Ergebnisbericht

[Geben Sie Text ein]

Die FMH stellt die Unterscheidung zwischen der Klassifizierung von Informationen und von Sicherheitsstufen von IKT-Mitteln und deren unterschiedlichen Anwendungsbereich in Frage: Der Schutz der Systeme müsse ja dem Schutz der Informationen in den Systemen dienen.

Artikel 4 Informationssicherheit

TG fehlt der Grundsatz der Verhältnismässigkeit. So sollte die Bestimmung dahingehend ergänzt werden, dass eine Massnahme nur so lange zulässig ist, bis ihr Zweck erreicht ist oder sich zeigt, dass er nicht erreicht werden kann. Zudem dürfe diese zu keinem Nachteil führen, der zum angestrebten Erfolg in einem offenbaren Missverhältnis steht. Zwar werde später (bei Artikel 12 des Entwurfes ISG) hinsichtlich der Klassifizierung von Informationen die Beschränkung auf das Mindestmass erwähnt. Dies sollte aber bei allen Bestimmungen zur Informationssicherheit gelten, weshalb dieser Grundsatz hier bei den allgemeinen Bestimmungen klar aufzunehmen sei. Für TG sollte bei der Informationssicherheit auch sichergestellt werden, dass die Dokumente von der richtigen Stelle kommen, d.h. als von der genannte Quelle stammend, erkannt werden können. In Artikel 4 Absatz 4 des Entwurfes ISG werde aber nur die "Nachvollziehbarkeit" erwähnt, welche deshalb noch um den Begriff der "Authentizität" zu erweitern sei. Damit könne sichergestellt werden, dass die Informationen auch authentisch seien, was bei der Informationssicherheit einen wichtigen Aspekt darstellen könne.

Aus Sicht der SP Schweiz fehlt in Artikel 4 Absatz 3 die Nennung des Grundsatzes der Verhältnismässigkeit. Die SP regt deshalb folgende Ergänzung an: „^3bisSie sorgen für die Verhältnismässigkeit der ergriffenen Schutzmassnahmen. Diese sind nur so lange zulässig, bis ihr Zweck erreicht ist oder sich zeigt, dass er nicht erreicht werden kann. Zudem darf eine solche Massnahme zu keinem Nachteil führen, der zum angestrebten Erfolg in einem offenbaren Missverhältnis steht.“

Für FER scheint es angezeigt, auf die Klassifizierung der Informationen zu fokussieren und nicht auf «…einer funktionsbezogene Verantwortung im Sinne von Artikel 1 Absatz 2. Ziel muss es sein, eine präventive Strategie zu definieren und nicht bloss auf Vorkommnisse zu reagieren oder zu überreagieren, die nachträglich eine Änderung der existierenden Prozesse verlangten.

Insecor stellt fest, dass unter Absatz 3 plötzlich die Abkürzung „IKT-Mittel“ für den Begriff „Informations- und Kommunikationstechnologien“ auftauche. Da dieser Begriff bereits in vorangehenden Artikeln mehrmals erwähnt werde, sollte die entsprechende Abkürzung bereits zu Beginn der Gesetzesvorlage, also in Artikel 1 Absatz 1 stehen.

Für It-rm sollte Absatz 2 mit einem Buchstaben e „verlässlich sein müssen“ ergänzt werden. Die Verlässlichkeit setze auch die Korrektheit des Inhalts, sprich die richtige und vollständige Erfassung und Verarbeitung von Informationen voraus. Die Verlässlichkeit der Informationen sei zentral. Der Bürger dürfe sich auf die Richtigkeit der in den Registern enthaltenen Angaben verlassen (Gutglaubensschutz). Wären die Informationen in den Registern fehlerhaft, so käme es massenweise zu Beanstandungen und gegebenenfalls zu strittigen Verfahren. Für It-rm sollte Absatz 2 zudem mit einem Buchstaben f „authentisch oder anonym sein müssen“ ergänzt werden. Authentisch seien Daten und Informationen dann, wenn sie einer Person oder Maschine zugeordnet werden können. Ansonsten habe man ein Sicherheitsproblem, weil man nicht wisse, wer Zugang zu diesen Informationen gehabt und diese versandt hat. Um die Berechtigung einer online Anfrage auf vertrauliche Daten und Informationen festzustellen, bedürfe es zuerst eines Nachweises, wem die Verantwortung für die Anfrage zugeordnet werden kann. Dies benötige die Prüfung der Echtheit der Anfrage (Authentizität). Anonymität bezwecke das Gegenteil von Authentizität, nämlich dass die Information nicht zugeordnet werden kann. Der Schutz der Anonymität werde beim Stimmgeheimnis verlangt. Was beim Stimmgeheimnis geschützt werden müsse, sei, dass die eingegangene Stimme nicht einer natürlichen Person zugeordnet werden kann.

Artikel 5 Oberste Führungsverantwortung

Für insecor ist es ist nicht ersichtlich, wieso in Absatz 1 die Oberste Führungsverantwortung nur bei den „verpflichteten Behörden“ liegen soll und nicht auch bei den „verpflichteten Orga-