Erläuternder Bericht

Dazu gehören etwa Beschriebe von betrieblichen Prozessen ohne direkten Bezug zum System oder reine Präzisierungen, die für die Sicherheit nicht oder wenig entscheidend sind oder bei denen davon ausgegangen werden darf, dass sie korrekt umgesetzt werden. Dabei ist jeweils zwischen dem öffentlichen Interesse an der Publikation und dem Interesse an der Vertraulichkeit abzuwägen. Zu den Interessen an Vertraulichkeit können etwa interne Richtlinien, Schutz von Geschäftsinterna oder Schutz von Daten Dritter gelten.

Art. 12 Modalitäten der Offenlegung

Abs. 1: Die Unterlagen sollen über gängige Plattformen offengelegt werden. Die Organisation der Dateien soll unter Berücksichtigung des Umfangs und der Komplexität der gängigen Praxis entsprechen.

Abs. 2: Die offengelegten Unterlagen müssen anonym beziehbar sein und der Inhaber des Quellcodes darf interessierte Personen nicht zu einer Registrierung aufrufen, um die Unterlagen zu beziehen. Steht einer Person eine finanzielle Entschädigung nach Artikel 13 E-VEleS zu, darf der Inhaber für die zur Überweisung notwendigen Angaben bitten. Eine Offenlegung mindestens sechs Monate vor dem geplanten Einsatz des Systems wird als sinnvoll erachtet, um eine effektive Überprüfung durch die Öffentlichkeit zu ermöglichen.

Abs. 3: Der Austausch mit weiteren Personen und das Zitieren aus offengelegten Informationen muss insbesondere für die Arbeiten von Fachpersonen für die Fehlersuche ermöglicht werden.

Abs. 4: Im Sinne einer «responsible disclosure» kann der Inhaber die Teilnehmenden zur Einhaltung folgender Regeln auffordern:

- Mängel werden dem Inhaber umgehend gemeldet.

- Mit der öffentlichen Bekanntgabe eines Mangels wird zugewartet; eine bestimmte Sperrfrist darf da-

bei nicht überschritten werden.

- Mit Informationen zu vermuteten Mängeln wird verantwortungsvoll umgegangen. Sich abzeichnende

Entdeckungen von Sicherheitslücken werden nicht unnötig gestreut. Informationen dazu werden nur mit Personen geteilt und diskutiert, die zur Behandlung der Fragestellung vermutungsweise fähig und gewillt sind und die ebenfalls verantwortungsvoll damit umgehen.

Abs. 5: Der Inhaber darf Verstösse gegen die Nutzungsbedingungen nur in Ausnahmefällen ahnden. Er hat die teilnehmenden Personen in den Nutzungsbedingungen auf die Haftungsbeschränkung oder den Haftungsausschluss hinzuweisen. Auf eine Willenserklärung der Nutzenden ist zu verzichten.

Art. 13 Einbezug der Öffentlichkeit

Mit vorliegendem Artikel werden die Grundsätze eines Bug-Bounty-Programms geregelt, das eine Massnahme in Umsetzung von Artikel 27m Absatz 1 E-VPR darstellt. Die Kantone sollen nach Möglichkeit weitere Massnahmen ergreifen, um finanzielle und nicht-finanzielle Anreize zu setzen.

Abs. 1: Grundsätzlich sorgen die Kantone dafür, dass interessierte Personen aus der Öffentlichkeit Hinweise zur Verbesserung des Systems einreichen können (Bug-Bounty-Programm). Das Bug-Bounty-Programm soll frühzeitig vor der Einreichung eines definitiven Gesuchs auf Grundbewilligung des Bundesrates gestartet werden. Rund sechs Monate vor dem geplanten Einsatz werden als sinnvoll erachtet. Das Bug-Bounty-Programm sieht ein ständiges Programm zur Fehlersuche (Bst. a) sowie einen wiederkehrenden Internet-Test (Bst. b) vor.

Abs. 1 Bst. a: Suche von Fehlern in der offengelegten Dokumentation oder dem offengelegten Quellcode und Suche nach Fehlern durch Analyse des lauffähigen Systems in der eigenen Infrastruktur. Dieses Programm zur Fehlersuche läuft ununterbrochen.

Abs. 1 Bst. b: Die Zielsetzung dieses sogenannten Internet-Tests besteht ausschliesslich im Eindringen in die Infrastruktur. Denial-of-Service- (DoS) und Social-Engineering-Angriffe können vom Bug-Bounty- Programm ausgeschlossen werden. Der Internet-Test kann entweder als ständiges Programm oder als wiederkehrender Test mit beschränkter Laufzeit umgesetzt werden.

Die Teilnahme am Bug-Bounty-Programm richtet sich nach den Modalitäten in Artikel 12 E-VEleS.