Erläuternder Bericht

Erläuternder Bericht zu einem Bundesgesetz über die Informationssicherheit

umsetzen. Darin werden infrastrukturspezifische Risiken identifiziert und reduziert. Im Infrastrukturübergreifenden Bereich werden die Zusammenarbeit der Akteure (Behörden, Betreiber) aus den verschiedenen KI-Sektoren verbessert und die Verletzlichkeit von Gesellschaft, Wirtschaft und Staat durch schwerwiegende Ausfälle verringert. Zu diesem Zweck werden Planungen zur Schadensbewältigung bei schwerwiegenden Ausfällen und zur subsidiären Unterstützung der KI-Betreiber bei solchen Ereignissen erarbeitet. Der Bundesrat will die KI-Betreiber in ihren eigenen Schutzbestrebungen unterstützen. Dabei soll auch die grösstmögliche Resilienz im Hinblick auf die Informationssicherheit erreicht werden.

Verschiedene Massnahmen der SKI-Strategie zielen direkt auf Anliegen der verbesserten Informationssicherheit. So sieht z.B. ihre Massnahme 7 die Schaffung von formell-gesetzlichen Grundlagen zur Sicherheitsüberprüfung von ausgewähltem Personal der KI-Betreiber vor. Die Durchführung von Sicherheitsprüfungen soll grundsätzlich im Sinne der NCS in der Spezialgesetzgebung vorgesehen werden (s. Ziff. 1.1.2.2 sowie Art. 3 Abs. 3). Mit dem Entwurf wird auch die Schaffung einer Grundlage zur Durchführung von Vertrauenswürdigkeitsprüfungen bei bestimmten Angestellten der Swissgrid im StromVG beantragt (s. Art. 26a StromVG). Das ISG unterstützt somit auch die Umsetzung der SKI-Strategie.

4 Rechtliche Aspekte

4.1 Verfassungsmässigkeit

Nach Art. 42 BV benötigt der Bundesgesetzgeber für seine Regelungen eine (ausdrückliche oder implizite) Verfassungsgrundlage. Für die angestrebte Gesetzgebung im Bereich der Informationssicherheit bestehen hinreichende Verfassungsgrundlagen. Formal handelt es sich bei den zu erlassenden Regelungen vorweg um Organisationsbestimmungen für die Bundesbehörden. Das Organisationsrecht des Bundes wird zwar als Gesetzgebungskompetenz beim Katalog der Kompetenzausscheidung zwischen Bund und Kantonen in der BV nicht ausdrücklich erwähnt, doch führt Art. 164 Abs. 1 Bst. g BV bei den Zuständigkeiten der Bundesversammlung "die Organisation und das Verfahren der Bundesbehörden" unter den Gegenständen auf, die in der Form des Bundesgesetzes zu erlassen sind (s. etwa den Ingress zum ParlG). Im Weiteren wird in der geltenden Organisationsgesetzgebung auch etwa auf Art. 173 Abs. 2 BV verwiesen, welcher der Bundesversammlung alle Geschäfte zuweist, die in die Zuständigkeit des Bundes fallen und keiner anderen Behörde zugewiesen sind (s. etwa den Ingress (mit Fussnote 1) zum RVOG, zum BGÖ sowie zum ZNDG).

Inhaltlich sollen die Regelungen primär der Wahrung der Sicherheit des Landes im Innern und gegen aussen dienen sowie die Entscheidungs- und Handlungsfähigkeit der Behörden schützen. Insofern stützen sich die Regelungen auch auf Art. 54 Abs. 1 und 2 BV (Beziehungen zum Ausland und Wahrung der äusseren Sicherheit) sowie auf Art. 57 Abs. 1 BV, der den Bund und die Kantone beauftragt, "... im Rahmen ihrer Zuständigkeiten für die Sicherheit des Landes ..." zu sorgen (s. etwas den Ingress zum BWIS).

Nicht unter die erwähnten Ziele fallen die Bestimmungen zum Betriebssicherheitsverfahren, soweit sie für Betriebe vorgesehen sind, die eine Betriebssicherheitserklärung benötigen, um sich für klassifizierte Aufträge ausländischer oder internationaler Behörden bewerben zu können. Diese Regelung wird durch Art. 101 BV abgedeckt, der die Grundlage für die Förderung der Aussenwirtschaft bildet. Die Bestimmungen zum Schutz der KI können sich sowohl auf die Grundlagen im Bereich der inneren und äusseren Sicherheit als auch auf die Kompetenzen des Bundes im Bereich der Landesversorgung (Art. 102 BV) abstützen. Für die Armee kann auf Art. 60 BV verwiesen werden, der die Organisation der Armee zur Bundessache erklärt.

4.2 Vereinbarkeit mit internationalen Verpflichtungen der Schweiz

Die Schweiz unterhält mit verschiedenen Staaten und internationalen Organisationen Informationsschutzvereinbarungen (ISA) bzw. Sicherheitsabkommen (Security Agreements bzw. Security Arrangements; s. SR 0.514). Mit diesen Staatsverträgen hat sich die Schweiz zur Einhaltung gewisser Standards zum Schutz klassifizierter Informationen verpflichtet. Neben der EU hat die Schweiz auch ISA mit der NATO (1997) im Rahmen des Engagements "Partnerschaft für den Frieden" sowie mit der ESA (2004) abgeschlossen. Diese Verträge enthalten einerseits materielle Bestimmungen wie beispielsweise einheitliche Schutzmechanismen für das Bearbeiten von klassifizierten Informationen oder die gegenseitige Anerkennung von Sicherheitsbescheinigungen. Andererseits enthalten sie auch organisatorische und strukturelle Standards. So wird jeweils die für die Umsetzung der Sicherheitsmassnahmen zuständige Stelle genannt (National Security Authority oder Designated Security Authority). Insbesondere im COMSEC-Bereich werden solche nationale Anlaufstellen verlangt, welche einheitliche Standards im IKT-Bereich festlegen (National Accreditation Authority bzw. Security Accreditation Authority). Die Fachstelle des Bundes für Informationssicherheit (Art. 86) wird diese Aufgaben und die Verantwortlichkeiten im internationalen Verhältnis übernehmen.