Ergebnisbericht

[Geben Sie Text ein]

nahmen der Informationssicherheit nach dem Stand der Lehre und der Technik festlegt, welche den verpflichtenden Behörden als Empfehlungen dienen.

Privatim empfiehlt dringend zu prüfen, inwieweit die Standardanforderungen und -massnahmen für sämtliche dem ISG unterworfenen Behörden und Organisationen für verbindlich zu erklären seien. Bleibe es beim Empfehlungscharakter und der freiwilligen Verbindlichkeitserklärung, könne kein einheitliches Schutzniveau erreicht werden.

Da in verschiedenen Bereichen Bundes- und kantonale Behörden eng zusammenarbeiten oder kantonale und kommunale Behörden Aufträge des Bundes erfüllen würden und Datensammlungen oder ICT-Systeme verschiedener Behörden oft zur Aufgabenerfüllung miteinander verbunden werden müssten, sei es nicht sinnvoll, wenn die Partnerbehörden unterschiedliche Sicherheitsniveaus anwendeten. Daher sollte eine vom Bundesrat bestimmte Leitbehörde das für die ganze Tätigkeit geltende Sicherheitsniveau festlegen. Um allerdings zu verhindern, dass eine Bundesbehörde einseitig Massnahmen festlege, die kantonsseitig zu hohen Mehrkosten führten, müsse die Zustimmung allfällig betroffener kantonaler Behörden stets eingeholt werden. Die SIK beantragt daher, Artikel 88 mit einem neuen Absatz 4 wie folgt zu ergänzen:

⁴Der Bundesrat regelt durch Verordnung, welche verpflichteten Behörden einzeln oder gemeinsam zur Verbindlicherklärung von Standardanforderungen und -massnahmen zuständig sind, die Tätigkeiten oder Systeme betreffen, die von mehreren verpflichteten Behörden gemeinsam ausgeführt oder genutzt werden. Soweit kantonale verpflichtete Behörden betroffen sind, ist deren Zustimmung erforderlich.

Das BGer macht darauf aufmerksam, dass dieser Artikel für das BGer wesentlich sei und deshalb nicht zu seinem Nachteil verändert werden dürfe.

Für it-rm bedarf es zwingend einer Institution (Koordinationsstelle), welche Ausführungsvorschriften erlässt, welche für alle von diesem Gesetz betroffenen Behörden verpflichtend und folglich einzuhalten sind (Widerspruch zu Artikel 88 Absatz 3 ISG). Ansonsten könne dies zu Inhomogenitäten im Sicherheitsdispositiv führen und zudem dazu beitragen, dass dem Wandel der Technik und somit den daraus erwachsenden veränderten Sicherheitsbedürfnissen zu wenig Rechnung beigemessen wird. Es wäre unwirtschaftlich, wenn beim Behörden übergreifenden Informationsaustausch unterschiedliche Massnahmen zum Schutz derselben Rechtsgüter ergriffen würden. Eine Inhomogenität im Sicherheitsdispositiv sei zudem aus Sicht derjenigen Behörde unwirtschaftlich, welche die wirksameren und somit teureren Sicherheitsmassnahmen umgesetzt hat. Die Sicherheit der Information lasse sich bekanntlich an der schwächsten Massnahme ableiten. Nur in Ausnahmefällen und mit einem schriftlich begründeten Gesuch sollte davon abgewichen werden dürfen.

Aus Sicht des NDB rechtfertige es sich, die Erarbeitung und Verarbeitung von Sicherheitsstandards an den NDB zu delegieren (analog fedpol, siehe erläuternder Bericht zu Artikel 88 Absatz 2 ISG, S. 71). Der NDB verfüge wie das fedpol über besondere Bedürfnisse hinsichtlich der Datenbearbeitung bzw. Aufbewahrung. Insbesondere der Datenaustausch zwischen verschiedenen staatlichen Stellen im In- und Ausland sei beim NDB von besonderer Bedeutung und mit anderen Bundesstellen nicht vergleichbar. Auch hinsichtlich des Quellenschutzes seien NDB-spezifische Sicherheitsstandards unabdingbar.

Artikel 89 Kantone

Gemäss Artikel 89 ISG sollen kantonale Behörden und Stellen dem Gesetz nur dann unterstehen, wenn sie im Auftrag des Bundes und unter seiner unmittelbaren Aufsicht sicherheitsempfindliche Tätigkeiten ausüben. Setzen kantonale Behörden und Stellen das Bundesrecht in eigener Kompetenz um, werden sie vom Gesetz nicht erfasst (Erläuternder Bericht, S. 36). Diese für ZH zentrale, den Geltungsbereich betreffende Regelung werfe mehr Fragen auf, als sie beantworte. Welche Tätigkeiten der Kantone seien gemeint? In welchen Bereichen seien die Kantone unter welcher unmittelbaren Aufsicht tätig? Da im Erläuternden Bericht kein einziges konkretes Beispiel dafür erwähnt werde, sei davon auszugehen, dass auch beim Bund darüber keine Klarheit herrsche. Es sei aber notwendig, abschätzen zu können,