Ergebnisbericht

[Geben Sie Text ein]

nisationen“ (sprich z.B. der „Bundesverwaltung“). Es könne bereits gestützt auf die in der RVOG (SR 172.010) erwähnten Verantwortlichkeiten nicht sein, dass die Bundesverwaltung die Sicherheit nicht auch als „Chefsache“ zu betrachten habe (vgl. Erläuternder Bericht, Kommentar zu Artikel 5, S. 39). Zu Absatz 4: Das Personal sollte nicht nur regelmässig und stufengerecht „informiert“ werden, sondern auch „geschult und verpflichtet“ werden. Eine blosse Information betreffend Informationssicherheit sei noch nie zielführend gewesen.

It-rm hält die in Absatz 1 Buchstabe a geforderte Prüfung der Informationstechnologie nach Stand der Lehre und Technik im Bereich der Informationstechnologie für nicht erfüllbar, weil sie uferlos wäre. Wichtig scheine, dass die Koordinationsstelle für die Erarbeitung und Aktualisierung eines Mindeststandards bei der Prüfung verantwortlich zeichne. Die Behörden hätten dann aufgrund dieser Vorgaben entsprechend zu prüfen. Ansonsten bestünde die Gefahr, dass der Prüfungsumfang von den Behörden individuell definiert werde, was zu einer Inhomogenität bei den Sicherheitsmassnahmen und deren Umsetzung führen könnte. It-rm schlägt vor, einen Verweis auf Artikel 88 ISG aufzunehmen und dann dort den Aspekt der Prüfung zu ergänzen und die Koordinationsstelle zu ermächtigen, Vorschriften zu erlassen, welche Prüfschritte bei entsprechendem Schutzbedarf durchzuführen sind.

LB schlägt vor, dass sich Artikel 5, wie der nachfolgende Artikel 6, auf “verpflichtete Behörden und Organisationen“ beziehen soll. Denn gerade im Bereich der privaten Wirtschaft wäre erwünscht auf einen Grundsatz des Inhalts verweisen zu können, wonach die Wahrung der Informationssicherheit zur Verantwortung des obersten Führungsorgans gehört.

Gestützt auf die Erläuterungen zu Artikel 6 ist für den ETH-Rat nicht klar, ob Artikel 5 tatsächlich auch für die dezentralen Einheiten des Bundes gelten soll. Zumal für den ETH Bereich betreffend Risikomanagement eigene Bestimmungen gelten würden.

Artikel 6 Risikomanagement

TG und SP beantragen, das Wort „identifiziert“ im letzten Satz des zweiten Absatzes zu streichen. Für TG werden nach der Lehre des Risikomanagements die Risiken - wie im Entwurf erwähnt - identifiziert, bewertet, beurteilt und überprüft. Absatz zwei des genannten Artikels verfange sich dann aber zu stark in dieser Begriffssystematik. Es sollten richtigerweise nicht nur die „identifizierten“ Risiken vermieden werden, sondern alle Risiken. Für die SP sollen die verantwortlichen Behörden und Organisationen generell dafür sorgen, dass Risiken vermieden oder auf ein tragbares Mass reduziert würden – sowohl die identifizierten als auch die noch nicht erkannten.

Dem Ausdruck „Tragbares Mass“ mangelt es aus Sicht von it-rm an Konkretisierung und er enthalte ein grosses Mass an individueller Einschätzung bei der Umsetzung. Zudem leiste diese Unbestimmtheit in einem technischen Umfeld Vorschub zur Rechtsunsicherheit. Weiter kann es ebenfalls zu einer Inhomogenität im Sicherheitsdispositiv führen. It-rm schlägt v, folgende Ergänzung sinngemäss aufzunehmen: „Die Koordinationsstelle bestimmt Mindeststandards für die jeweiligen Klassifikationsstufen, welches Schadensausmass bei Verletzung oder Umgehung der Informationssicherheit als tragbar erachtet wird.“

Artikel 7 Sicherheitsanforderungen und -massnahmen

Für TG könnte Absatz 2 allenfalls gestrichen werden, da bezüglich der Festlegung der Standardanforderungen und der Standardmassnahmen bereits in Artikel 88 des Entwurfes ISG (beim Vollzug) ein Hinweis auf den Stand der Lehre und Technik erfolge. Es ergebe sich somit bereits aus der genannten Vollzugsbestimmung im hinteren Teil des Entwurfes, dass auch die hier genannten Sicherheitsmassnahmen dem (anerkannten) Stand der Lehre und Technik zu entsprechen hätten.

Für insecor ist es unüblich, zuerst auf einen Gesetzesartikel zu verweisen, welcher erst am Ende des betreffenden Gesetzes zu finden sei. Inseco empfiehlt bereits zu Beginn des ISG einen Hinweis auf die „Standardanforderungen und –massnahmen“ aufzunehmen und dort auf den Artikel 88 zu verweisen.