Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Abs. 2: Der Grundsatz von Abs. 1 Bst. b gilt auch für Personen, die im Auftrag einer ausländischen oder einer internationalen Behörde eine sicherheitsempfindliche Tätigkeit ausüben sollen.

Abs. 3 regelt den Fall einer Funktion, welche die Kriterien nach Art. 33 erfüllt aber noch nicht in die entsprechende Liste aufgenommen worden ist. In diesem Fall kann die Prüfung durchgeführt werden, sofern die verpflichtete Behörde zustimmt. Die Liste muss danach angepasst werden.

Abs. 4: Bei Mitgliedern von Behörden, die vom Volk oder als Magistratspersonen von der Bundesversammlung gewählt werden, darf keine vorgängige Personensicherheitsprüfung durchgeführt werden, auch wenn diese Personen oft die sicherheitsempfindlichsten Tätigkeiten ausüben.

Art. 35

In Bezug auf die Prüfstufen enthält das BWIS keine präzise Regelung. Das Legalitätsprinzip verlangt aber aufgrund des tiefen Eingriffs in die Grundrechte der zu prüfenden Personen, die mit der Durchführung der PSP verbunden sind, dass die wichtigsten Modalitäten des Eingriffs auf Gesetzessebene festgehalten werden. Da die Prüfstufen für die Schwere des Eingriffs massgebend sind, müssen sie im Gesetz geregelt werden.

Die Vorlage sieht neu (s. Ziff. 1.2.4) folgende zwei Prüfstufen vor:

 Bst. a: Die Grundsicherheitsprüfung gilt für sicherheitsempfindliche Tätigkeiten, bei deren vorschrifts-

widriger oder unsachgemässer Ausübung die Interessen nach Art. 1 Abs. 2 erheblich beeinträchtigt werden können. Es handelt sich also aufgrund des erwähnten Schadenspotenzials implizit um: (a) die Bearbeitung von als VERTRAULICH klassifizierten Informationen; (b) die Verwaltung, den Betrieb, die Überprüfung oder die Wartung von IKT-Mitteln der Sicherheitsstufe «hoher Schutz»; und (c) den Zugang zu Sicherheitszonen, in welchen Tätigkeiten nach (a) und (b) ausgeübt werden. Für den Zugang zu Schutzzonen 2 einer militärischen Anlage ist ebenfalls eine PSP dieser Stufe erforderlich.

 Bst. b: Die erweiterte PSP gilt entsprechend für (a) die Bearbeitung von als GEHEIM klassifizierten In-

formationen; (b) die Verwaltung, den Betrieb, die Überprüfung oder die Wartung von IKT-Mitteln der Sicherheitsstufe «sehr hoher Schutz»; und (c) den Zugang zu Sicherheitszonen, in welchen Tätigkeiten nach (a) und (b) ausgeübt werden. Für den Zugang zu Schutzzonen 3 einer militärischen Anlage ist ebenfalls eine PSP dieser Stufe erforderlich.

Es obliegt den verpflichteten Behörden, die Prüfstufen für die entsprechenden Funktionen und Aufträge festzulegen.

Art. 36

Die Fachstellen PSP können in keinem Fall von sich aus eine PSP einleiten und durchführen; sie benötigen immer einen entsprechenden Auftrag. Einerseits kann es nicht Sache der höchsten Behörden sein, sämtliche Prüfverfahren direkt einzuleiten, andererseits sollte aber auch nicht jede Dienststelle von sich aus solche Aufträge erteilen können. Art. 36 sieht daher vor, dass die verpflichteten Behörden je für ihren Zuständigkeitsbereich diejenigen Stellen bezeichnen, welche zur Einleitung der Prüfverfahren und der entsprechenden Auftragserteilung an die Fachstellen PSP ermächtigt sind. Es handelt sich dabei um eine formelle Kompetenz. In diesem Zusammenhang ist darauf hinzuweisen, dass die einleitenden Stellen häufig nicht identisch mit den Stellen sind, welche nach der Prüfung in Anwendung von Art. 44 über die Übertragung der sicherheitsempfindlichen Aufgabe entscheiden (übertragende Stellen).

Der Bundesrat kann auch, soweit er dies für zweckmässig erachtet, bestimmte Dritte zur Einleitung von PSP ermächtigen. Dies betrifft insbesondere Betriebe, die häufig sicherheitsempfindliche Tätigkeiten für den Bund ausüben und im Besitz einer Betriebssicherheitserklärung nach Art. 68 sind. Es kann auch für die Kantone oder Organisationen nach Art. 2 Abs. 2 Bst. e der Fall sein.

Art. 37

Die Durchführung der PSP erfordert grundsätzlich die Einwilligung der betroffenen Person (Abs. 1). Einzig im Bereich der Armee oder des Zivilschutzes dürfen nach Abs. 2 PSP ohne Zustimmung der betroffenen Person durchgeführt werden. Diese Ausnahme ist notwendig, weil andernfalls Angehörige der Armee oder des Zivilschutzes sich ihrer Dienstpflicht entziehen könnten, indem sie die Durchführung der Prüfung durch Verweigerung der Einwilligung verhindern würden.

Art. 38

Das geltende Recht (Art. 19 Abs. 3 BWIS) verlangt, dass die PSP durchgeführt wird, bevor das Amt oder die Funktion übertragen oder der Auftrag erteilt wird. Eine Durchsetzung der (an sich zweckmässigen) geltenden Regelung kann jedoch in der Praxis ohne eine wesentliche Aufstockung der personellen Ressourcen der Fachstellen nicht umgesetzt werden. Deshalb wird in Abs. 1 die Regel für Angestellte der verpflichteten