Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Art. 70

Abs. 1: Betriebe mit einer BSE sind zur Mitwirkung und Zusammenarbeit verpflichtet. Ihre wichtigste Pflicht besteht darin, die Massnahmen des Sicherheitskonzepts laufend umzusetzen.

Nach Abs. 2 müssen diese Betriebe zudem der Fachstelle BS alle Änderungen melden, die für die Wahrung der Informationssicherheit bei der Erfüllung des sicherheitsempfindlichen Auftrages wesentlich sind. Z.B. sind neue Mitarbeiter zu melden, die mit der Ausübung von sicherheitsempfindlichen Tätigkeiten betraut werden sollen, damit bei ihnen eine PSP durchgeführt wird. Weiter muss der Betrieb die Fachstelle BS und die Auftraggeberin unverzüglich informieren, wenn sich ein sicherheitsrelevanter Vorfall ereignet hat.

Art. 71

Abs. 1 ermächtigt die Fachstelle BS, die Einhaltung der auftragsrelevanten, im Sicherheitskonzept vorgesehenen Sicherheitsmassnahmen im Betrieb zu kontrollieren. Sie kann diejenigen Bereiche des Betriebs, in denen der sicherheitsempfindliche Auftrag ausgeführt wird, überprüfen. Sie kann auch Einsicht in die auftragsrelevanten Unterlagen des Betriebs nehmen. Die Überprüfung kann naturgemäss auch unangemeldet erfolgen. Sie darf nur in Begleitung bzw. in Anwesenheit einer zum Betrieb gehörenden Person, in der Regel mit dem Sicherheitsbeauftragten, durchgeführt werden.

Abs. 2: Die Fachstelle BS kann beim Vorliegen konkreter Anhaltspunkte für eine Gefährdung der Informationssicherheit die erforderlichen Schutzmassnahmen treffen. Die Fachstelle BS kann z.B. die sofortige Einschliessung oder Rückgabe bestimmter Unterlagen oder Materialien verfügen. Falls die Informationssicherheit anderweitig nicht gewährleistet werden kann, ist sie gar befugt, bestimmte Unterlagen oder Materialien sicherzustellen. Dies gilt auch für Fälle, in denen nach dem Konkurs eines Betriebs noch vorhandene Unterlagen oder IKT-Mittel rasch aus der Konkursmasse ausgeschieden werden müssen.

Art. 72

Abs. 1: Bei der Vergabe neuer sicherheitsempfindlicher Aufträge gelten Betriebe mit einer BSE als geeignet im Sinne von Art. 62. Ihre Eignung wird nicht neu beurteilt. Es kommt ein vereinfachtes Verfahren zur Anwendung, das der Bundesrat auf Verordnungsebene regeln wird.

Nach Abs. 2 ist in derartigen Fällen jedoch zu prüfen, ob das bestehende Sicherheitskonzept angepasst werden muss. Dies wäre beispielsweise dann der Fall, wenn der betreffende Betrieb bis anhin "nur" VER-TRAULICH klassifizierte Informationen bearbeiten musste, nun aber neu auch GEHEIM klassifizierte Informationen bearbeiten muss.

Art. 73

Betriebe mit Sitz in der Schweiz, die sich für einen sicherheitsempfindlichen Auftrag aus dem Ausland bewerben wollen, müssen den dortigen Behörden eine Sicherheitserklärung der Schweizer Behörden vorweisen (s. Art. 57 Abs. 1 Bst. b und Art. 68 Abs. 1). Die Fachstelle BS stellt Betrieben mit einer BSE deshalb auf ihren Antrag hin eine entsprechende Bescheinigung aus.

Art. 74

Abs. 1: Die BSE wird widerrufen, wenn der Betrieb seine Pflichten nach Art. 70 nicht erfüllt oder im Rahmen einer Wiederholung des Verfahrens eine neue Beurteilung nach Art. 62 ein Sicherheitsrisiko ergibt.

Der Widerruf hat nach Abs. 2 in Form einer Verfügung zu erfolgen, gegen die nach Art. 76 Abs. 3 die Beschwerde an das Bundesverwaltungsgericht offensteht. Das Beschwerderecht steht auch der Auftraggeberin zu, da ein Widerruf auch für sie nachteilig sein kann. Sie kann beispielsweise ein erhebliches finanzielles Interesse daran haben, dass die BSE nicht widerrufen wird.

Art. 75

Das BSV wird wiederholt, wenn beim Ablauf der Gültigkeitsdauer der BSE noch ein sicherheitsempfindlicher Auftrag hängig ist und durch den Betrieb bearbeitet wird. Während des Wiederholungsverfahrens wird die Auftragserfüllung nicht gestoppt. Ist der Auftrag fast erfüllt und wurden keine neuen Aufträge erteilt, wird die Fachstelle BS aus Gründen der Verfahrensökonomie das Verfahren nicht wiederholen. Besteht konkreter Grund zur Annahme, dass in Folge wesentlicher Änderungen beim Betrieb neue Sicherheitsrisiken entstanden sind, ist das Verfahren ebenfalls zu wiederholen.

Art. 76

Abs. 1 gewährt den Organen des Betriebs verschiedene Rechte (Einsicht, Berichtigung, Entfernung, Bestreitung) analog Art. 51 Abs. 1 bei den PSP.