Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Art. 27

Behörden, Organisationen oder Dritte, die im Auftrag der verpflichteten Behörden und Organisationen IKT-Mittel betreiben, sind für die Aufrechterhaltung der Informationssicherheit beim Betrieb derselben verantwortlich. Die internen Leistungserbringer fallen alle unter den Anwendungsbereich dieses Gesetzes und müssen deshalb für ihre Tätigkeiten auch die Art. 19-26 anwenden. Externe Leistungserbringer dagegen gelten als Dritte im Sinne von Art. 8 und müssen vertraglich verpflichtet werden, die Massnahmen dieses Gesetzes einzuhalten. Die verpflichteten Behörden und Organisation, die den Betrieb von IKT-Mitteln in Auftrag geben, müssen ihre IKT-Mittel-bezogenen Anforderungen mit dem Leistungserbringer vereinbaren.

Beim Betrieb muss der Leistungserbringer in Bezug auf die Informationssicherheit folgende Fähigkeiten und Aktivitäten sicherstellen:

 Netzwerkmanagement, z.B.: Rollen und Verantwortlichkeiten; Netzwerkdesign; Security-Audits;

 Trafficmanagement, z.B.: Konfiguration von Netzwerkdevices; Regelungen für Managementzugriffe,

Verschlüsselung und Authentifizierung; Firewalls; externe Zugriffe; Zugriffe via Wireless Technologien;

 Netzwerkbetrieb, z.B.: detaillierte Leistungsbeschreibungen und Einhaltung der SLA; Monitoring (inkl.

Netzwerküberwachung); Release-, Change-, Life-Cycle-Management; Incident- und Security-Management; Capacity- und Ressource-Management; Desaster- und Recovery-Management;

 Audit-Berichterstattung an die Leistungsbezüger.

Art. 28

Personen, die mit Informationen oder IKT-Mitteln des Bundes umgehen sollen, müssen bestimmte Anforderungen erfüllen. Es liegt in der Verantwortung des Arbeit- bzw. des Auftraggebers, dafür zu sorgen, dass die Arbeit- bzw. Auftragnehmer diese Anforderungen erfüllen.

 Bst. a: Bei der Auswahl der anzustellenden oder zu beauftragenden Personen müssen die Auswahlkrite-

rien der Schutzwürdigkeit der Informationen oder der Kritikalität der IKT-Mittel entsprechen. Die Arbeitgeber sind für ihre Personalentscheide verantwortlich. Die Unterstellung einer Person unter die PSP entbindet sie nicht von dieser Verantwortung.

 Bst. b: Die verpflichteten Behörden und Organisationen müssen ihre Angestellten und Auftragnehmer

ausreichend ausbilden. Im Bereich der Informationssicherheit genügt eine einmalige Ausbildung nicht. Die Arbeit- und Auftragnehmer müssen regelmässig geschult und sensibilisiert werden. Besondere Aufmerksamkeit ist der Schulung der Vorgesetzten zu schenken.

 Bst. c: Sofern die Angestellten oder die Auftragnehmer mit Informationen umgehen sollen, die erhöhte

Anforderungen an den Schutz der Vertraulichkeit aufweisen, müssen sie zur Geheimhaltung verpflichtet werden. Angestellte des Bundes, die dem BPG unterstellt sind, müssen aufgrund von Art. 22 BPG das Amtsgeheimnis wahren. Bei Dritten, die für den Bund Aufträge ausführen sollen, muss die Geheimhaltungspflicht schriftlich im Vertrag festgehalten werden und bei ihrer Nichteinhaltung mit klaren Folgen verbunden sein.

Art. 29

Wer für eine Bundesbehörde arbeitet oder einen Auftrag ausführt, braucht zur Aufgabenerfüllung unter Umständen einen Zugang zu bestimmten Informationen, IKT-Mitteln oder Räumlichkeiten. Abs. 1 stellt einen zentralen Grundsatz der Informationssicherheit auf. Die Arbeit- und Auftragnehmer sollen nur diejenigen Berechtigungen erhalten, die sie zur Erfüllung ihrer Aufgaben tatsächlich benötigen. Das Risiko eines Missbrauchs kann wesentlich reduziert werden, wenn eine Person nicht ohne Grund Informationen eines anderen Bereichs bearbeiten kann.

Abs. 2 verlangt die laufende Verwaltung dieser Berechtigungen. Es kommt vor, dass ehemalige Angestellte oder Auftragnehmer nach Beendigung des Arbeitsverhältnisses, des Vertrags oder einer besonderen Aufgabe nicht aufgefordert werden, ihren Schlüssel oder ihren Badge zurückzugeben, oder dass ihr Benutzerkonto nicht gesperrt wird. Solche "ungültige" Berechtigungen können in der Folge benutzt werden, um gegen die Interessen des Arbeit- oder Auftraggebers zu handeln. Wenn eine Anstellung, ein Vertrag oder eine Aufgabe beendet ist, müssen die entsprechenden Berechtigungen entzogen werden. Besteht Grund zur Annahme, dass eine Gefährdung der Informationssicherheit vorliegt, müssen die Berechtigungen sofort gesperrt oder entzogen werden. Beide Massnahmen sollen dazu beitragen, das Risiko einer Innentat zu reduzieren.

Abs. 3 verlangt einen geeigneten Prozess zur regelmässigen Überprüfung der Berechtigungen.