Ergebnisbericht

[Geben Sie Text ein]

Für privatim gehen weder der ISG noch die Erläuterungen auf den LifeCycle der Dokumente bzw. Informationen, welche es zu schützen gelte, ein. Wie verhalten sich die Klassifizierungen mit den Stadien der Entstehung, Nutzung, Speicherung, bis hin zur Entsorgung der Dokumente bzw. Informationen? Dieses Thema müsse zwingend aufgegriffen und, wenn nicht im Gesetz selbst geregelt, so zumindest in der Botschaft erörtert werden.

Insecor regt an, die einleitenden Artikel des ISG wie folgt zu benennen (als Begründung vergleiche auch nachstehend die Anmerkungen zu den Artikeln 2 und 3 ISG) und die wichtigsten Begriffe der Informationssicherheit und Klassifizierung bereits im vorliegenden Gesetz zu definieren: Artikel 1 Zweck (oder „Gegenstand“), Artikel 2 Geltungsbereich, Artikel 3 Begriffe. In der Praxis führten gerade die fehlenden Legaldefinitionen im Bereich der Informationssicherheit immer wieder zu grossen Unklarheiten und entsprechenden Diskussionen. Bei Rechtsgrundlagen für eher komplexe Themen sei es von grosser Bedeutung, entsprechende Klarheit bereits auf Bundesgesetzesstufe zu schaffen.

Der ETH-Rat bedauert den kompletten Wegfall des früheren Artikels 5 ISG Version 2013, der Begriffsdefinitionen enthielt. Durch den Wegfall einer Definition der relevanten Begriffe im ISG lasse sich nicht mehr selbsterklärend verstehen, was z.B. alles als IKT-Mittel zu verstehen sei. Der ETH-Rat schlägt vor, den Definitionskatalog besagter Begriffe an passender Stelle wieder aufzunehmen, sei es im ISG selber oder zwecks einfacherer Ergänzung bzw. Korrektur der Begriffe bevorzugt in der entsprechenden Verordnung zum ISG.

Artikel 1 Zweck

Aufgrund der vorgesehenen «Opting-out»-Regelung (Artikel 87 Absatz 3 ISG), wonach jede der verpflichteten Behörden eigenes Verordnungsrecht erlassen kann und die vom Bundesrat festgelegten Standardanforderungen und -Massnahmen nur Empfehlungscharakter haben, sieht ZH die Gefahr, dass die teilweise sehr offenen Begriffe unterschiedlich ausgelegt und in den Ausführungsbestimmungen der verschiedenen Behörden unterschiedlich geregelt werden. ZH ist deshalb der Ansicht, dass das an sich sehr detaillierte Gesetz zumindest in Bezug auf die in Artikel 1 Absatz 2 ISG definierten, zu schützenden öffentlichen Interessen und die vorgesehenen Klassifizierungsstufen näher spezifiziert werden sollte.

TI hält fest fest, dass die Liste der Zweckbestimmungen der gesetzlichen Regelung zu einschränkend sei, und zwar insofern, als sie sich ausdrücklich nur auf den Schutz der öffentlichen Interessen beziehen würde (insbesondere des Bundes) und private Interessen nur indirekt einbeziehe. Der Anspruch, die Rechte der Persönlichkeit und der Privatsphäre (und somit der Personendaten) sowie das Berufs-, Geschäfts- und Fabrikationsgeheimnis zu schützen, sollte nicht nur implizit auf die Bestimmung (Bst. e) begrenzt werden. Denn so würde schlussendlich das Vertrauen in jene Stellen gestärkt, welche diese Art von Informationen aufgrund des Spezialrechts bearbeiten. Für TI, sollte auf diese Elemente ausdrücklich hingewiesen werden, wenn auch nur beispielhaft, indem man den entsprechenden Buchstaben der Regelung anpasse. Ebenso und in diesem Masse sollte im Einführungssatz von Abs. 2 auch der Schutz der privaten Interessen (und nicht nur der öffentlichen) hinzugefügt werden.

Die SP Schweiz unterstützt den in Artikel 1, Absatz 1 umschriebenen Zweck des ISG, den sicheren Umgang mit Informationen sowie den sicheren Einsatz von Informations- und Kommunikationstechnologien zu gewährleisten. Auch der Verzicht auf eine Legaldefinition, was unter „Information“ zu verstehen sei, könne unterstützt werden. Es ergebe sich von selbst, dass dieser Begriff implizit auch (elektronische) Daten aller Art einschliesse. Auch der Versuch in Absatz 2, die zu schützenden „öffentlichen Interessen“ zu benennen, sei nachvollziehbar. Die gewählten Begriffe seien freilich von einem derart hohen Abstraktionsgrad, dass sie einen äusserst breiten Interpretationsraum offen liessen. Dies berge das Risiko für exzessive Interpretationen. Dieses Risiko sei umso höher einzustufen, als Artikel 1 Absatz 2 Buchstaben a-d weiter hinten im Gesetz als Grundlage herangezogen wird, um die Klassifizierungsstufen (Artikel 14 ISG) und die Sicherheitseinstufung von IKT-Mitteln (Artikel 21 ISG) zu bestimmen. Es sei zu begrüssen, dass der erläuternde Bericht einschränkende Definitionen der zu schützenden „öffentlichen Interessen“ enthalte. Diese Einschränkung gehe allerdings nicht aus dem Wortlaut von Artikel 1 Absatz 2 Buchstabe d ISG hervor. Die SP regt