Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

 Standardanforderungen und -massnahmen für den Grundschutz, für die Erstellung von Informationssi-

cherheitskonzepten sowie für die Sicherheit von IKT-Mitteln der Sicherheitsstufen «hoher Schutz» und «sehr hoher Schutz» nach den Art. 19-27; usw.

Abs. 2: Der Bundesrat soll die Erarbeitung und Verabschiedung der Standards wenn nötig an untergeordnete Stellen delegieren. Dies betrifft in erster Linie die Fachstelle des Bundes für Informationssicherheit, aber auch z.B. fedpol im Bereich des Objektschutzes. Die IKT-Leistungserbringer des Bundes sollten ebenfalls technische Sicherheitsstandards erarbeiten können und diese gegebenenfalls zwecks Standardisierung durch die Fachstelle auf ihre Eignung für den Bund prüfen lassen (s. Art. 86 Abs. 1 Bst. e). Eine solche Delegation durch den Bundesrat soll aber nicht umfassend erfolgen. Bestimmte technische Massnahmen können wesentliche finanzielle Folgen nach sich ziehen, die nicht unbedingt von untergeordneten Stellen beschlossen werden sollten. Der Bundesrat soll also auch bei einer allfälligen Delegation sicherstellen, dass er die weitreichenden und kostspieligsten Massnahmen selbst beschliesst.

Abs. 3: Die Standards sind für die anderen verpflichteten Behörden nicht verbindlich.

Art. 89

Abs. 1: In Fällen, in denen die Kantone bzw. ihre entsprechenden Behörden und Dienststellen vom Gesetz erfasst werden (s. Art. 2 Abs. 2 Bst. f), müssen sie die erforderlichen Sicherheitsmassnahmen nach diesem Gesetz treffen. Die Bundesstellen erhalten damit aber keine unmittelbaren Weisungsbefugnisse, sondern die Kantone sind für den Vollzug in ihrem Zuständigkeitsbereich grundsätzlich selbst verantwortlich.

Abs. 2: Der Bundesrat soll die Überprüfung der Umsetzung der Massnahmen sowie die Durchführung von Personensicherheitsprüfungen für kantonale Angestellte in seinem Ausführungsrecht regeln. Insbesondere wird er regeln müssen, wie die Umsetzung der Vorschriften durch die Kantone durch die Bundesbehörden gegebenenfalls kontrolliert wird. Es versteht sich, dass er dabei der staatsrechtlichen Stellung der Kantone und insbesondere ihrer Organisationsautonomie Rechnung tragen wird.

In Abs. 3 werden die Kantone verpflichtet, für solche Fälle je eine Dienststelle als Ansprechpartner für die zuständigen verpflichteten Behörden und Organisationen zu bezeichnen. Damit soll sichergestellt werden, dass der Informationsaustausch systematisch stattfindet und die Umsetzung der Massnahmen nach diesem Gesetz koordiniert erfolgt.

Art. 90

Die völkerrechtlichen Verträge im Bereich der Informationssicherheit enthalten vorweg technische Regelungen über die wechselseitige Anerkennung nationaler Vorschriften und Abläufe (bspw. das Personensicherheitsprüfungs- oder Betriebssicherheitsverfahren), Konkordanzlisten über die Anwendung von Klassifizierungen sowie Regelungen über die Durchführung gegenseitiger Kontrollen. Es kann zudem erforderlich sein, dass zum Schutz von Informationen, die dem Bund von anderen Staaten oder internationalen Organisationen zur Verfügung gestellt werden, Vereinbarungen zu treffen sind, die in einzelnen Punkten (z.B. Voraussetzungen für die Klassifizierung, für den Zugang zu oder die Bearbeitung von klassifizierten Informationen oder für die Erteilung der Sicherheitserklärungen) von den gesetzlichen Vorschriften abweichen. Der Lieferant der Informationen kann in solchen Fällen verlangen, mit den empfangenden Bundesbehörden gegebenenfalls einen strengeren oder weniger strengen Schutz seiner Informationen zu vereinbaren. Entsprechend sind in den Vollzugs- und Organisationsbestimmungen, welche die jeweiligen Vertragsschlusskompetenzen zuweisen, die notwendigen Vorbehalte zu verankern. Aus Gründen der Verwaltungsökonomie soll der Bundesrat ermächtigt werden, solche Informationssicherheitsabkommen direkt abzuschliessen.

Eine zunehmende internationale Vernetzung und Zusammenarbeit ist zur Minimierung von Risiken der Informationssicherheit erforderlich. Die Umsetzung der NCS verlangt deshalb, dass der Austausch von Erfahrungen, Forschungs- und Entwicklungsarbeiten, vorfallbezogenen Informationen sowie Ausbildungs- und Übungstätigkeiten verstärkt wird (s. auch Ziff. 1.1.2.2). Der Bundesrat soll deshalb auch ermächtigt werden, völkerrechtliche Verträge zum Austausch von Informationen über Gefährdungen, Schwachstellen und Vorfälle, insbesondere bei KI, abzuschliessen. Es handelt sich hier vor allem um untergeordnete organisatorische und technische Angelegenheiten (z.B. Zusammenarbeit mit anderen GovCERTs; s. Art. 81).

Art. 91

Jedes Gesetz muss periodisch auf seine tatsächliche Umsetzung sowie seine Zweckmässigkeit, Wirksamkeit und Wirtschaftlichkeit, evaluiert werden. Nach Abs. 1 soll der Bundesrat dafür zuständig sein. Die Bundesversammlung muss die Kommission bestimmen, welche die Berichte des Bundesrats behandeln soll (Abs. 2).

Art. 92

Aufgrund der neuen Regelung müssen andere Bundesgesetze angepasst werden.