Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Art. 83

Der Bundesrat soll auf Verordnungsstufe die Aufgabenteilung und die Zusammenarbeit der Stellen regeln, welche die Aufgaben nach Art. 81 wahrnehmen. Diese sollen gegenüber den KI-Betreibern einheitlich auftreten. Es steht dem Bundesrat demgegenüber frei, wie er diese Stellen intern organisieren will, um die Aufgaben des Bundes möglichst effizient wahrnehmen zu können. Im künftigen Bundesgesetz über den Nachrichtendienst des Bundes sind Kompetenzen des Nachrichtendienstes des Bundes im Bereich Schutz der KI vorgesehen. Die entsprechende Aufgabenteilung und Zusammenarbeit soll im Detail vom Bundesrat festgelegt werden können. Aufgrund der Besonderheiten, welche mit der Bearbeitung von nachrichtendienstlichen Informationen einhergehen, soll der Bundesrat deren Austausch zwischen Bundesstellen sowie deren Bekanntgabe an KI-Betreiber spezifisch regeln. Die zuständigen Stellen sind nicht zwangsläufig im selben Departement anzusiedeln. Um Transparenz zu schaffen und Rechtssicherheit zu gewährleisten, regelt der Bundesrat die Datenbearbeitung sowie den Austausch von Daten zwischen diesen Stellen, wie auch die dabei zu berücksichtigende Datensicherheit.

2.1.6 Organisation und Vollzug

Art. 84

Zur Rolle der Informationssicherheitsbeauftragten: s. Ziff. 1.3.2.1.

Abs. 1: Das Gesetz greift aufgrund des überwiegenden Bedarfs nach einer integralen Steuerung der Umsetzung des vorliegenden Gesetzes in die Organisationsautonomie der Behörden ein: Es verlangt, dass die verpflichteten Behörden sowie die Departemente und die Bundeskanzlei für ihren Zuständigkeitsbereich eine/n Informationssicherheitsbeauftragte/n (international: Chief Information Security Officer, CISO) sowie eine angemessene Stellvertretung bezeichnen. Da einerseits eine wirksame integrale Steuerung der Informationssicherheit sowohl politisches, rechtliches, organisatorisches als auch technisches Wissen voraussetzt und andererseits durch die Informationssicherheitsbeauftragten sehr viele Aufgaben wahrgenommen werden müssen, verlangt die praktische Umsetzung, dass mindestens zwei Personen pro Behörde diese Aufgaben wahrnehmen. Es wird jedoch nicht verlangt, dass beide Personen in vollem Umfang dafür eingesetzt werden.

Der Bundesrat selbst muss ebenfalls seine Informationssicherheitsbeauftragten bezeichnen. Hingegen soll die Aufsichtsbehörde der Bundesanwaltschaft aufgrund ihres begrenzten Personalbestandes nicht dazu verpflichtet werden. Die eidgenössischen Gerichte werden nicht einzeln aufgeführt, weil es unverhältnismässig wäre, von den personalmässig ebenfalls relativ kleinen Gerichten (z.B. Bundespatentgericht und Militärkassationsgericht) solche Stellen zu verlangen. Das Gesetz lässt es also zu, dass die eidgenössischen Gerichte z.B. eine einzige Stelle und Stellvertretung für alle Gerichte bezeichnen oder einen anderen Ansatz wählen, der die Behördenautonomie wahrt. Die Bundesämter und die dezentrale Bundesverwaltung werden durch das Gesetz ebenfalls nicht verpflichtet, eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten zu bezeichnen. Der Bundesrat muss im Rahmen der Erfüllung seiner Organisationspflicht auf Verordnungsebene entscheiden, wie die Informationssicherheit bis auf diese Stufe organisiert und gesteuert werden soll.

Abs. 2 umschreibt in allgemeiner Form den Aufgabenbereich und die Zuständigkeit der Informationssicherheitsbeauftragten:

 Bst. a betont, dass die Entscheidkompetenzen und die Verantwortung für die Entscheidungen im Bereich

der Informationssicherheit nach wie vor bei der Linie, also bei den zuständigen Behörden und den ihnen nachgeordneten Stellen liegen sollen. Die Informationssicherheitsbeauftragten sollen die Linie aber fachlich beraten und unterstützen.

 Bst. b legt fest, dass die Informationssicherheitsbeauftragten im Auftrag ihrer Behörde oder Organisation

die Informationssicherheit sowie das entsprechende Risikomanagement fachtechnisch steuern müssen.

 Bst. c sieht vor, dass die Informationssicherheitsbeauftragten eine allgemeine Pflicht zur Überprüfung der

Einhaltung der Vorschriften dieses Gesetzes haben, dass sie ihrer Behörde Bericht erstatten und bei festgestelltem Handlungsbedarf Antrag stellen müssen.

 Bst. d hält fest, dass die Informationssicherheitsbeauftragten festgestellte sicherheitsrelevante Vorfälle

sowohl der Fachstelle des Bundes für Informationssicherheit (Art. 86), der Konferenz der Informationssicherheitsbeauftragten (Art. 85) als auch den Stellen, welche die Aufgaben bezüglich Informationssicherheit bei KI wahrnehmen, melden können. Es wird also im behördenübergreifenden Rahmen auf eine Meldepflicht verzichtet. Die Mitteilung solcher Vorfälle ist zwar sehr empfehlenswert, aber die Behördenautonomie soll nicht tangiert werden.