Ergebnisbericht

[Geben Sie Text ein]

Weil vorgängig keine Begriffe definiert wurden, ist für insecor somit auch unklar, wie vorliegend das Informationssicherheitskonzept zu verstehen sei. Soll darin nur die „Informationssicherheit“ betrachtet werden? Was bedeutet dies genau? Fällt der Datenschutz nicht mehr unter diese Verpflichtung wie dies in der HERMES Projektmanagementmethode für Informationssysteme bzw. „ISDS-Konzepte“ vorgesehen sei? Wie soll auf Kantons-und Gemeindeebene mit diesen Vorgaben umgegangen bzw. entsprechende Massnahmen umgesetzt werden (vgl. Artikel 89)? Diese Fragen müssten noch eingehender geklärt werden.

Der ETH-Rat weist darauf hin, dass einige Institutionen bereits heute über ein Informationssicherheitskonzept verfügten.

Artikel 24 Konformitäts- und Wirksamkeitsprüfungen

Privatim stellt den Antrag die Konformitäts- und Wirksamkeitsprüfungen des Artikel 24 ISG mit Konsequenzen zu ergänzen. Es sei zu regeln oder zumindest in der Botschaft zu erläutern, ob neben der Effizienz auch die Effektivität der beschlossenen und eingeführten Massnahmen geprüft werden müssten (vgl. dazu Artikel 4 Absatz 4 ISG). Ebenso wäre zu regeln, was geschehen solle, wenn die Resultate dieser Prüfungen ignoriert würden.

Nach Erachten von LB, sollten die Anforderungen an die Sicherheit von IKT-Mitteln auch dadurch erfüllt werden können, dass zertifizierte Produkte eingesetzt werden. Für solche nach international anerkannten Sicherheitsstandards wie die “Common Criteria“ in einem definierten Verfahren zertifizierte Produkte sollte nicht eine zusätzliche Konformitäts- und Wirksamkeitsprüfung erforderlich sein. Die Pflicht zur Inventarisierung der IKT Mittel dürfte hingegen angesichts des ständigen Wechsels der eingesetzten Mittel und des steigenden Anteils von geschäftlich genutzten privaten Endgeräten einen erheblichen organisatorischen und administrativen Aufwand zur Folge haben.

Artikel 25 Sicherheitsfreigabe

Für TG ist es nicht verständlich, weshalb die Behörde mit der Sicherheitsfreigabe das Restrisiko akzeptieren darf. Damit nicht bedenkenlos mit ausgestellten Sicherheitsfreigaben umgegangen werde, sollte auf den zweiten Absatz verzichtet werden. Wenn doch schon in Artikel 23 des Entwurfes ISG erwähnt werde, dass das Sicherheitskonzept laufend aktualisiert werden müsse, dürfe nicht zwei Artikel später sinngemäss festgehalten werden, dass man bei Sicherheitsfreigaben nicht mehr an die immer bestehenden Restrisiken denken müsse und diese einfach akzeptieren solle. Die Bestimmung, wonach das Restrisiko akzeptiert werde, sollte ersatzlos gestrichen werden, da sonst die Informations- und Kommunikationstechnologie zu leichtfertig und zu bedenkenlos verwendet werde, wenn man sich im Sinne des Entwurfes einfach auf eine Sicherheitsfreigabe abstützen dürfte und deshalb nicht weiter an Risiken denken müsste.

Artikel 27 Sicherheit beim Betrieb

Pour VD Il serait utile de préciser que la sécurité traite des quatre critères de confidentialité, d'intégrité, de disponibilité et de traçabilité.

Nach Ansicht von FER sind die Begriffe Lagerung und Schutz angesichts des einem Technikers notwendigen Zugangs stillschweigend eingeschlossen. Aufgrund der festgestellten Diebstähle können diese zwei Punkte weggelassen werden.

Artikel 28 / Artikel 29 Personelle Massnahmen

Dieser Artikel geht dem ETH-Rat hinsichtlich Auftragnehmer, die mit Informationen oder IKT-Mitteln der ETH bzw. des Bundes umgehen sollen, zu weit. In der Praxis würde das bedeuten, dass die ETH bei der Auftragsvergabe an Dritte (Unternehmen) für die stufengerechte Aus- und Weiterbildung der Auftragnehmer im Bereich Informationssicherheit sorgen müsste. Eine Umsetzung dieser Regelung in der Praxis würde finanzielle Implikationen haben.

Artikel 29 Restriktive Erteilung von Berechtigungen

TG begrüsst es, dass hier nicht verschiedene Kategorien von generellen Sicherheitsüberprüfungen stattfinden, sondern dass nur diejenigen Berechtigungen erteilt werden, welche zur Aufgabenerfüllung erforderlich sind. Allenfalls wäre es sinnvoll, den Zeitraum der Sicher-