Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Regelmässigkeit, insbesondere bei der Bearbeitung von klassifizierten Informationen, abgesehen. Entscheidend für die Unterstellung der Bundesangestellten unter die Personensicherheitsprüfung ist aber die Frage, ob die Inhaberin oder der Inhaber einer bestimmten Funktion für ihre oder seine Aufgabenerfüllung eine sicherheitsempfindliche Tätigkeit ausüben muss. Wenn eine solche Tätigkeit für die funktionsbedingte Aufgabenerfüllung erforderlich ist, dann - und nur dann - muss die Funktion in die Liste der zu prüfenden Funktionen aufgenommen werden.

Einige fiktive Beispiele vermögen die Umsetzung des Prinzips zu erläutern:

 Eine Mitarbeiterin des Bundesamts für Umwelt ist im Rahmen ihrer Aufgaben für die Umweltverträg-

lichkeitsprüfung im Zusammenhang mit militärischen Bauten und Anlagen zuständig. Für ihre Aufgabenerfüllung muss sie klassifizierte Informationen bearbeiten und manchmal Zugang zu militärischen Anlagen haben. Ihre Funktion muss in die Funktionsliste aufgenommen werden.

 Ein Mitarbeiter der Eidgenössischen Finanzverwaltung muss ausnahmsweise die Auswirkungen eines als

VERTRAULICH klassifizierten Antrags des EJPD an den Bundesrat beurteilen. Für solche Geschäfte sind normalerweise andere Mitarbeitende zuständig, die aber ferien- und krankheitshalber abwesend sind. Diese Aufgabe gehört grundsätzlich nicht zu seiner Funktion, die dementsprechend nicht auf der Liste aufgeführt werden darf.

 Das Reinigungspersonal einer Behörde hat hin und wieder ungewollten Zugang zu klassifizierten Infor-

mationen, wenn es im Rahmen seiner ordentlichen Aufgabenerfüllung die Büros der Bundesangestellten reinigt und letztere die Informationsträger nicht vorschriftsgemäss aufbewahren oder entsorgen. Es gehört aber nicht zum Aufgabenbereich des Reinigungspersonals, klassifizierte Informationen zu bearbeiten. Es darf deshalb nicht in die Liste aufgenommen werden, es sei denn, es sei für die Reinigung innerhalb einer Sicherheitszone zuständig.

Das Kriterium der Regelmässigkeit, auch wenn es de facto fast immer erfüllt sein wird, ist de iure irrelevant. Selbst wenn im Pflichtenheft einer Funktion nur 5% des Arbeitspensums für die Erfüllung sicherheitsempfindlicher Aufgaben vorgesehen sind, soll diese Funktion in die Funktionsliste aufgenommen werden. Dies auch dann, wenn die betroffene Funktionsinhaberin vielleicht während einer längeren Periode gar keine solchen Aufgaben erfüllen muss. Die Eventualität der funktionsbedingten Ausübung einer sicherheitsempfindlichen Tätigkeit ist hingegen kein Grund dafür, eine Funktion in die Funktionsliste aufzunehmen.

Die Umsetzung dieses restriktiven Ansatzes setzt voraus, dass die verpflichteten Behörden und Organisationen eine klare Übersicht über die internen und übergreifenden Geschäftsprozesse und Aufgabenbereiche haben, die notwendigerweise mit sicherheitsempfindlichen Tätigkeiten verbunden sind. Sich in diesem Bereich einen Überblick zu verschaffen und diesen zu behalten, stellt gleichzeitig eine grundsätzliche Massnahme im Bereich des Risikomanagements der Informationssicherheit dar. Die Gründe für den Eintrag einer Funktion in die Funktionsliste sollen nachweisbar sein: Die Stellenbeschreibungen (oder Pflichtenhefte) der jeweiligen Funktionen sollen eine genaue Umschreibung der Aufgaben beinhalten, für deren Erfüllung die Ausübung einer sicherheitsempfindlichen Tätigkeit erforderlich ist. Zudem sollen die verpflichteten Behörden und Organisationen unabhängig von einer allfälligen Unterstellung unter die Personensicherheitsprüfung die erforderlichen organisatorischen und personellen Massnahmen treffen, um den Kreis der Personen, die sicherheitsempfindliche Tätigkeiten ausüben müssen, auf das notwendige Minimum zu beschränken.

Mit dem Begriff "erlassen" wird klar gestellt, dass es sich um eine formelle Rechtsetzungsdelegation an die verpflichteten Behörden handelt. Die Funktionslisten werden somit in Verordnungen oder Reglementen zu finden sein. In Bezug auf die Bundesverwaltung soll also grundsätzlich am heutigen System festgehalten werden, wonach der Bundesrat im Anhang zur PSPV diese Funktionen bezeichnet (s. Ziff. 1.2.4). Aufgrund der Zuständigkeitsregelungen gemäss RVOG wird er aber weiterhin die Departemente und die Bundeskanzlei ermächtigen können, ihre eigenen, detaillierten Listen zu erlassen.

Art. 34

Abs. 1: Art. 34 legt fest, wer geprüft werden muss.

 Bst. a: Bei Angestellten der verpflichteten Behörden und Organisationen werden nur diejenigen Personen

unterstellt, deren Funktion in den Funktionslisten nach Art. 33 enthalten sind. Die Funktionsliste ist also verbindlich. Die Ausnahmen werden in Abs. 3 und 4 geregelt.

 Bst. b: Für Dritte wird die Prüfung durchgeführt, wenn sie im Rahmen eines Auftrages an der Ausübung

einer sicherheitsempfindlichen Tätigkeit beteiligt werden.

 Bst. c: Die Voraussetzung für die Durchführung der PSP im internationalen Verhältnis werden durch die

entsprechenden völkerrechtlichen Verträge geregelt. Grundsätzlich gilt die Regel von Abs. 2.