Ergebnisbericht

[Geben Sie Text ein]

Arbeit eingesetzten Daten und Prozesse nur so weit zu sichern, dass sie nicht ohne weiteres verändert, gelöscht, missbraucht oder unterdrückt werden können.

Artikel 19 Sicherheitsverfahren

TG vermisst hier den Grundsatz der Verhältnismässigkeit, weshalb dieser in Artikel 4 des Entwurfes ISG - wie vorerwähnt - unbedingt aufzunehmen sei.

Für VD muss die Beschreibung des Sicherheitsverfahrens viel präziser werden.

Für insecor ist aus diesem Artikel nicht ersichtlich, was genau unter „Sicherheitsverfahren“ zu verstehen sei und wieso dies nur die „Behörden“ (jedoch nicht die „Organisationen“) betreffen sollte. Dies sei dahingehend zu präzisieren, dass das Sicherheitsverfahren die nachstehenden Artikel 20-26 umfassen solle.

Welcher Schutz für die entsprechende Sicherheitsstufe oder Klassifikation angemessen sei, sehe gemäss it-rm ein jeder anders. Deswegen sei es notwendig, dass eine zentrale Fachstelle, die Koordinationsstelle, dazu ermächtigt werde, festzulegen, welche Sicherheitsmassnahmen bei entsprechendem Schutzbedarf oder Klassifikation der Informationen mindestens umzusetzen seien. Gestützt darauf sollte gemäss Absatz 1 die Behörde ein Verfahren festlegen.

Gemäss den Erläuterungen zu Artikel 19 Absatz 1 hätten explizit nur verpflichtete Behörden, nicht aber verpflichtete Organisationen ein Sicherheitsverfahren für IKT-Mittel festzulegen. Dennoch bezögen sich Vorschriften von Artikel 19-27 wiederholt auch auf verpflichtete Organisationen. Somit ist für den ETH-Rat unklar, wozu Letztere konkret verpflichtet seien.

Artikel 20 Schutzbedarfsanalyse und Risikobeurteilung

Für privatim sollte Artikel 20 ISG dahingehend ergänzt werden, dass nicht nur beim Einsatz neuartiger Technologien, sondern auch beim Einsatz neuer IT-Systeme eine Schutzbedarfsanalyse und eine Risikobeurteilung erstellt werden müssen. Mit neuen IT-Systemen ergeben sich neue Risiken und Verwundbarkeiten, Versäumnisse bestehender Lösungen können behoben werden, und allenfalls können auch neue Massnahmen und Kontrollmechanismen institutionalisiert werden.

Gemäss Artikel 20 Absatz 2 sollen nicht nur Organisationen, sondern auch Behörden verpflichtet werden, beim Einsatz neuer Technologien ihre Risikobeurteilung der Fachstelle des Bundes für Informationssicherheit mitzuteilen. Die SNB unterstützt ausdrücklich einen Austausch von Erkenntnissen aus Risikobeurteilungen auf freiwilliger Basis. Sie lehnt hingegen die in Artikel 20 Absatz 2 statuierte Mitteilungspflicht ab, da beispielsweise aufgrund der eingesetzten Technologie (z.B. Software) auf spezifische Aktivitäten zur Umsetzung geldpolitischer Massnahmen geschlossen werden könne. In diesen Bereichen könne auch der mit der Mitteilungspflicht angestrebte Nutzen des Austausches von Erkenntnissen nicht erreicht werden, weil keine der anderen verpflichteten Behörden oder Organisationen im gleichen Geschäftsfeld tätig sei wie die SNB. Mit einer Formulierung von Artikel 20 Absatz 2 als Kann-Vorschrift könne dem Anliegen der SNB hier Rechnung getragen werden.

Für LB ist der Einsatz “neuartiger Technologien“ (der Begriff erscheine auslegungsbedürftig: Ist eine neue Generation von IKT Mitteln, die auf dem Markt angeboten wird, bisher jedoch beim verpflichteten Betrieb nicht eingesetzt wurde, “neuartig“?) im Bereich der Anwendung der durch eine sehr rasche technologische Entwicklung gekennzeichneten IKT Mittel fast alltäglich. Für private Organisationen sei die Pflicht zur Meldung der Risikobeurteilung an die Fachstelle des Bundes für Informationssicherheit heikel, denn damit könne die Offenlegung von Geschäftsgeheimnissen verbunden sein. Grundsätzlich sollte für alle nicht allgemein zugänglichen Informationen privater Organisationen, welche verpflichteten Behörden oder der Fachstelle des Bundes für Informationssicherheit bekanntgegeben würden, das Geschäftsgeheimnis explizit gewährleistet werden. LB schlägt vor, das ISG in diesem Sinne zu ergänzen.