Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

geschränkten Handlungsspielraum (s. Art. 87 Abs. 1). In diesem Rahmen müssen sie das Sicherheitsniveau festlegen, das sie erreichen wollen (s. Art. 5 Abs. 3 Bst. a), und daraus abgeleitet auf Verordnungs-, Weisungs- oder sogar Projektebene die erforderlichen organisatorischen, personellen, technischen und baulichen Anforderungen und Massnahmen beschliessen, um dieses Niveau zu erreichen. Je höher das zu erreichende Sicherheitsniveau festgelegt wird, desto höher werden die Kosten der Sicherheitsmassnahmen ausfallen. Auf diese Kosten hat das Gesetz selbst keinen Einfluss. Sie können deshalb bei der Beurteilung der finanziellen und personellen Auswirkungen des Gesetzes auch nicht beziffert werden.

Alle Bundesbehörden sind bereits heute verpflichtet, Massnahmen zur Gewährleistung der Informationssicherheit zu treffen. Massgebend für die Beurteilung der Kosten sind dementsprechend diejenigen Bestimmungen des Gesetzes, die neue Aufgaben festlegen oder bestehende Aufgaben und Prozesse ändern. Nachfolgend werden die fünf wichtigsten Kostentreiber des Entwurfs aufgeführt:

1. Organisation, Steuerung, Umsetzung und Überprüfung der Informationssicherheit (Art. 5 Abs. 1 Bst. a):

Die vom Gesetz verlangte Neuorganisation wird einen nicht zu unterschätzenden organisatorischen Aufwand nach sich ziehen und finanzielle Ressourcen erfordern. Insbesondere in der Aufbau- und der Einführungsphase wird Fachwissen, das den Bundesbehörden heute teilweise fehlt, beschafft werden müssen. Für das Management und den Betrieb einer solchen internen Organisation werden die Informationssicherheitsbeauftragten zuständig sein. Das Gesetz sieht für jede Behörde sowie für die Departemente und die BK mindestens zwei Informationssicherheitsbeauftragte vor. Die Wahrnehmung dieser Aufgaben soll mehrheitlich mit den bestehenden personellen Ressourcen erfolgen. Der tatsächliche personelle Bedarf wird aber unterschiedlich ausfallen und von der Grösse der Behörde oder Organisation (Personalbestand), von ihrem Aufgabenbereich sowie von der Anzahl und der Kritikalität der von ihr eingesetzten IKT-Mittel abhängen.

2. Verstärktes Kontroll- und Auditwesen (Art. 11 Abs. 2 sowie z.B. Art. 24 Abs. 2): Für die Durchführung

von Kontrollen, einer geschäftsüblichen Führungsaufgabe, ist grundsätzlich die Linie zuständig. Die Informationssicherheitsbeauftragten werden im Auftrag ihrer Behörde oder Organisation auch selbst Kontrollen und Audits durchführen. Das Gesetz sieht jedoch zwei neue Arten von Kontrollen vor, die finanzielle bzw. personelle Auswirkungen nach sich ziehen werden: eine unabhängige periodische Prüfung der Wirksamkeit der getroffenen Massnahmen (Art. 11 Abs. 2) sowie eine technische Prüfung der Wirksamkeit für die kritischsten IKT-Mittel (Art. 24 Abs. 2). Die daraus entstehenden Kosten werden von der Periodizität solcher Prüfungen abhängen. Als Grössenordnung können folgende Angaben geliefert werden:

 Externe Audits (Art. 11 Abs. 2): Gemäss Angaben der EFK sind erfahrungsgemäss für eine kleine Querschnittsprüfung ca. 100 Personentage und für eine grosse Querschnittsprüfung ca. 300 Personentage notwendig.

 Technische Wirksamkeitsprüfungen (Art. 24 Abs. 2): Im Bund werden schätzungsweise 50 bis 70 IKT-Systeme eingesetzt, die inskünftig der neuen Sicherheitsstufe «sehr hoher Schutz» zugeordnet werden und somit einer derartigen Prüfung unterzogen werden müssen. Erfahrungsgemäss entsprechen die Auditkosten (Personalkosten) dabei in der Regel zwischen 0.5% und 2% der gesamten Investitionskosten für das zu auditierende IKT-System.

3. Personensicherheitsprüfungen (PSP; Art. 32-55): Ein Ziel dieses Gesetzes besteht darin, die PSP zu har-

monisieren und zu straffen. Mit den vorgeschlagenen Anpassungen sollen inskünftig weniger PSP durchgeführt werden und die entsprechenden Kosten deshalb mittelfristig gesenkt werden.

4. Betriebssicherheitsverfahren (BSV; Art. 56-80): Heute setzt das VBS zur Durchführung des Betriebssi-

cherheitsverfahrens für militärisch klassifizierte Aufträge zwei Vollzeitstellen ein. Die vom Bundesrat vorgeschlagene Erweiterung des BSV auf den zivilen Bereich und auf die anderen Bundesbehörden wird zu einer Zunahme der betreuten Betriebe und damit zu einem zusätzlichen personellen Aufwand führen. Betriebe, die sich um Aufträge ausländischer Behörden bewerben und dafür eine Betriebssicherheitserklärung brauchen, werden die Kosten des durchzuführenden BSV zu tragen haben (Art. 57 Abs. 3)

5. Fachstelle des Bundes für Informationssicherheit (Art. 86): Die Schaffung dieser neuen Fachstelle wird

Reorganisationskosten nach sich ziehen. Diese hängen von der administrativen Zuordnung der Fachstelle sowie vom Ausmass der Zusammenlegung bestehender Fachorgane ab. Obwohl die Fachstelle ihre Aufgaben mehrheitlich mit bestehenden personellen Ressourcen der Bundesverwaltung erfüllen soll, wird ein personeller Mehrbedarf vorhanden sein. Die Fachstelle wird nämlich nicht nur für die Bundesverwaltung, sondern auch für die anderen Bundesbehörden tätig sein. Sie wird überdies neue Aufgaben erfüllen müssen, namentlich:

 Durchführung von Kontrollen und Audits (Art. 86 Abs. 1 Bst. c): S. oben "verstärktes Kontroll- und Auditwesen".