Ergebnisbericht

[Geben Sie Text ein]

Konkretisierungsbedarf. Insbesondere fehle es an Klarheit darüber, in welcher Form die einzelnen Kantone genau von Auflagen und von nötigen Ausbildungen betroffen seien.

Für ZG scheinen die Auswirkungen auf die Kantone im Gesetzesentwurf und im Bericht zu wenig durchdacht.

SO geht davon aus, dass nur sehr wenige kantonale Mitarbeitende vom Gesetz erfasst werden. Der Botschaft lasse sich jedoch diesbezüglich keine näheren Angaben entnehmen Auch wenn nur einzelne Kantonsmitarbeitende Aufgaben für den Bund wahrnehmen würden, habe dies zur Folge, dass die ganzen kantonalen ICT-Systeme den Anforderungen des ISG genügen müssten. Dies wäre mit sehr hohem Aufwand verbunden. SO bittet deshalb zu prüfen, ob nicht analog der Regelung in Artikel 37 Absatz 1 des Datenschutzgesetzes die Zuständigkeit für die Informationssicherheit den Kantonen übertragen werden kann, sofern sie bestimmte Minimalstandards einhalten. Diese müssten im ISG oder in der Verordnung abschliessend aufgezählt werden.

Für BS ergibt sich weder aus dem vorgeschlagenen Gesetzeswortlaut (Art. 2 Abs. 2 Bst. f ISG) noch aus den Erläuterungen klar, welche Tätigkeiten kantonaler Behörden in den Geltungsbereich fielen. BS regt an, Artikel 87 ISG um eine Bestimmung zu ergänzen, wonach der Bundesrat die Tätigkeiten gemäss Artikel 2 Absatz 2 Buchstabe f durch Verordnung festzulegen habe. Damit die Auswirkungen auf den Kanton abgeschätzt werden können, sollte bereits die Botschaft eine Fassung dieser Liste aus heutiger Sicht enthalten. Ausserdem sollte die Botschaft auch klarstellen, was unter «unter Aufsicht» zu verstehen ist.

Für BL dürfen den Kantonen aus der Unterstellung unter das neue Gesetz keine Kosten entstehen, da solche im erläuternden Bericht nicht ausgewiesen würden.

Da das neue Bundesgesetz zwar für die Ausübung sicherheitsempfindlicher Tätigkeiten den Rahmen vorgebe, aber für den Vollzug Spielräume enthalte, ist es für AI umso wichtiger, dass den Kantonen auch die Ausführungsverordnungen zur Vernehmlassung gegeben würden. Insbesondere erwartet AI, dass AI sich auch zur bundesrätlichen Verordnung äussern könne.

Für GR sind die Schnittstellen zwischen Bund und Kantonen im Entwurf nicht genügend klar geregelt. Es fehle eine genaue Umschreibung der Tätigkeiten und der Betroffenheit der Kantone. Damit keine Kompetenzschwierigkeiten bei der praktischen Umsetzung entstünden, seien diese bereits auf Gesetzesstufe differenziert zu regeln. Sollen die Kantone das ISG — direkt als verpflichtende Behörde oder im Rahmen der Übernahme von Vorschriften des ISG ins kantonale Recht — anwenden, so müsse den Kantonen die Möglichkeit eingeräumt werden, dass sie die gemäss ISG zu schaffenden zentralen Fachstellen des Bundes (insbesondere die Fachstellen Personensicherheitsprüfung und Betriebssicherheitsverfahren) ebenfalls beauftragen könnten. Die Anpassung der Systeme an die Sicherheitsmassnahmen könne zudem mit hohen Kosten verbunden sein. Der typische Lebenszyklus von ICT-Systemen betrage rund fünf bis zehn Jahre. Es seien deshalb für die Umsetzung des Gesetzes angemessene Übergangsfristen von mindestens fünf bis zehn Jahren vorzusehen.

Für AG bestehen im für die Kantone wesentlichen Bereich zum jetzigen Zeitpunkt mehrere offene Fragen. So solle erst im Ausführungsrecht geregelt werden, wie der Bund die Personensicherheitsprüfung für kantonale Angestellte regeln wolle. Folglich könnten heute keinerlei Rückschlüsse zur Art und Weise der Durchführung noch zu den konkreten Auswirkungen der Personensicherheitsprüfung auf das kantonale Personal gemacht werden. Ebenfalls noch nicht geklärt sei die Kontrolle der Umsetzung der Vorschriften in den Kantonen durch den Bund. Es sei unklar, wie sich das Prozedere und namentlich der Datenfluss in diesem Aufsichtsverfahren gestalten werden. Auch seien aus dem vorliegenden Erlassentwurf kaum Schnittstellen des Informationssicherheitsrechts mit der Datenschutzaufsicht der Kantone ersichtlich. Allerdings könne diese Frage nicht abschliessend beurteilt werden, da die wechselseitigen Beziehungen zwischen Datenschutz und Informationssicherheit – wenn überhaupt – im erläuternden Bericht nur marginal aufgezeigt würden. Immerhin sei dem Bericht konkludent ein Vorbehalt zugunsten des Bundesdatenschutzrechts zu entnehmen (vgl. erläuternder Bericht, Ziffer 1.3.1.2, Seite 28). AG geht davon aus, dass ein solcher Vorbehalt umso mehr für kantonales Datenschutzrecht gelte, nämlich in jenen Bereichen bundesrechtli-