Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Abs. 2 sieht vor, dass sowohl die zu prüfende Person als auch die einleitende Stelle über die Einstellung des Verfahrens informiert werden. Die betroffene Person gilt in der Folge als nicht sicherheitsgeprüft und darf die in Frage stehende sicherheitsempfindliche Tätigkeit nicht ausüben bzw. die entsprechende Funktion nicht übernehmen.

Abs. 3 legt fest, dass nach einer Einstellung des Prüfverfahrens die bei der Fachstelle PSP bereits erhobenen Daten und Akten zu vernichten sind. Vernichtet werden die erhobenen Daten, nicht jedoch die Einstellungserklärung und das Vernichtungsprotokoll. Weder die Einstellungserklärung noch das Vernichtungsprotokoll dürfen aber Daten enthalten, die für die betroffene Person nachteilig sein könnten. Die Ausführungsbestimmungen des Bundesrats werden die Aufbewahrungsdauer der Einstellungserklärung und des Vernichtungsprotokolls regeln.

Art. 42

In der Vergangenheit wurde verschiedentlich bemängelt, dass die geltende Regelung im BWIS nicht ausdrücklich erwähnt, was als Sicherheitsrisiko anzusehen ist. Deshalb soll nun eine entsprechende Norm aufgenommen werden, welche die Rechtsprechung des Bundesverwaltungsgerichts und des Bundesgerichts sinngemäss wiedergibt. Es versteht sich, dass es keine reinen quantitativen Beurteilungsmethoden gibt, wenn es darum geht, das Risiko in Bezug auf menschliche Handlungen oder Unterlassungen einzuschätzen. Deshalb wird eine qualitative Methode angewendet, bei welcher das Vorhandensein und das Zusammenwirken von Risikofaktoren bewertet werden.

Abs. 1: Das Risiko ist in der Lehre das Produkt der Eintrittswahrscheinlichkeit eines Ereignisses und der Auswirkungen dieses Ereignisses. Der für die Unterstellung unter die PSP massgebende Ausdruck "sicherheitsempfindliche Tätigkeit" enthält in seiner Definition die Auswirkungen, deren Eintreten vermieden werden soll. Es handelt sich dabei um eine "erhebliche bzw. schwerwiegende Beeinträchtigung der Interessen nach Art. 1 Abs. 2". Wenn die zu prüfende Person die Aufgaben, die ihr zugewiesen werden sollen, vorschriftskonform und sachgemäss erfüllt, so kann der Schaden ihretwegen nicht eintreten. Das zu vermeidende Ereignis ist also e contrario die vorschriftswidrige oder unsachgemässe Ausübung der sicherheitsempfindlichen Tätigkeit durch die betroffene Person. Ein Sicherheitsrisiko muss somit im Sinne des vorliegenden Gesetzes angenommen werden, wenn die Wahrscheinlichkeit hoch ist, dass die geprüfte Person die sicherheitsempfindliche Tätigkeit vorschriftswidrig oder unsachgemäss ausüben wird und dadurch die Interessen nach Art. 1 Abs. 2 mindestens erheblich beeinträchtigen wird.

Abs. 2 macht klar, dass die Fachstellen PSP sich primär auf die Eintrittswahrscheinlichkeit des Ereignisses fokussieren. Bei der Bewertung einer solchen Wahrscheinlichkeit wird es sich zwangsläufig immer um eine Prognose handeln, die mit Unsicherheiten behaftet ist. Grundlage für diese Prognose bildet die Gesamtheit aller Umstände, wie beispielsweise die Persönlichkeit der betroffenen Person, ihr Vorleben und ihre Lebensverhältnisse, soweit diese Rückschlüsse auf ihr künftiges Verhalten zulassen. In Abs. 2 werden deshalb die Risikofaktoren konkretisiert, die zur Annahme einer hohen Wahrscheinlichkeit für eine Beeinträchtigung führen, indem er persönliche Eigenschaften umschreibt, die besonders risikoträchtig sind. Die Aufzählung orientiert sich inhaltlich an der heutigen Praxis der Fachstellen PSP sowie an der Rechtsprechung des Bundesverwaltungsgerichts und des Bundesgerichts.

Die Umschreibungen zielen zwar im Grundsatz auf möglichst objektiv feststellbare Eigenschaften, doch können diese häufig nur aus Indizien oder aus dem Kontext abgeleitet werden und überschneiden sich partiell. Mit Integrität und Vertrauenswürdigkeit werden vorweg der Charakter sowie die Gewohnheiten und Beziehungen einer Person zu ihrem Umfeld anvisiert. Diese Eigenschaften sind bei der Ausübung einer sicherheitsempfindlichen Tätigkeit die Eignungserfordernisse schlechthin. Liegen diese Eigenschaften vor, kann mit hoher Wahrscheinlichkeit darauf vertraut werden, dass die mit einer solchen Tätigkeit betraute Person loyal zu ihrer Aufgabe steht und die Sicherheitsinteressen des Arbeitgebers oder der Institution wahrt. Welche der Indizien und Zusammenhänge die fehlende Vertrauenswürdigkeit einer Person, ihre mutmassliche Erpressbarkeit oder ihr beeinträchtigtes Beurteilungs- und Entscheidungsvermögen belegen, kann auf der Ebene des Gesetzes nicht spezifiziert, sondern muss letztlich in jeder einzelnen Beurteilung ermittelt und dargelegt werden.

Abs. 3 stellt klar, dass ein Sicherheitsrisiko auch ohne ein Verschulden der betroffenen Person vorliegen kann. Bei der PSP handelt es sich um eine vorbeugende Massnahme zum Schutz überwiegender öffentlicher Interessen vor vorsätzlichen und fahrlässigen Innentaten, die auf eine objektive Gefährdung und nicht auf ein schuldhaftes Verhalten abstellt. Dies im Gegensatz etwa zum Strafrecht, bei dem die Schuld immer Voraussetzung für eine Strafe ist. Anders als im Strafrecht (in dubio pro reo) rangiert somit im Zweifel die Sicherheit des Staates bzw. das Landesinteresse vor den Interessen der betroffenen Person. Es wird ebenfalls festgehalten, dass die Annahme eines Sicherheitsrisikos durch Fakten und tatsächliche Umstände um die zu be-