Ergebnisbericht

[Geben Sie Text ein]

Da gemäss den Erläuterungen für Behörden und Organisationen, die nicht dem Bundesrat unterstellt sind, keine Pflicht bestehe den Standardanforderungen gemäss Artikel 88 zu folgen, regt der ETH-Rat an, Artikel 7 Absatz 1 in diesem Sinne allenfalls zu präzisieren.

Artikel 8 Zusammenarbeit mit Dritten

Privatim vermisst hier den Grundsatz, dass die Verantwortung für die Wahrung der Informationssicherheit bei der jeweiligen Behörde oder Organisation, die zu ihrer Aufgabenerfüllung eine Drittperson beizieht, verbleibe. Art 8 ISG müsse, um diesem Grundsatz Nachdruck zu verleihen, um einen Passus zur Verantwortung des auftraggebenden Organs bzw. der auftraggebenden Organisation ergänzt werden.

Ein Vertrag rechtfertigt für it-rm grundsätzlich nicht, dass ein Amtsgeheimnis einem aussenstehenden Dritten zugänglich gemacht werden dürfe. Mit der hier aufgenommenen Klausel würde jedoch über das Gesetz die Möglichkeit eröffnet, strafrechtlich sensitive Daten Dritten zugänglich zu machen. Auf diesen Punkt sollte in der Erläuterung deutlich hingewiesen werden, damit sich das Parlament dessen bewusst sei. Wenn die Behörde nicht Geheimnisherr, sondern nur Geheimnisträger sei, wäre es bedenklich wenn Dritte von der Behörde hinzugezogen würden. Um gegebenenfalls einen Interessenskonflikt frühzeitig zu erkennen, wäre es wünschenswert, den Geheimnisherrn zu informieren. Für It-rm sollte im Sinne der Rechtssicherheit und Transparenz gegenüber dem hinzugezogenen Dritten. auch die Haftung geregelt sein, wenn ein Schaden an einer Privatperson durch den hinzugezogenen Dritten verursacht wird. Weiter sollte noch ergänzt werden, dass die Koordinationsstelle Ausführungsvorschriften erlasse, wie Dritte auszuwählen seien und welche Kriterien diese im Einzelnen zu erfüllen hätten.

Für den ETH-Rat sollte dieser Artikel klarstellen, welche Arten von Zusammenarbeiten hierunter fallen. Eine Unterstellung des ETH-Bereichs unter Artikel 8 Absatz 2 sei unverhältnismässig und wäre mit entsprechenden Kosten verbunden. Das Beschaffungsverfahren dürfte durch diese Bestimmung erheblich erschwert werden, v.a. was die operative Abwicklung der Offertevaluation betreffe (zeitliche Verzögerungen). Eine derart weitreichende Bestimmung, wonach in den entsprechenden Vereinbarungen und Verträgen mit Dritten die Anforderungen und Massnahmen nach Massgabe des ISG berücksichtigt werden müssten, sei in der Praxis nicht umsetzbar: die weitreichenden Anforderungen und Massnahmen des ISG seien in deren Breiten- und Tiefenwirkung nicht überschaubar, es werde daher weder eine Behörde noch einer Organisation gelingen, dementsprechende Klauseln in ihre Verträgen einfliessen zu lassen, welche den Forderungen von Artikel 8 wie verlangt gerecht würden. Des Weiteren erachtet die Empa einen derart weitreichenden Eingriff weder als mit der Autonomie einer öffentlich-rechtlichen Anstalt verträglich noch liessen sich solche Vorgaben mit den Prinzipien der Vertrags- bzw. der Forschungs- und Lehrfreiheit vereinbaren. Der ETH-Rat schlägt als neuen Text vor: „Verpflichtete Behörden und Organisationen haben bei der vertraglichen Zusammenarbeit mit Dritten auf die Geltung und Einhaltung der Bestimmungen des Informationssicherheitsgesetzes ISG summarisch hinzuweisen.“

Artikel 9 Vorgehen bei Verletzungen der Informationssicherheit

Für TG fehlt hier eine Bestimmung, wonach bei erkannten Verletzungen entsprechende Gegenmassnahmen zu treffen seien. Es werde hier bloss erwähnt, dass bei Verletzungen der Informationssicherheit die Auswirkungen zu minimieren seien. Dies sollte entsprechend ergänzt werden, um ein sinnvolles Ganzes zu erhalten.

FER fragt sich, ob es nicht eine klare Bestimmung benötige, welche möglichen richterlichen oder administrativen Strafen eine Verletzung der Informationssicherheit haben kann.

Artikel 10 Vorsorgeplanungen

LB schlägt vor, dass sich Artikel 10 auf “verpflichtete Behörden und Organisationen“ bezieht. Denn gerade im Bereich der privaten Wirtschaft wäre erwünscht auf einen Grundsatz des Inhalts verweisen zu können, wonach zur Wahrung der Informationssicherheit eine Vorsorgeplanung erstellt und entsprechende Übungen durchgeführt werden müssen.