Ergebnisbericht

[Geben Sie Text ein]

Artikel 21 Sicherheitseinstufung von IKT-Mitteln

Nach Erachten von it-rm sollte Absatz 2 Buchstabe a mit den Sicherheitsdiensten Verlässlichkeit, Authentizität und Anonymität ergänzt werden (vgl. Bemerkung zu Art. 4 Abs. 2).

Für den ETH-Rat ist die Einstufung von IKT-Mitteln, mit denen besonders schützenswerte Personendaten bearbeitet würden, weiterhin unklar. Die entsprechenden Ausführungen auf Seite 44 und 48 des Erläuternden Berichts (EB) seien schwer verständlich und würden keine klaren Hinweise geben. Merkwürdig erscheine insbesondere die Aussage auf Seite 44 des EB, wonach das entsprechende Informationssicherheitskonzept zu klassifizieren sei, wenn in einem Informationssystem besonders schützenswerte Personendaten bearbeitet würden. Konkret: das Konzept wäre zu schützen, jedoch nicht die Daten selbst; das mache keinen Sinn!

Diese Bestimmung ist nach der Beurteilung des ETH-Rats sehr offen formuliert (was bedeutet „Grundschutz genau“) und führe zu Unsicherheiten, die nicht den Ausführungsbestimmungen überlassen werden sollten. Einige Institutionen des ETH-Bereichs gingen davon aus, dass sie praktisch keine als intern, vertraulich oder geheim zu klassifizierende Informationen im Sinne dieses Gesetzes haben bzw. haben werden (Artikel 14 „Klassifizierungsstufen“). Der erläuternde Bericht stütze diese Einschätzung. Infolge dessen betrieben sie auch keine «IKT-Mittel der Sicherheitsstufe „hoher Schutz“ oder „sehr hoher Schutz“».

Artikel 22 Sicherheitsanforderungen der Sicherheitsstufe «Grundschutz»

Für insecor ist unklar, wer die Mindestanforderungen festlege. Absatz 1 stehe im Widerspruch zum gesetzlichen Auftrag des ISB, welches die Mindestanforderungen für IKT-Mittel für die Bundesverwaltung vorgeben soll (vgl. z.B. Art. 17 Abs. 1 Bst. d BinfV). Andererseits sollen nach Absatz 2 „diese Mindestanforderungen“ für sämtliche IKT-Mittel erfüllt sein. Wer überprüft deren Einhaltung? Und gestützt auf welche Grundlagen bzw. Anforderungen? Dies müsste noch entsprechend präzisiert werden.

Absatz 1 sollte nach it-rm mit folgendem Satz ergänzt werden. „Dabei sind die Mindeststandards einzuhalten, welche von der Koordinationsstelle festgelegt worden sind.“ Es seien auch Mindeststandards für die entsprechenden Schutzbedürfnisse durch die Koordinationsstelle festzulegen.

LB schlägt, ungeachtet von Bedenken betreffend von Eingriffen in die Souveränität der Kantone (Art. 3 BV) sowie des Grundsatzes der Subsidiarität (Art. 5a und 43a BV), für den Bereich der IKT Infrastruktur vor, dass der Fachstelle des Bundes die Kompetenz eingeräumt wird, die Anforderungen an alle drei Sicherheitsstufen von IKT-Mitteln für das gesamte Gebiet der Schweiz einheitlich festzulegen, mindestens durch Herausgabe von Standards, Wegleitungen, Empfehlungen, Checklisten oder Mindestanforderungen. Artikel 88 ISG würde dafür eine Grundlage schaffen.

Artikel 23 Informationssicherheitskonzept

Die Mindestinhalte der Informationssicherheitskonzepte sollten nach Erachten von SO im Gesetz oder zumindest in der Verordnung konkretisiert werden.

Für privatim lässt der Gesetzestext völlig offen, was ein Informationssicherheitskonzept konkret sei, welche (Mindest-)Inhalte es vorweisen sollte und welche Wirkungen mit einem Informationssicherheitskonzept verknüpft sein sollen. Es sei daher zu prüfen, ob im Gesetz, in der Verordnung zum ISG oder in der Botschaft konkretisiert werden müsse, was in einem Informationssicherheitskonzept enthalten sein soll — andernfalls könne keine bundesweite Einheit bezüglich der Informationssicherheit garantiert werden und Artikel 23 ISG bleibe ein Lippenbekenntnis.

Clusis fragt sich, warum die Risikoanalyse und das Sicherheitskonzept nur für die Sicherheitskategorien «erhöhter Schutz und sehr hoher Schutz» vorgesehen sind. Die Risikoanalyse muss die zu ergreifenden Sicherheitsmassnahmen abgestuft nach den Kategorien .bestimmen