Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

ben z.B. die IKT-Leistungserbringer ein Interesse daran, zu wissen, ob die technischen Lösungen, die sie entwickeln, die Anforderungen des Bundes erfüllen. Ist das der Fall, dann können sie sie für andere Projekte oder IKT-Mittel wesentlich einfacher einsetzen. Dasselbe gilt auch z.B. für Tresore oder für Dienstleistungen. Die Verantwortung, auch wenn die Anforderungen erfüllt sind, bleibt jedoch immer bei der Behörde oder Organisation, die solche Mittel einsetzt. Diese Kompetenz ist auch für das internationale Verhältnis erforderlich: Die Fachstelle soll die heute fehlende, international übliche Rolle der National Accreditation Authority wahrnehmen (s. Ziff. 4.2).

 Bst. f: Wenn wichtige behördenübergreifende Projekte mit wesentlichem Bezug zur Informationssicher-

heit in Angriff genommen werden, soll die Fachstelle auf Antrag der verpflichteten Behörden die Steuerung und Koordination der Informationssicherheitsbelange innerhalb derselben übernehmen.

 Bst. g: Da das entsprechende Fachwissen für den Bund in der vorgesehenen Fachstelle zusammengefasst

werden soll, soll sie auch die Ansprechstelle des Bundes für die inländischen, ausländischen und internationalen Stellen im Bereich der Informationssicherheit sein. Sie wird auch die erforderlichen Rollen im internationalen zwischenbehördlichen Rahmen wahrnehmen (s. Ziff. 4.2.). Andere Behörden oder Organisationen werden aber weiterhin Fachkontakte in diesem Bereich pflegen dürfen.

 Bst. h: Die Fachstelle soll dem Bundesrat jährlich Bericht erstatten.

Gemäss Abs. 3 muss der Bundesrat in seinem Ausführungsrecht die Organisation der Fachstelle regeln. Hierzu wird er festlegen müssen, welche Aufgaben die Fachstelle selbst ausübt oder in Zusammenarbeit mit anderen Bundesstellen erfüllen soll. Der Bundesrat wird in diesem Zusammenhang selbstverständlich auch die Frage ihrer Ansiedelung entscheiden müssen.

Art. 87

Abs. 1: Die Autonomie der verpflichteten Behörden soll nicht in Frage gestellt werden. Sie sollen den Ausführungsbestimmungen des Bundesrats nicht unterstellt werden. Im Gegenzug müssen sie die für den Vollzug dieses Gesetzes erforderlichen Ausführungsbestimmungen für ihren Bereich selbst erlassen. Es wird hier auch festgehalten, dass der Bundesrat den Erlass von Ausführungsbestimmungen in Bezug auf den Umgang mit Bundesratsgeschäften an die Bundeskanzlei delegieren darf (s. auch Art. 15 Abs. 2 RVOG).

Abs. 2: Mit dieser Regelung und Art. 70 ParlG hat die Bundesversammlung alle nötigen Bestimmungen, damit sie und die Parlamentsdienste das ISG und seine Ausführungsbestimmungen direkt anwenden können.

In Abs. 3 wird ein sogenanntes "Opting-out" festgelegt: Die Ausführungsbestimmungen des Bundesrats nach Abs. 1 gelten für alle verpflichteten Behörden sinngemäss, sofern sie keine eigenen Ausführungsbestimmungen erlassen. Es versteht sich, dass der Bundesrat die anderen Behörden anhört, bevor er seine Ausführungsbestimmungen erlässt. Dass der Bundesrat für den Erlass der erforderlichen Ausführungsbestimmungen zur Personensicherheitsprüfung und zum Betriebssicherheitsverfahren allein zuständig ist, ergibt sich daraus, dass diese Stellen Teil der Bundesverwaltung sind, deren Organisation Sache des Bundesrates ist.

Abs. 4: Bevor Organisationen des öffentlichen oder privaten Rechts nach Art. 2 Abs. 2 Bst. e dem Gesetz unterstellt werden können, muss beurteilt werden, ob sie sicherheitsempfindliche Tätigkeiten des Bundes ausüben. Der Bundesrat soll für diese Organisationen diese Beurteilung vornehmen und anschliessend den detaillierten Geltungsbereich auf Verordnungsstufe festlegen. Dies kann in den Ausführungsbestimmungen zur Spezialgesetzgebung erfolgen oder in den Ausführungserlassen zu diesem Gesetz. Der Bundesrat kann bei Bedarf nur Teile des Gesetzes von diesen Organisationen anwenden lassen (z.B. Bestimmungen über die Klassifizierung, über den Einsatz der IKT oder über die Personensicherheitsprüfungen).

Art. 88

Abs. 1: Um das erforderliche einheitliche Sicherheitsniveau zu erreichen, soll der Bundesrat Standardanforderungen und -massnahmen nach dem Stand der Lehre und der Technik festlegen. Es handelt sich dabei nicht um grundsätzliche organisatorische Anforderungen und Massnahmen, sondern vorab um Anforderungen untergeordneter Natur, z.B.:

 Standard für die Erhebung des Schutzbedarfs von Informationen in Bezug auf die vier Kriterien von Art.

4 Abs. 2;

 Standardmethode für die Risikobewertung nach Art. 6 Abs. 1;

 Standards für organisatorische, personelle, technische und bauliche Massnahmen nach Art. 6 Abs. 2;

 Standardanforderungen für bestimmte Prozesse und Mittel zum Schutz klassifizierter Informationen nach

den Art. 12-18;