Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

Nach Abs. 2 soll der Bundesrat den Personenkreis bestimmen, der geprüft werden muss. Dabei soll er sich auf Funktionen beschränken, die bei Sabotagehandlungen oder -unterlassungen einen erheblichen Schaden anrichten können.

Abs. 3: Das Prüfverfahren richtet sich nach den Bestimmungen des ISG über die PSP.

Abs. 4 hält sich an die ähnliche Regelung nach Art. 24 KEG. Die Geschäftsleitung von Swissgrid sowie die Regulatoren (BFE und ElCom) als übertragende Stellen sollen Zugang zu den Daten der Prüfung erhalten.

2.11 Nationalbankgesetz

Art. 16, Sachüberschrift und Abs. 5

Aufgrund ihrer geld- und währungspolitischen Aufgaben (s. auch Art. 1 Abs. 2 Bst. d) soll die Nationalbank als verpflichtete Behörde nach Art. 2 Abs. 1 ISG gelten. Mit der Anpassung von Art. 16 NBG wird ausdrücklich darauf verwiesen, dass das ISG für die Nationalbank gelten soll. Die Sachüberschrift des Artikels wird entsprechend angepasst.

3 Auswirkungen

3.1 Auswirkungen auf den Bund

Informationen werden geschützt, weil eine Verletzung ihrer Vertraulichkeit, Verfügbarkeit, Integrität oder Nachvollziehbarkeit (s. Art. 4) die Rechte von Dritten verletzen (z.B. Personendaten oder Geschäfts- und Fabrikationsgeheimnisse), wesentliche öffentliche Interessen beeinträchtigen (z.B. die Handlungsfähigkeit der Bundesbehörden, die nationale Sicherheit, die internationalen Beziehungen oder die Landesversorgung) oder der betroffenen Organisation einen Schaden zufügen (z.B. Produktivitätsverlust oder Betriebsstörungen) kann. Informationssicherheit hat zum Ziel, möglichst effektiv und günstig die Eintrittswahrscheinlichkeit und gegebenenfalls das Ausmass eines solchen - auch finanziellen - Schadens zu reduzieren. Ihre Kosten müssen also mit der entsprechenden Reduktion der Risiken abgewogen werden.

Das Gesetz wird nach heutiger Einschätzung eine wesentliche und nachhaltige Verbesserung der Informationssicherheit im Bund bewirken. Es regelt in erster Linie das Management der Informationssicherheit und wird dessen Effizienz erhöhen: Ein effizientes Management verbessert nämlich die Sicherheit oft effektiver, wirtschaftlicher und nachhaltiger als Investitionen in technische Massnahmen. Die Praxis hat zudem gezeigt, dass eine Optimierung des Managements der Informationssicherheit - insbesondere wenn letzteres auf ein effektives Risikomanagement gestützt ist - mittelfristig sogar zu Kosteneinsparungen beitragen kann. Der Entwurf sieht zudem mehrere organisatorische Massnahmen vor, die im Vergleich zu heute nicht nur einen besseren Schutz der Informationen bewirken werden, sondern auch zu relativen Kosteneinsparungen führen sollen, sofern sie konsequent umgesetzt werden. So soll z.B. die Erhöhung der Schwellenwerte für die Klassifizierung die Anzahl klassifizierter Informationen und somit den entsprechenden Aufwand reduzieren (s. Ziff. 1.2.3.4). Bei den Personensicherheitsprüfungen (PSP) werden gleichzeitig der Schwellenwert für die Durchführung einer PSP erhöht und die Anzahl Tätigkeiten, für deren Ausübung eine PSP erforderlich (und zulässig) ist, reduziert. Es sollen also inskünftig weniger PSP durchgeführt werden (s. Ziff. 1.2.4). Ferner werden z.B. die vorgeschlagene Standardisierung von Sicherheitsanforderungen und -massnahmen (s. Art. 88), der verbesserte Informationsaustausch zwischen den Bundesbehörden und die Unterstützung der Bundesbehörden durch die Fachstelle des Bundes für Informationssicherheit (s. Art. 84-86) dazu beitragen, dass das Rad nicht bei jedem Projekt neu erfunden werden muss. Die Neuregelung wird schliesslich die internationale Zusammenarbeit im Sicherheitsbereich erleichtern (s. Ziff. 4.2).

Die notwendige Verbesserung der Informationssicherheit beim Bund wird Kosten nach sich ziehen. Diese können jedoch erst nach der Durchführung der Vernehmlassung sachgemäss abgeschätzt werden. Hierzu sind nämlich Organisations- und Ressourcierungsvarianten in Bezug auf die Informationssicherheitsbeauftragten und die Fachstelle des Bundes für Informationssicherheit sowie präzisere Angaben über die Anzahl der bestehenden IKT-Mittel, die inskünftig in die Sicherheitsstufe «sehr hoher Schutz» gehören werden, erforderlich. Der Bundesrat wird die finanziellen und personellen Auswirkungen des Entwurfs in seiner Botschaft transparent auslegen.

Die Kosten, die vom Gesetz direkt verursacht werden, müssen klar von den Kosten derjenigen Massnahmen unterschieden werden, welche die jeweiligen Bundesbehörden im Rahmen des Vollzugs frei beschliessen können. Das Gesetz regelt nämlich nur das Management der Informationssicherheit und legt weder ein zu erreichendes Sicherheitsniveau noch - mit wenigen Ausnahmen (s. unten) - detaillierte Massnahmen fest. Es ist deshalb nicht direkt umsetzbar: Die Bundesbehörden müssen für ihren Zuständigkeitsbereich eigene Ausführungsbestimmungen erlassen und verfügen dabei - ausser im organisatorischen Bereich - über fast unein-