Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

 Prüfung der sicherheitsmässigen Eignung bestimmter Prozesse, Mittel und Dienstleistungen (Art. 86 Abs. 1 Bst. e): Diese neue Aufgabe ist für die angestrebte Standardisierung sowie für die internationale Zusammenarbeit notwendig.

 Steuerung und Koordination der Informationssicherheit bei wichtigen behördenübergreifenden Projekten (Art. 86 Abs. 1 Bst. f). Mit dieser neuen Aufgabe soll einerseits sichergestellt werden, dass bei derartigen Projekten die Zuständigkeiten klar geregelt werden, andererseits aber auch, dass anerkannte Experten das Projekt sicherheitsmässig begleiten.

 Erarbeitung oder Festlegung von standardisierten Sicherheitsanforderungen und Massnahmen nach dem Stand der Lehre und der Technik (Art. 88 Abs. 1 und 2). Diese Massnahme ist für einen möglichst einheitlichen Vollzug notwendig. Sie kann aber auch zu Kosteneinsparungen führen (s. oben).

Der Bundesrat wird die Organisation der Fachstelle auf Verordnungsebene regeln (Art. 86 Abs. 3). Dabei wird er auch entscheiden, welche bestehenden Organe zusammengelegt werden sowie wie und mit welchen Mitteln die Fachstelle ihre Aufgaben erfüllen wird.

3.2 Auswirkungen auf die Kantone und Gemeinden

Die Kantone sind nur betroffen, soweit sie im unmittelbaren Auftrag und unter Aufsicht des Bundes sicherheitsempfindliche Tätigkeiten ausüben (s. Art. 2 Abs. 2 Bst. f sowie Art. 89). Sie müssen in diesem Fall die nach diesem Gesetz erforderlichen Sicherheitsmassnahmen treffen und sind zudem verpflichtet, eine Dienststelle als Ansprechpartner für die zuständigen Bundesbehörden zu bezeichnen. Der Bundesrat soll die Durchführung der Personensicherheitsprüfungen bei Bediensteten der Kantone sowie die Überprüfung der Umsetzung der Massnahmen durch die Kantone auf Verordnungsstufe regeln. Er wird dabei die Autonomie der Kantone berücksichtigen. Die Auswirkungen auf die Kantone werden also gering ausfallen.

3.3 Auswirkungen auf die Volkswirtschaft

Dritte werden nur indirekt vom Gesetz erfasst, das heisst, wenn sie im Rahmen eines Vertrags mit Informationen oder IKT-Mitteln des Bundes umgehen sollen. Betriebe, die sich für zivile Aufträge des Bundes bewerben, die eine sicherheitsempfindliche Tätigkeit einschliessen, werden aufgrund der Einführung des einheitlichen Betriebssicherheitsverfahrens einem solchen Verfahren unterstellt. Mit dieser Unterstellung ist zwar ein geringer zusätzlicher administrativer Aufwand verbunden. Umgekehrt wird dadurch jedoch die Wettbewerbsfähigkeit von Schweizer Unternehmen verbessert, weil das Gesetz die Grundlage für die Abgabe behördlicher Sicherheitserklärungen zu Gunsten Privater schafft, die sich für ausländische oder internationale klassifizierte Aufträge bewerben und dafür eine nationale Sicherheitserklärung benötigen (s. Art. 56-80).

Die Volkswirtschaft wird zudem vom verbesserten Schutz von Geschäfts- und Fabrikationsgeheimnissen, die den Bundesbehörden anvertraut werden, profitieren.

3.4 Auswirkungen auf die Gesellschaft

Die Gesellschaft ist in zweifacher Hinsicht betroffen. Einerseits wird ihr Vertrauen in die sichere Bearbeitung von Informationen durch die Bundesbehörden erhöht. Sie erhält die Gewissheit, dass der Bund die sie betreffenden Informationen (insbesondere Personendaten sowie Geschäfts- und Fabrikationsgeheimnisse) als wichtig betrachtet und sie entsprechend schützt. Andererseits werden die Grundsätze der Klassifizierung von Informationen offen gelegt. Dies ist insbesondere in Bezug auf das Öffentlichkeitsprinzip wichtig, dessen Wirkung durch das vorliegende Gesetz keinesfalls beeinträchtigt werden darf.

3.5 Verhältnis zu nationalen Strategien des Bundesrates

3.5.1 Strategie für eine Informationsgesellschaft in der Schweiz

Der vorliegende Vorentwurf wurde im Vorhaben-Katalog Informationsgesellschaft 2011–2015 (Stand Juni 2013) unter dem Handlungsfeld "Sicherheit und Vertrauen" aufgenommen. Das Gesetz wird klare Grundlagen für die Umsetzung der Sicherheitsanforderungen in den Projekten, die vom Bund durchgeführt werden, schaffen. Zur Strategie: S. Ziff. 1.2.1.1.

3.5.2 Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken (NCS)

Zur NCS: S. Ziff. 1.1.2.2; zum Verhältnis zwischen der NCS und dem Entwurf: s. Ziff. 1.2.6; zur Unterstützung der KI-Betreiber im Bereich der Informationssicherheit: s. Art. 81-83.

3.5.3 Nationale Strategie zum Schutz kritischer Infrastrukturen (SKI-Strategie)

Die SKI-Strategie vom 27. Juni 2012 (BBl 2012 7715) hat zum Ziel, die Resilienz der Schweiz im Zusammenhang mit KI zu verstärken. Die Strategie bezeichnet dazu verschiedene Massnahmen in zwei Bereichen. Der Selbstschutz wird verbessert, indem die zuständigen Stellen integrale Schutzkonzepte erarbeiten und