Ergebnisbericht

Ausführungsrecht zum Informationssicherheitsgesetz Ergebnisbericht

3.1.1 Beurteilung der Umsetzbarkeit und Verständlichkeit

Die Vernehmlassung hat ergeben, dass die Ausführungsbestimmungen des ISG und deren Um-

setzung für fast alle Kantone (AG, AI, AR, BL, BS, BE, GE, GL, GR, LU, NE, NW, OW, SH, SZ,

SO, SG, TI, TG, UR, VD, VS, ZG und ZH) grundsätzlich verständlich sind. Zu den Auswirkungen bestehen aber noch Unklarheiten. Diese Unklarheiten betreffen nebst den Umsetzungskosten auch die «gleichwertige» Informationssicherheit und die anwendbaren, noch nicht vorliegenden Vorgaben und Mindestvorschriften. Für vereinzelte Vernehmlassungsteilnehmende (FR (ITA), JU und VD) ist der Aufwand für die Umsetzung aufgrund dieser Unklarheiten schwierig zu beurteilen.

Verschiedene Kantone planen eine eigene Gesetzgebung zur Informationssicherheit (AG, BE, FR) oder prüfen, ob und in welcher Form die erforderlichen Bestimmungen erlassen bzw. bestehende Grundlagen angepasst werden müssen bzw. können (NW, SH, UR und ZH).

Eine Unklarheit für BL betrifft Gemeinden und andere Organisationen, wie öffentlich-rechtliche Anstalten und Betriebe in den Kantonen, die ebenfalls an Informationssystemen des Bundes angeschlossen sind. Das Ausführungsrecht mit Stand vom 24. August 2022 stelle nicht klar, wer für die Einhaltung der Sicherheitsmassnahmen durch diese Organisationen zu sorgen habe. Die Kantone könnten es für die Gemeinden nicht sein. Aus diesem Grund sei eine Ausgestaltung im vorgeschlagenen Rahmen wesentlich zielführender, wenn alle, die sich an Informationsmitteln des Bundes anschliessen wollen, die Vorgaben des Bundes für die jeweiligen Anschlüsse erfüllen müssten. Mit dieser Lösung würde viel mehr Klarheit und Einfachheit geschaffen werden und die Sicherheitsmassnahmen könnten wirkungsvoll umgesetzt werden.

Für AR ist fraglich, ob die Bundesverfassung die Kantone – ausserhalb der im Rahmen des Personendaten-, bzw. des Persönlichkeits- und Privatsphärenschutzes zu beachtenden Vorgaben zur (Personen-)Datensicherheit – zu allgemeiner Informationssicherheit verpflichte. Gleichzeitig sei augenscheinlich, dass durch eine Erhöhung der allgemeinen Informationssicherheit auch der Personendatenschutz profitieren würde.

FR (ITA) schlägt vor, dass bei der Erstellung der noch fehlenden Vorgaben die bisher heterogenen technischen Anforderungen des Bundes vereinheitlicht werden. Derzeit gebe es beim Bund beispielsweise drei parallele Public Key Infrastructures (PKI). Für den Kanton FR sei es schwierig nachzuvollziehen, welche Sicherheit er gewährleisten müsse, wenn der Bund mehrdeutige Anforderungen geltend macht. Wenn die Digitale Verwaltung Schweiz zu etwas dienen könnte, wäre dies in erster Linie die Funktion eines föderativen Organs in Bezug auf die Informationssysteme und damit auch im Bereich der Informationssicherheit. Es wird eine stärkere Einbindung der Digitalen Verwaltung Schweiz in Angelegenheiten, die die Kantone und ihre Informationssysteme betreffen. Ohne ein föderatives Organ würde die Informationslandschaft des Kantons unhandlich, insbesondere für die Kantone, die nicht über ähnliche Budgets wie der Bund verfügten.

JU und VD wünschen Ausführungen der Verordnungen in Bezug auf die Auswirkungen und Erwartungen gegenüber den Kantonen.

SG richte die Sicherheitsanforderungen im Kanton möglichst synchron auf die Grundschutzanforderungen des Bundes aus. Ein entsprechender Abgleich des kantonalen ISMS sei bereits in Arbeit. Eine Impactanalyse werde zeigen, welche konkreten Massnahmen in der Folge in Projekten umzusetzen sind. Die Zugriffrechte sollen im Einklang mit den Vorgaben des Bundes an diejenigen Rollenträger in den jeweiligen Ämtern erteilt werden, die diese für die Erfüllung ihrer gesetzlichen Aufgaben benötigten.

Für TI ist unklar, inwieweit Mitarbeitende der Verwaltungs- und Justizeinheiten der Kantonsverwaltung sowie anderer externer Stellen, die Aufgaben nach bundesrechtlichen Regelungen wahrnehmen, PSP unterzogen werden müssen. Die Unmöglichkeit, die vollständige und erschöpfende Liste der zu prüfenden Funktionen einzusehen, werfe Fragen hinsichtlich der praktischen Umsetzung auf.