Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

IKT-Mitteln klare zu erfüllende Sicherheitsanforderungen vorgelegt, welche ihnen bei der Implementierung der Sicherheit in die IKT-Mittel helfen werden. Sodann werden die Kosten der Sicherheit transparenter und einfacher berechenbar und planbar (Sicherheitskosten sind Projektkosten).

Abs. 1: Die Sicherheitsstufe «Grundschutz» gilt für alle IKT-Mittel, die keine besonderen hohen Anforderungen an den Schutz der Informationen aufweisen (s. auch Art. 22). Personendaten, INTERN klassifizierte Informationen sowie weitere Informationen, die zwar in Bezug auf ihre Vertraulichkeit geschützt werden müssen, aber nicht einen hohen Schutz benötigen, werden mit so eingestuften Mitteln bearbeitet.

Abs. 2: Für IKT-Mittel der Sicherheitsstufe «hoher Schutz» gelten - neben den Anforderungen des Grundschutzes - besondere Sicherheitsanforderungen und -massnahmen, z.B. das Erfordernis der Erstellung eines Informationssicherheitskonzepts sowie die Durchführung einer PSP bei Personen, die solche Mittel betreiben, verwalten, warten oder überprüfen sollen.

 Bst. a: IKT-Mittel gehören in diese Sicherheitsstufe, wenn die Informationen, die damit bearbeitet werden

sollen, hohe Anforderungen an die Vertraulichkeit, Verfügbarkeit, Integrität oder Nachvollziehbarkeit vorweisen. Die jeweiligen Anforderungen werden hinsichtlich einer potenziellen erheblichen Beeinträchtigung der Interessen nach Art. 1 Abs. 2 beurteilt, die durch die Verletzung eines der vier genannten Schutzkriterien verursacht werden kann. Bei als VERTRAULICH klassifizierten Informationen ist die potenzielle Beeinträchtigung bereits in der Definition der Klassifizierungsstufe enthalten (erhebliche Beeinträchtigung). Die IKT-Mittel, mit welchen als VERTRAULICH klassifizierten Informationen bearbeitet werden sollen, gehören somit in die Stufe «hoher Schutz». Dies trifft auch für IKT-Mittel zu, die für die Bearbeitung von besonders schützenswerten Personendaten oder von Geschäfts- oder Fabrikationsgeheimnissen benützt werden sollen, sofern der potenzielle Schaden bei einer Verletzung der Vertraulichkeit dieser Informationen erheblich ist.

 Bst. b: Wenn mit einem IKT-Mittel Geschäftsprozesse unterstützt werden, deren Ausfall zu einer erhebli-

chen Beeinträchtigung der Handlungsfähigkeit einer Behörde führen kann, dann ist das IKT-Mittel ebenfalls dieser Sicherheitsstufe zuzuweisen. Bst. b ist aber eigentlich bereits in Bst. a enthalten, denn IKT dienen ausschliesslich zur Bearbeitung von Informationen und haben keinen Selbstzweck. Die Störung und der Missbrauch der Funktionsfähigkeit des IKT-Mittels selbst werden aber als Einstufungsgrund in das Gesetz aufgenommen, weil diese Regelung für viele Nicht-Spezialisten wesentlich verständlicher ist.

Abs. 3: IKT-Mittel gehören in die Stufe «sehr hoher Schutz», wenn die Informationen, die damit bearbeitet werden sollen, sehr hohe Anforderungen an die Vertraulichkeit, Verfügbarkeit, Integrität oder Nachvollziehbarkeit aufweisen. Der Aufbau dieser Bestimmung ist identisch mit Abs. 2, wobei der potenzielle Schaden schwerwiegend sein muss. Es geht hier zum Beispiel um IKT-Mittel, mit welchen als GEHEIM klassifizierte Informationen bearbeitet werden, oder solche, deren Ausfall den Interessen nach Art. 1 Abs. 2 schwerwiegenden Schaden zufügen kann.

Art. 22

Abs. 1: Die Praxis hat gezeigt, dass mit einer Anzahl bestimmter und vordefinierter Anforderungen und Massnahmen die Risiken für eine Mehrheit der IKT-Mittel auf ein tragbares Mass reduziert werden können. Die Gesamtheit aller solchen Anforderungen und Massnahmen bildet den Grundschutz. Der Vorteil eines definierten und standardisierten Grundschutzes besteht darin, dass die Behörden und Organisationen für IKT-Mittel dieser Stufe keine detaillierten und aufwändigen Risikobeurteilungen durchführen müssen. Die verpflichteten Behörden müssen festlegen, welches minimale Sicherheitsniveau sie für alle ihre IKT-Mittel verlangen wollen. Die Festlegung eines Grundschutzes ist keine technische Angelegenheit, die von Fachexperten beschlossen werden soll. Sie ist eine Führungsaufgabe, welche das Abwägen von Sicherheitszielen und Kosten voraussetzt. Je nach Stärke des Grundschutzes können nämlich die umzusetzenden organisatorischen, personellen, technischen und physischen Massnahmen teurer oder weniger teuer ausfallen.

Abs. 2 legt den Grundsatz fest, dass alle IKT-Mittel, unabhängig von der ihnen zugewiesenen Sicherheitsstufe, die Anforderungen des Grundschutzes erfüllen müssen. Der Grundschutz wird somit auch als Fundament definiert, auf welches IKT-Mittel der Sicherheitsstufen «hoher Schutz» und «sehr hoher Schutz» aufbauen müssen. Die Massnahmen des Grundschutzes müssen somit auch relativ flexibel und modular ausgestaltet werden. Sind bestimmte Massnahmen bei einem besonderen IKT-Mittel nicht umsetzbar, so müssen andere Massnahmen zur Anwendung kommen, die einen gleichwertigen Schutz ermöglichen.

Art. 23

Abs. 1: Für IKT-Mittel der Sicherheitsstufen «hoher Schutz» und «sehr hoher Schutz» genügen die Anforderungen und Massnahmen des Grundschutzes nicht. Für solche Mittel wird zuerst die Durchführung einer objektbezogenen Risikoanalyse verlangt. Das Schwergewicht liegt dabei auf dem Schutz derjenigen Krite-