Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

ihres Sitzstaates vorweisen müssen. Dieses Verfahren und die damit verbundene Zertifizierung stellen eine amtliche Tätigkeit dar, die nicht an die Privatwirtschaft übertragen werden kann, weil die ausländischen Behörden ausnahmslos ein amtliches "Sicherheitssiegel" des Sitzstaates des Betriebs verlangen.

Abs. 2 hält fest, dass ein BSV in jedem Fall nur mit Zustimmung des betroffenen Betriebs durchgeführt werden kann. In der Praxis stellt die erforderliche Zustimmung des Betriebs zur Durchführung des BSV allerdings nie ein Problem dar, weil die Betriebe ein finanzielles Interesse an der Auftragserteilung haben.

Abs. 3: Im Anwendungsfall von Abs. 1 Bst. b hat der Bund kein unmittelbares Selbstinteresse an der Durchführung des Verfahrens. Der Bundesrat wird die Frage der Kosten auf Verordnungsebene regeln.

Art. 58

Abs. 1: Das BSV wird nur durchgeführt, wenn bestimmte Kriterien und Voraussetzungen (z.B. Zustimmung) erfüllt werden. Erfüllt der Betrieb diese Kriterien im Laufe des BSV nicht mehr, wird das Verfahren eingestellt. Dies kann nach Bst. d z.B. auch dann der Fall sein, wenn der Betrieb im Falle seines Konkurses oder der Zerstörung der Betriebsstätte durch einen Brand den Auftrag überhaupt nicht mehr erfüllen kann.

Abs. 2 schreibt vor, dass nach der Einstellung des Verfahrens sämtliche mit diesem zusammenhängenden Daten und Akten zu vernichten sind.

Art. 59

Abs. 1 hält vorab fest, dass die BSV durch eine „Fachstelle für Betriebssicherheit“ (Fachstelle BS) durchgeführt werden. Innerhalb des Bundes soll sich also (wie bis anhin) eine einzige Stelle mit diesen Verfahren befassen. Die Fachstelle BS wird nur auf Antrag (und nicht Auftrag) einer verpflichteten Behörde oder Organisation tätig. Letztere sind aber verpflichtet, einen entsprechenden Antrag zu stellen, falls sie einen sicherheitsempfindlichen Auftrag an einen Betrieb vergeben wollen.

Abs. 2: Die verpflichteten Behörden müssen in ihrem Zuständigkeitsbereich bestimmen, wer den Antrag zur Einleitung stellt. Je nach ihren organisatorischen Bedürfnissen kann dies eine zentrale Stelle sein oder jede Stelle, die über die Kompetenz verfügt, sicherheitsempfindliche Aufträge an Unternehmen der Privatwirtschaft zu vergeben.

Abs. 3 regelt die Zuständigkeit bei einem sicherheitsempfindlichen Auftrag einer ausländischen oder internationalen Behörde. Das Verfahren wird in der Regel mittels einer Anfrage seitens der ausländischen Sicherheitsbehörde (engl. Facility Security Clearance Information Sheet, FSCIS) an die Sicherheitsbehörden und einer Bestätigung des interessierten Betriebs eingeleitet. Die Anfrage wird mittels eines standardisierten Ablaufs beantwortet. Die Einzelheiten dieser Verfahren sind durch Verordnung zu regeln.

Art. 60

Abs. 1: Nach Eingang des Antrags zur Durchführung des BSV prüft die Fachstelle BS zunächst, ob die Voraussetzungen zur Einleitung des Verfahrens (z.B. Vorliegen eines sicherheitsempfindlichen Auftrags) vorliegen und leitet gegebenenfalls das BSV ein.

Abs. 2: Können die Risiken für die Informationssicherheit im konkreten Fall durch andere Massnahmen hinreichend minimiert werden, kann die Fachstelle BS aus Gründen der Verwaltungsökonomie auf die Durchführung des BSV verzichten. Wenn der Auftrag z.B. unter Aufsicht der auftragserteilenden Stelle in deren Räumlichkeiten ausgeführt wird und dem Auftragnehmer (Betrieb) keine Unterlagen ausgehändigt werden, reichen beispielsweise unter Umständen entsprechende PSP aus. Verzichtet die Fachstelle BS auf die Durchführung des BSV, so empfiehlt sie auch die Sicherheitsmassnahmen, die sie für zweckmässig betrachtet. In diesem Fall verfügt die Fachstelle BS über keine Durchsetzungskompetenzen mehr.

Art. 61

Nach der Einleitung des Verfahrens nimmt die Fachstelle BS Kontakt mit der auftragserteilenden Stelle (Auftraggeberin) auf und bespricht die Details des Auftrags. Sie legt in Absprache mit der Auftraggeberin die Anforderungen an die Informationssicherheit für die Auftragserfüllung fest. Soweit bereits im Rahmen des Vergabeverfahrens die Ausübung einer sicherheitsempfindlichen Tätigkeit notwendig ist, werden auch bereits für diese Phase die Anforderungen festgehalten. Dies ist insbesondere regelmässig dann der Fall, wenn für die Erstellung einer Offerte während des Vergabeverfahrens die Kenntnisnahme von klassifizierten Informationen erforderlich ist.

Art. 62

Der Begriff "Eignung" ist im Sinne der Systematik des öffentlichen Beschaffungsrechts zu verstehen. Zwar stellt die Gewährleistung der Informationssicherheit kein ausdrückliches Eignungskriterium nach Art. 9 BöB dar, der Entwurf fügt es aber für die Ausführung sicherheitsempfindlicher Aufträge ein.