedergeben.

Bei der Beurteilung des Schutzbedarfs von Informationen politischer Natur ist besondere Zurückhaltung erforderlich. Zwar wird der Schutz der freien Meinungs- und Willensbildung der verpflichteten Behörden und Organisationen von Art. 1 Abs. 2 Bst. a (Entscheidungsfähigkeit) erfasst. In einer modernen Demokratie gehört es aber zur normalen Regierungstätigkeit, dass politische Ideen, Vorschläge, Konzepte und Entscheide in der Öffentlichkeit besprochen und gegebenenfalls (auch heftig) kritisiert werden. Die Klassifizierung darf also nicht dazu dienen, bestimmte Sachverhalte der öffentlichen Debatte zu entziehen, wenn kein überwiegendes öffentliches Interesse dafür besteht.

Der hier aufgeführte Vorschlag mit drei Klassifizierungsstufen entspricht formell der heute geltenden Regelung der ISchV. Wie eingangs erwähnt, werden die Grenzwerte für die Klassifizierung in den jeweiligen Stufen aber erhöht (über das Verhältnis zum Öffentlichkeitsprinzip s. Art. 3 Abs. 1).

Abs. 1: Eine Klassifizierung als INTERN wird verlangt, wenn eine Bekanntgabe der Information eine Beeinträchtigung der öffentlichen Interessen nach Art. 1 Abs. 2 Bst. a-d zur Folge hat. Als Kriterium zwischen "nicht klassifiziert" und "klassifiziert" gilt somit auch für eine bloss "einfache" Beeinträchtigung der betreffenden Interessen, dass qualifizierte Anhaltspunkte vorliegen, welche die Klassifizierung als INTERN zu begründen vermögen. So darf der potenzielle Schaden, der durch eine Kenntnisnahme durch Unberechtigte entstehen kann, nicht einfach vernachlässigbar sein: Die Beeinträchtigung der Interessen nach Art. 1 Abs. 2 Bst. a-d muss vielmehr spürbar sein.

Wenn es um sicherheitsrelevante Informationen im Sinne von Art. 1 Abs. 2 Bst. b geht, ist der Schwellenwert für die Klassifizierung als INTERN meistens relativ rasch erreicht. INTERN wird auch am häufigsten für derartige Fälle verwendet. So können einzelne Sicherheitsunterlagen zu IKT-Mitteln oder einfache Einsatzpläne von Sicherheitskräften in der Regel als INTERN klassifiziert werden. Es ist aber z.B. auch denkbar, dass das Bekanntwerden eines Zeitplans für die Umsetzung einer konkreten Massnahme bestimmten Personen einen ungerechtfertigten Vorteil verschaffen könnte. Auch wenn damit die Massnahme als solche nicht verhindert würde, würde ihre gesetzeskonforme Umsetzung und somit die Entscheidungs- und Handlungsfähigkeit der betroffenen Bundesbehörde zumindest beeinträchtigt. Eine zeitlich befristete Klassifizierung des Zeitplans als INTERN wäre in diesem Fall gerechtfertigt.