Ergebnisbericht

[Geben Sie Text ein]

aus heutiger Sicht enthalten. Ausserdem solle die Botschaft auch klarstellen, was unter «unter Aufsicht» zu verstehen sei.

Die SIK beantragt, Artikel 87 mit einem neuen Absatz 5 wie folgt zu ergänzen: „⁵ Der Bundesrat legt die Tätigkeiten gemäss Artikel 2 Absatz 2 Buchstabe f durch Verordnung fest.“ Die Botschaft zum ISG solle zudem eine Fassung der Liste dieser Tätigkeiten aus heutiger Sicht enthalten. Es sei aus den Erläuterungen nicht ersichtlich, welche Tätigkeiten als sicherheitsempfindliche Tätigkeiten kantonaler Behörden und Stellen im Auftrag und unter Aufsicht des Bundes im Sinne des Artikels 2 Buchstabe f gelten würden. Damit die Kantone und Gemeinden klar wüssten, in welchem Umfang sie durch das ISG verpflichtet seien, sei dies in einer Liste auf Verordnungsebene festzuhalten und solle bereits die Botschaft zum ISG eine Fassung dieser Liste aus heutiger Sicht enthalten.

Die SNB begrüsst ausdrücklich den eigenständigen Vollzug gemäss Artikel 87 des Gesetzesentwurfs. Trotzdem führten die Erläuterungen aus, dass dieser eigenständige Vollzug einen Nachteil habe: "Die minimalen organisatorischen Anforderungen der Informationssicherheit, die von allen Bundesbehörden erfüllt werden sollen, müssen zwingend auf Gesetzesebene verankert werden. Demzufolge enthält die Vorlage auch zahlreiche Bestimmungen, die von der Normenhierarchie eher dem Verordnungsrecht entsprechen." Die SNB versteht durchaus das Bestreben des Gesetzesentwurfs, gewisse organisatorische Anforderungen auch für die verfassungsmässig unabhängigen verpflichteten Behörden zu regeln. Aber gerade die Rücksichtnahme auf die in Artikel 87 statuierte, der Verordnungskompetenz des Bundesrates entzogene Vollzugsautonomie dieser Behörden gebiete Zurückhaltung bei der im Entwurf praktizierten Verankerung von Verordnungsmaterie auf Gesetzesstufe. Letzteres tangiere eben diese Vollzugsautonomie.

Das BGer macht darauf aufmerksam, dass dieser Artikel für das BGer wesentlich sei und deshalb nicht zu seinem Nachteil verändert werden dürfe.

Insecor erachtet das Vorgehen, dass die jeweiligen Bundesbehörden ihre eigenen Ausführungsbestimmungen erlassen sollen, als nur bedingt zielführend. Gerade in Verordnungen stünden jeweils wichtige Präzisierungen des Gesetzestextes, welche im Bereich der Informationssicherheit nicht erneut „verzettelt“ werden dürften. Schliesslich gebe es immer noch die Möglichkeit jeweiliger Departementsverordnungen oder Weisungen, welche den spezifischen Bedürfnissen einer Verwaltungseinheit entsprechend Rechnung tragen könnten.

Für den ETH-Rat wird es zu prüfen sein, von welchen Teilen des Gesetzes die Institutionen des ETH-Bereichs und der ETH-Rat ausgenommen werden könnten; zumindest das Kapitel betr. Betriebssicherheitsprüfung sollte nicht auf die Institutionen des ETH-Bereichs und auf den ETH-Rat anwendbar sein (vgl. dazu insb. Rückmeldung zu Artikel 65 ff. oben).

Artikel 88 Standardanforderungen und -massnahmen

BE beantragt, Artikel 88 mit einem neuen Absatz 4 wie folgt zu ergänzen: „⁴ Der Bundesrat regelt durch Verordnung, welche verpflichteten Behörden einzeln oder gemeinsam zur Verbindlicherklärung von Standardanforderungen und -massnahmen zuständig sind, die Tätigkeiten oder Systeme betreffen, die von mehreren verpflichteten Behörden gemeinsam ausgeführt oder genutzt werden. Soweit kantonale verpflichtete Behörden betroffen sind, ist deren Zustimmung erforderlich.“ In verschiedenen Bereichen arbeiteten Bundes- und kantonale Behörden eng zusammen oder erfüllten kantonale Behörden Aufträge des Bundes, etwa im Polizeibereich. Zudem müssten Datensammlungen oder ICT-Systeme (z.B. Netzwerke) verschiedener Behörden oft zur Aufgabenerfüllung miteinander verbunden werden. In diesen Fällen sei es nicht sinnvoll, wenn die Partnerbehörden unterschiedliche Sicherheitsniveaus anwendeten. Daher sollte eine vom Bundesrat bestimmte Leitbehörde das für die ganze Tätigkeit geltende Sicherheitsniveau festlegen. Um allerdings zu verhindern, dass eine Bundesbehörde einseitig Massnahmen festlege, die kantonsseitig zu hohen Mehrkosten führten, müsse stets die Zustimmung allfällig betroffener kantonaler Behörden eingeholt werden.

Es ist nach Meinung der CVP wichtig, dass der Bundesrat standardisierte Sicherheitsanforderungen sowie standardisierte organisatorische, personelle, technische und bauliche Mass-