Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Gemäss Abs. 2 obliegt die Zuständigkeit für die Durchführung des Sicherheitsverfahrens derjenigen Behörde oder Organisation, die den Einsatz von IKT-Mitteln in Auftrag gibt (Leistungsbezüger). Der Leistungsbezüger ist nämlich für die Geschäftsprozesse sowie für die Umsetzung der Sicherheitsanforderungen verantwortlich. Er muss deshalb seine Geschäfts- und Sicherheitsanforderungen derjenigen Stelle, welche die IKT-Mittel betreibt (Leistungserbringer), klar kommunizieren.

In Abs. 3 wird der Grundsatz festgelegt, dass das Sicherheitsverfahren (oder mindestens die betreffenden Verfahrensschritte) bei einer Veränderung der Risiken wiederholt werden muss. Informationssicherheit ist ein Zustand, der sich kontinuierlich und dynamisch verändert. Die verpflichteten Behörden müssen deshalb die periodische oder risikobasierte Überprüfung des Sicherheitszustands und die Wiederholung des Verfahrens festlegen.

Art. 20

Die Schutzbedarfsanalyse nach Abs. 1 stellt den ersten Schritt im Sicherheitsverfahren dar. Eine Stelle, welche die Entwicklung, die Beschaffung oder die Änderung eines IKT-Mittels durchführt oder in Auftrag gibt, will dieses IKT-Mittel für bestimmte Zwecke und für eine festgelegte Lebensdauer einsetzen. Dieser erste Schritt in Bezug auf die Umsetzung der Informationssicherheit besteht darin, bei der Bestimmung des Einsatzzwecks des IKT-Mittels die Geschäftsprozesse zu bestimmen, die mit dem einzusetzenden IKT-Mittel unterstützt werden sollen, sowie die Informationen zu identifizieren, die damit bearbeitet werden sollen. Zu diesem Zeitpunkt - also in der Planungsphase – muss der Leistungsbezüger den Schutzbedarf der Informationen gemäss Art. 4 Abs. 1 erheben sowie die potenziellen Auswirkungen einer Störung oder eines Missbrauchs des einzusetzenden IKT-Mittels auf die Interessen nach Art. 1 Abs. 2 beurteilen. Bei der Beurteilung des Schutzbedarfs muss auch berücksichtigt werden, dass IKT-Mittel meistens in einer bestimmten technischen und/oder logischen Umgebung (sog. Architektur) vernetzt und betrieben werden. Die frühzeitige Identifizierung von Vernetzungen und Abhängigkeiten hilft auch, die Sicherheitsmassnahmen dort umzusetzen, wo sie am wirksamsten sind.

Heutzutage wird z.T. entweder keine Beurteilung des Schutzbedarfs vorgenommen oder sie wird erst dann eingeleitet, wenn das IKT-Mittel bereits in Betrieb ist. Die nachträgliche Umsetzung von Sicherheitsmassnahmen ist in der Regel aber viel schwieriger zu bewerkstelligen und hat massiv höhere Kosten zur Folge.

Aus der Schutzbedarfsanalyse ergeben sich die Anforderungen an den Schutz der Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit der Informationen sowie an die Verfügbarkeit und die Integrität des IKT-Mittels. Die Schutzbedarfsanalyse ist auch massgebend für die Sicherheitseinstufung des IKT-Mittels nach Art. 21.

In Abs. 2 wird der Fall einer Behörde oder Organisation geregelt, die eine neue Technologie (Hard- oder Software) - also nicht nur ein neues IKT-Mittel - einsetzen will. Hier soll die betroffene Behörde oder Organisation die Risiken beurteilen, die mit dem Einsatz dieser neuen Technologie verbunden sind, bevor sie sie einsetzt. Es wird ferner verlangt, dass die Behörde oder Organisation ihre Risikobeurteilung der Fachstelle des Bundes für Informationssicherheit mitteilt. Mit der Orientierung der Fachstelle soll sichergestellt werden, dass neue Technologien möglichst nur einmal beurteilt werden und dass alle verpflichteten Behörden und Organisationen davon entsprechenden Nutzen ziehen können. Das Vorlegen der Risikobeurteilungen soll auch dazu dienen, die Konformität der neuen Technologien zu den bestehenden, auch strategischen, Grundlagen zu prüfen.

Die verpflichteten Behörden haben gemäss Art. 86 Abs. 1 Bst. d die Möglichkeit, die Fachstelle des Bundes zu beauftragen, diese Risikobeurteilung durchzuführen.

Art. 21

Art. 21 systematisiert und vereinheitlicht die Sicherheitseinstufung von IKT-Mitteln für alle verpflichteten Behörden und Organisationen. Die geltenden Vorschriften der Bundesverwaltung sehen nur zwei Stufen vor: einen generellen Schutzbedarf und einen erhöhten Schutzbedarf. Das neue Einstufungsmodell mit drei Stufen orientiert sich am Standard des Deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI).

Die Sicherheitseinstufung ist in erster Linie eine Massnahme zur Identifizierung der Kritikalität eines bestimmten IKT-Mittels in Bezug auf die öffentlichen Interessen nach Art. 1 Abs. 2. Die Zuweisung zu einer Sicherheitsstufe gibt auch vor, welche Sicherheitsanforderungen gelten und wie die Schutzmassnahmen definiert werden müssen (s. Art. 22-24). Der Bundesrat soll für jede Sicherheitsstufe in Bezug auf den Schutz der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit standardisierte Sicherheitsanforderungen und -massnahmen festlegen (s. Art. 88). Die Standardisierung der Sicherheitsanforderungen und -massnahmen ist für einen effizienten und sicheren behördenübergreifenden Informationsaustausch zwingend notwendig. Sie hat wichtige Vorteile: Vorab werden den Entwicklungs- und Beschaffungsstellen von