Erläuternder Bericht

neuen Formulierung wird die Software des gesamten Systems und der Kontrollkomponenten zusammengefasst geprüft.

Abs. 1 Bst. c: Die Anforderungen an die Druckereien werden neu unter der Bestimmung «Sicherheit von Infrastruktur und Betrieb» geprüft.

Abs. 2: Der Betrieb des Systems im Rechenzentrum des Systemanbieters ist nach ISO 27001 zu zertifizieren. Ein Kanton, der selbst kein System betreibt, kann sich für die kantonalen Prozesse nach ISO 27001 zertifizieren lassen, muss dies aber nicht.

Abs. 3: Die BK und die für die Prüfungen nach Absatz 1 mandatierten Stellen müssen Zugang zu den notwendigen Unterlagen beim Kanton und seinen Dienstleistern erhalten. Dazu gehören alle Unterlagen, die für die Prüfungen nach Absatz 1 notwendig sind und alle verfügbaren Berichte (inkl. Zertifizierungsberichte), Belege und Zertifikate (ISO 27001-Zertifikat gemäss Abs. 2 und allfällige kantonale Zertifizierungen).

Abs. 4: Bewilligungsrelevante Prüfergebnisse werden publiziert. Für die Publikation ist diejenige Stelle zuständig, die eine Prüfung in Auftrag gegeben hat. Sie publiziert Belege und Zertifikate, die im Rahmen der Prüfungen nach den Absätzen 1 und 2 erstellt wurden. Unter den Begriff der Belege sind auch Prüfberichte zu subsumieren. Die publizierten Prüfergebnisse müssen nachvollziehbar sein. Wird darin auf weitere Unterlagen verwiesen, sind diese in der Regel offenzulegen. Können zusätzliche Unterlagen nicht veröffentlicht werden, soll die Nachvollziehbarkeit der Prüfergebnisse mit einer zusammenfassenden Beschreibung der relevanten Aspekte aus den nicht publizierten Unterlagen gewährleistet werden. Erstellt die geprüfte Stelle eine Replik auf einen Prüfbericht, soll diese auch publiziert werden. Von einer Publikation kann in begründeten Fällen abgesehen werden. Die Ausnahmen orientieren sich grundsätzlich an der Öffentlichkeits- und Datenschutzgesetzgebung. Dabei ist jeweils zwischen dem öffentlichen Interesse an der Publikation und dem Interesse an der Vertraulichkeit abzuwägen. Zu den Interessen an Vertraulichkeit können etwa interne Richtlinien, Schutz von Geschäftsinterna oder Schutz von Daten Dritter gelten.

Art. 11 Offenlegung des Quellcodes und der Dokumentation zum System und dessen Betrieb

Die bisherigen Anforderungen an die Offenlegung des Quellcodes und der Dokumentation zum System und dessen Betrieb werden präzisiert. Absatz 1 enthält neu eine Liste der Unterlagen, die offengelegt werden müssen. Erläuterungen einiger Begrifflichkeiten:

Abs. 1 Bst. a: Die «relevanten Parameter» umfassen alle Informationen und Daten, die notwendig sind, um das System bei sich in Betrieb zu nehmen.

Abs. 1 Bst. b: Die Dokumentation der Software umfasst insbesondere das kryptografische Protokoll, die Spezifikation und das Design, Anleitungen, Testkonzepte, Berichte zu Mängeln und Korrekturen sowie Ergebnisse des Reviewprozesses.

Abs. 1 Bst. c: Umfasst Dokumente, welche die Inbetriebnahme des Systems zu dessen Untersuchung unterstützen (z.B. Anleitungen, FAQ, etc.).

Abs. 1 Bst. d: Umfasst die Unterlagen, die die Erfüllung der Anforderungen der VEleS dokumentieren. Dazu gehören auch Unterlagen, die wesentliche risikominimierende Massnahmen dokumentieren, auf die in der Risikobeurteilung verwiesen wird. Im Grundsatz gilt: Je stärker die Dokumentation den Betrieb, die Wartung oder die Sicherung einer sogenannten vertrauenswürdigen Komponente oder die Handhabung eines Datenträgers mit kritischen Daten betrifft, desto wichtiger ist die Offenlegung. Darüber hinaus gelten die Ausnahmebestimmungen der Öffentlichkeitsgesetzgebung.

Abs. 1 Bst. e: Wenn dem Systembetreiber ein Mangel im offengelegten Quellcode oder in der Dokumentation bekannt ist, soll er darüber informieren. Er beschreibt den Mangel und allfällige geplante Massnahmen zur Behebung des Mangels. Dies dient der Nachvollziehbarkeit, der Transparenz und der Zusammenarbeit mit der Öffentlichkeit.

Abs. 2 Bst. c: Die begründeten Ausnahmen orientieren sich grundsätzlich an der Öffentlichkeits- und Datenschutzgesetzgebung. Zusätzlich kann bei Dokumenten mit tiefer oder keiner Relevanz für die Sicherheit des Systems und des Betriebs in begründeten Fällen von einer Publikation abgesehen werden.