Erläuternder Bericht

nung. Im Bericht der EFK aus dem Jahr 201343 sowie des Seco44 wurde empfohlen, eine solche Plattform einzurichten, da – insbesondere bei den Arbeitgebern – ein Einsparpotenzial von 12,5 Millionen Franken möglich ist, wenn die Bearbeitung der EO automatisiert über eine solche Online-Plattform abgewickelt würde.

Standards zur Sicherheit der Informationssysteme (Bst. b) tragen nicht nur zur Sicherheit der Daten, sondern auch zur Sicherheit von Applikationen bei. Wenn sich zum Beispiel in einem Rentenberechnungsprogramm ein Rundungsfehler einschleicht, kann dies für die AHV erhebliche finanzielle Verluste wie auch einen Vertrauensverlust nach sich ziehen. Ausgleichskassen und Informatikpools müssen daher zwingend einem IT-Audit unterzogen werden, das bestimmte Minimalanforderungen erfüllen muss.

Schliesslich sind auch im Bereich des Datenschutzes (Bst. c) Mindeststandards erforderlich, um den Anforderungen der Bundesgesetzgebung über den Datenschutz45 gerecht zu werden.

Damit diese gesetzlichen Grundlagen eingehalten werden, braucht es Mindeststandards im Bereich der Organisation und der Sicherheitsabläufe. Zudem müssen die Informationssicherheit und der Datenschutz für die von den verschiedenen Informationssystemen der Sozialversicherungen bearbeiteten und verwendeten Daten definiert werden. Diese Mindeststandards umfassen Massnahmen zum Schutz der Datenintegrität und -verfügbarkeit sowie der Vertraulichkeit, Integrität, Verfügbarkeit und Rückverfolgbarkeit von Daten, die in diesen Systemen gesichert, bearbeitet und übermittelt werden. Die Aufsichtsbehörde legt die nötigen Standards fest, damit diese Vorgaben eingehalten werden. Sie trägt dabei sowohl operativen als auch organisatorischen Aspekten Rechnung. So könnte die Aufsichtsbehörde beispielsweise Mindeststandards für den Datenschutz in der IT-Projektführung der Durchführungsstellen erlassen. Jede Durchführungsstelle kann die Projektführungsmethode, die ihrer Organisation am besten entspricht, selber wählen. Jedoch müssen Kernpunkte der Informationssicherheit und des Datenschutzes systematisch vorgegeben werden und einen Standard bilden. Mit dieser Gesetzesgrundlage kann die Aufsichtsbehörde über die IT-Audits prüfen, ob die Durchführungsstellen die zur Ausarbeitung solcher Konzepte notwendigen Prozesse eingerichtet haben.

Absatz 3: Die Mindeststandards müssen im Massengeschäft AHV praxistauglich sein. Deshalb ist es sinnvoll, dass derartige Standards (aus Eigeninitiative oder im Auftrag des BSV) von den Durchführungsstellen, z. B. von eAHV/AI oder der ZAS, entwickelt werden können. Damit die Standards für die gesamte Durchführung verbindlich sind, sieht der Gesetzesvorentwurf in Artikel 72a Absatz 2 Buchstabe d AHVG vor, dass sie vom BSV als Aufsichtsbehörde geprüft und genehmigt werden müssen.