Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

 Bst. d: Beim Ein- oder Ausgang kann die Behörde oder Organisation Taschen- oder Personenkontrollen

durchführen lassen. Damit soll verhindert werden, dass Personen ohne Bewilligung Geräte in die Sicherheitszone mitnehmen (s. Bst. b) oder Informationen (z.B. mit einem USB-Memorystick) entwenden.

 Bst. e: Zur Durchsetzung der Informationssicherheitsvorschriften sollen auch in einer Sicherheitszone

Bürokontrollen möglich sein. Bei den Bürokontrollen wird unter anderem die Einhaltung der sogenannten "Clean Desk Policy" überprüft (es dürfen keine schutzwürdigen Informationen auf dem Schreibtisch oder anderswo herumliegen, der PC muss gesperrt oder ausgeschaltet sein, Datenträger müssen unter Verschluss gehalten werden, die Schubladen müssen geschlossen sein, der Abfallkorb darf keine klassifizierten Informationen enthalten, usw.). Die Kontrolle darf auch in Abwesenheit der betroffenen Personen, z.B. während der Nacht, stattfinden.

Gemäss Abs. 4 soll die Behörde oder Organisation in bestimmten Sicherheitszonen die Möglichkeit haben, eine störende Fernmeldeanlage nach Artikel 34 Absatz 1^terdes Fernmeldegesetzes vom 30. April 1997 (FMG; SR SR 784.10) zu betreiben, wenn dies erforderlich ist. Der tatsächliche Bedarf sowie die Bedingungen für den Betrieb einer solchen Störanlage werden nach dem FMG beurteilt.

In Abs. 5 werden Vorschriften für Sicherheitszonen nach völkerrechtlichen Verträgen (Art. 90) sowie die entsprechenden Vorschriften zum Schutz militärischer Anlagen vorbehalten. In beiden Fällen stellt die Einrichtung einer Sicherheits- bzw. Schutzzone keine Option, sondern eine Pflicht dar (s. z.B. ISA CH-EU).

2.1.3 Personensicherheitsprüfungen

Art. 32

Die Personensicherheitsprüfung (PSP) ist eine vorbeugende Massnahme zum Schutz vor Innentätern. Sie soll das Risiko einer Beeinträchtigung der Interessen nach Art. 1 Abs. 2 identifizieren, das mit der Ausübung einer sicherheitsempfindlichen Tätigkeit durch eine bestimmte Person verbunden ist. Es geht also darum, die Wahrscheinlichkeit einzuschätzen, dass eine bestimmte zu prüfende Person vorsätzlich oder fahrlässig die Interessen nach Art. 1 Abs. 2 beeinträchtigen wird. Dafür werden relevante Daten über die Lebensführung dieser Person erhoben. Gestützt auf diese Daten wird durch dafür ausgebildete Fachspezialisten (Risk Profiler) eine Beurteilung des Sicherheitsrisikos vorgenommen. Es versteht sich, dass eine solche Beurteilung nie absolut verlässlich sein kann.

Nachdem sie von der Beurteilung des Risikos durch die zuständige Fachstelle PSP Kenntnis genommen hat, entscheidet alleine die verpflichtete Behörde oder Organisation, ob sie ein allfälliges erhöhtes Risiko tragen will, ob sie dieses mit bestimmten Auflagen reduzieren will oder ob sie es durch Nichtanstellung oder Kündigung vermeiden will.

Für das Verständnis der vorgeschlagenen Regelung sind zwei Punkte wesentlich:

 Die Beurteilung des Sicherheitsrisikos durch die zuständige Fachstelle PSP stellt eine Empfehlung dar.

Für den Entscheid über eine allfällige Anstellung bzw. Beauftragung ist einzig die anstellende bzw. Auftrag gebende Stelle zuständig. Das Risiko wird dementsprechend nie von der für die Beurteilung des Sicherheitsrisikos zuständigen Fachstelle PSP getragen. Dies trifft sowohl bei einer Risikoerklärung (es besteht ein Sicherheitsrisiko) als auch bei einer Sicherheitserklärung (es besteht kein Sicherheitsrisiko) zu. Vorgesetzte werden auch dann, wenn der geprüften Person eine Sicherheitserklärung ausgestellt wurde, nicht von ihrer Pflicht entbunden, allfällige erhöhte Risiken in Verbindung mit der geprüften Person zu identifizieren und gegebenenfalls zu bewältigen.

 Die PSP muss risikogerecht eingesetzt werden. Das vorliegende Gesetz legt klare Voraussetzungen für

die Durchführung der Prüfung fest. Dies bedeutet nicht, dass diejenigen Funktionen, die bis anhin zusätzlich geprüft wurden, weniger wichtig oder keinem erhöhten Risiko ausgesetzt wären. Für diese Funktionen und für alle anderen Funktionen, die nicht geprüft werden, wird die Verantwortung für die Beurteilung des Sicherheitsrisikos aber einzig und allein der Linie übertragen. Mit der vorgeschlagenen Einführung eines neuen Art. 20a BPG werden die Arbeitgeber nach Art. 3 BPG hierfür inskünftig über geeignete Mittel (Auszüge aus dem Strafregister sowie aus dem Betreibungs- und Konkursregister) verfügen.

Art. 33

Art. 33 regelt in Verbindung mit Art. 34 Abs. 1 die Unterstellung der Angehörigen der verpflichteten Behörden und Organisationen. Die verpflichteten Behörden (also nicht die Organisationen nach Art. 2 Abs. 2) müssen für ihren Zuständigkeitsbereich eine Liste derjenigen Funktionen erlassen, für deren Aufgabenerfüllung die Ausübung einer sicherheitsempfindlichen Tätigkeit erforderlich ist und die somit geprüft werden sollen. Für die materiellen Voraussetzungen für den Eintrag einer Funktion in die Funktionsliste wird aber nicht einfach das heutige System übernommen. Wie in Ziff. 1.2.4 erwähnt, wird zwar vom Kriterium der