Erläuternder Bericht

Abs. 2: Die zu bezeichnende Stelle für die Abwicklung des Bug-Bounty-Programms kann der Systembetreiber oder eine externe Firma sein. Diese Stelle ermöglicht die Durchführung des Programms, nimmt Meldungen entgegen und übernimmt die Kommunikation mit der Person, die den Hinweis eingereicht hat. Sie ist über die Entscheide zum Umgang mit dem Hinweis und allfällige Massnahmen zu informieren.

Ausserdem sind die Informationen zu eingegangenen Hinweisen zu publizieren. Folgende Informationen werden publiziert: Information zum Inhalt des Hinweises, Angabe der Quelle des Hinweises (sofern die hinweisgebende Person oder Institution einverstanden ist), Einschätzung der für das Bug-Bounty-Programm zuständigen Stelle und Informationen zu allfälligen Massnahmen, die gestützt auf den Hinweis getroffen werden.

Abs. 3: Nicht nur Hinweise mit einem direkten, sondern auch mit einem mittelbaren Bezug zur Sicherheit sind zu entschädigen, sofern sie zur Verbesserung des Systems beitragen. Als Hinweise mit mittelbarem Bezug zur Sicherheit gelten beispielsweise Hinweise, mit denen die Qualität des Quellcodes erhöht wird. Denn die Qualität des Quellcodes ist unter anderem entscheidend für die Lesbarkeit und damit auch für die Wahrscheinlichkeit, dass Fehler gefunden werden können. Die Höhe der finanziellen Entschädigung muss aufgrund der Schwere des Mangels festgelegt werden. Die Höhe soll so gewählt werden, dass effektiv Anreize für eine Teilnahme von Fachpersonen aus der Öffentlichkeit entstehen.

Die Rechtsgrundlagen der BK legen lediglich die Rahmenbedingungen für das Bug-Bounty-Programm fest. Die detaillierte Ausgestaltung des Programms, z.B. die Festlegung von Kategorien zur Beurteilung der Schwere der Mängel sowie die Festlegung der Höhe der finanziellen Entschädigungen, obliegt den Kantonen bzw. dem Systembetreiber. Der Bund überprüft im Rahmen der Bewilligungsverfahren, inwiefern die Ziele des Bug-Bounty-Programms durch das von den Kantonen und der zuständigen Stelle nach Absatz 2 gewählte Vorgehen erreicht wurden.

Art. 14 Grundsätze der Verteilung von Aufgaben und Verantwortlichkeiten

Die Aufgaben und Verantwortlichkeiten wurden bisher im Anhang geregelt. Neu wird die Aufteilung der Aufgaben und Verantwortlichkeiten im Hauptteil der VEleS geregelt.

Abs. 1: Die wichtigen Aufgaben, die durch den Kanton auszuführen sind, ergeben sich aus den Bestimmungen im Anhang. Dazu gehören etwa die Ausgestaltung des Stimmmaterials und die Kommunikation mit den Stimmberechtigten zu Fragestellungen, die mit der Stimmabgabe im konkreten Fall in Verbindung stehen.

Abs. 2: Der Kanton kann die genannten Aufgaben an externe Organisationen delegieren. Dabei trägt er aber weiterhin die Gesamtverantwortung nach Absatz 1. So trägt er beispielsweise die Risiken, die im Zusammenhang mit der Durchführung einer Aufgabe stehen, auch bei einer Delegation vollumfänglich. Als Ausnahme zu Absatz 1 kann die Kommunikation zu Fragen der Funktionsweise des Systems delegiert werden, sofern diese Fragen sehr technischer Natur sind und vertieftes Expertenwissen voraussetzen.

Abs. 3: Die Betriebsstellen handeln auf Weisung des Kantons und übernehmen die Verantwortung für ihre Zuständigkeiten gegenüber dem Kanton.

Abs. 4: Die konkrete Organisation und Ausgestaltung des Einsatzes von Prüferinnen und Prüfern richtet sich nach kantonalem Recht.

Art. 15 Aufgaben der auf kantonaler Ebene verantwortlichen Stelle

Die Aufgaben der auf kantonaler Ebene verantwortlichen Stelle wurden bisher im Anhang geregelt. Neu werden die Aufgaben im Hauptteil der VEleS geregelt.

Bst. a: Die übergeordnete Informationssicherheitsrichtlinie definiert die Ziele, den Rahmen und die Verantwortlichkeiten für die Informationssicherheit. Sie stellt auch einen Katalog von Richtlinien für die Informationssicherheit auf unterer Ebene bereit und legt deren Verwaltung fest. Sie wird allen Mitarbeitenden kommuniziert und muss in geplanten Zeitintervallen überprüft und angepasst werden.