Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Mit der vorgeschlagenen Lösung wird die Unabhängigkeit der Bundesbehörden beim Vollzug bewahrt. Da die Bundesbehörden den Ausführungsbestimmungen des Bundesrats nicht unterstellt werden dürfen, müssen alle minimalen Anforderungen und Massnahmen, die zwingend für alle Behörden gelten sollen, im Gesetz selbst verankert werden. In der Folge enthält das Gesetz viele Bestimmungen, die von der Normenhierarchie her normalerweise auf Verordnungsebene hätten verankert werden können. Die Vorlage bewahrt auch eine hinreichende Vollzugsautonomie für die Kantone und bestimmte Organisationen, die dem Gesetz und dem Ausführungsrecht des Bundesrats unterstellt werden. Schliesslich schafft der Entwurf die heute fehlende formell-gesetzliche Grundlage für den Abschluss von internationalen Vereinbarungen im Bereich der Informationssicherheit durch den Bundesrat.

Organisation der Informationssicherheit

Der Entwurf passt die Fachorganisation der Informationssicherheit an diese neue komplexe und dynamische Realität an. Dies geschieht auf zwei Organisationsebenen:

 Interne Organisation:

 Management der Informationssicherheit: Die Bundesbehörden sollen sich beim Management der Informationssicherheit nach international anerkannten, in der Praxis erprobten Fachnormen richten (z.B. DIN ISO/IEC Normen 27'001 und 27'002).

 Informationssicherheitsbeauftragte: Die Bundesbehörden sollen eine/n Informationssicherheitsbeauftragte/n sowie eine Stellvertretung bezeichnen, die oder der für die Steuerung aller Belange der Informationssicherheit zuständig sein wird.

 Übergreifende Organisation:

 Fachstelle des Bundes für Informationssicherheit: Bestimmte bestehende Organe sollen in einer neuen Fachstelle zusammengeführt werden, um erkannte Zuständigkeitsprobleme systemisch zu lösen und das interdisziplinäre Fachwissen zu erhöhen. Dieser Fachstelle, die unterstützend und beratend agieren soll, kommen aufgrund der Unabhängigkeit der jeweiligen Bundesbehörden im behördenübergreifenden Rahmen keine Weisungsbefugnisse zu. Das Ausführungsrecht des Bundesrats wird die Ansiedelung und die detaillierten Aufgaben der Fachstelle regeln.

 Konferenz der Informationssicherheitsbeauftragten: Dieses Organ dient hauptsächlich dem einheitlichen und behördenübergreifenden Vollzug des Gesetzes. Bei Bedarf sollen auch Experten aus den Kantonen, der Wissenschaft oder der Privatwirtschaft einbezogen werden.

 Fachstellen für Personensicherheitsprüfungen: Der Bundesrat wird zur Sicherstellung unabhängiger Prüfungen wie bis anhin mindestens zwei Fachstellen einsetzen.

 Fachstelle für Betriebssicherheit: Zur Durchführung des BSV muss der Bundesrat eine Fachstelle einsetzen.

Auswirkungen

Das Gesetz wird eine wesentliche Verbesserung des Managements der Informationssicherheit im Bund bewirken. Somit werden die entsprechenden Risiken, die teilweise auch finanzieller Art sind, reduziert. Die Praxis hat gezeigt, dass ein effizientes Management der Informationssicherheit mittelfristig sogar zu Kosteneinsparungen führen kann. Das Gesetz wird für den Bund aber auch direkte finanzielle und personelle Auswirkungen nach sich ziehen. Der Mehrbedarf kann zurzeit noch nicht sachgemäss abgeschätzt werden. Er wird in der Botschaft transparent ausgelegt. Nachfolgend sind die Hauptkostentreiber aufgeführt:

 die Organisation, Steuerung und Überprüfung der Informationssicherheit

 das verstärkte Kontroll- und Auditwesen

 die Personensicherheitsprüfungen

 das Betriebssicherheitsverfahren

 die Schaffung der Fachstelle des Bundes für Informationssicherheit und die Aufgaben derselben

Zu beachten ist, dass das Gesetz selbst fast keine detaillierten Massnahmen festlegt und deshalb nicht direkt umsetzbar ist: Die jeweiligen Bundesbehörden müssen ihre eigenen Ausführungsbestimmungen erlassen. Massgebend für die Beurteilung der Vollzugskosten werden deshalb das von ihnen festzulegende Sicherheitsniveau sein sowie die daraus abzuleitenden organisatorischen, personellen, technischen und baulichen Massnahmen, welche sie nach sachgerechten "Kosten-Nutzen"-Analysen auf Verordnungs-, Weisungs- oder Projektebene beschliessen werden.