Ergebnisbericht

Ausführungsrecht zum Informationssicherheitsgesetz Ergebnisbericht

VS verfüge über eine Politik der Informationssicherheit und über Rahmenrichtlinien, welche die Ziele, die allgemeinen Grundsätze und die Organisation der Informationssicherheit festlegen würden. Letztere würden für alle kantonalen Behörden gelten. Gemeinden und kantonale Institutionen würden hingegen nicht von den bestehenden Richtlinien erfasst. Allerdings würden alle Zugriffe auf den Bund, die über den Kanton laufen, von der Kantonsverwaltung verwaltet und gesichert. Der Kanton böte den Gemeinden, die dies wünschen würden, subsidiäre Unterstützung im Bereich der Cybersicherheit an und werde ab 2023 die eCyAd-Lösung zur Sensibilisierung anbieten, die vom Bund im Rahmen der zweiten Strategie zum Schutz der Schweiz vor Cyberrisiken fertiggestellt werde.

Für ZG sind die Vorgaben zwar verständlich, gingen aber zu wenig ausführlich auf die Pflichten der Kantone ein. Zudem mache der verfolgte föderalistische Ansatz, wonach die Vorgaben des Bundes nur dann gelten, wenn die kantonalen Regelungen den Sicherheitsanforderungen des Bundes nicht genügen, das Ganze kompliziert.

ZG stellt fest, dass die Hauptverantwortung für die Sicherheit bei der Bearbeitung von klassifizierten Informationen des Bundes bei den kantonalen Organen läge, die diese Daten bearbeiten bzw. die auf die Informatikmittel des Bundes zugreifen würden (namentlich: Amt für Zivilschutz und Militär, Notorganisation, Zuger Polizei, Verein für Arbeitsmarktmass nahmen). Diese Organe hätten die erforderlichen Prozesse, Zuständigkeiten und Massnahmen festzulegen, um das vom Bund verlangte Sicherheitsniveau sicherstellen zu können. Dabei kämen die Vorschriften des Bundes nur dann zur Anwendung, wenn die Vorschriften und Massnahmen der Kantone den Sicherheitsanforderungen des Bundes nicht genügen. Die Mitarbeitenden der Organe seien für die Einhaltung der Vorgaben beim Umgang mit den klassifizierten Informationen und den Informatikmitteln verantwortlich. Der richtige Umgang mit den klassifizierten Informationen und den Informatikmittel setze voraus, dass die Bundesbehörden den Organen entsprechende Vorgaben machen.

3.1.2 Beurteilung der finanziellen Auswirkungen

Die Vernehmlassung hat ein sehr breites Bild aufgezeigt, was die finanzielle Auswirkung für die Umsetzung des ISG betrifft.

Für AI, AG, BL, BS, GL und VS bringt die Umsetzung des ISG keine erheblichen Veränderungen und Zusatzkosten mit sich. BL erwartet lediglich einen beschränkten Mehraufwand im Bereich Compliance und eine temporäre Bindung von personellen Ressourcen. VS legt ein besonderes Augenmerk auf mögliche Änderungen im Zusammenhang mit Funktionen, die eine Überprüfung der Personensicherheit erfordern.

Mehrere Kantone (AR, FR (ITA), GE, JU, SH, SZ, SG, TG, UR, und ZG) konnten die finanziellen Auswirkungen zum Zeitpunkt der Vernehmlassung noch nicht genau abschätzen.

NE schätzt die Kosten zwischen 500'000 und 3 Millionen Franken für die Umsetzung eines ISMS und die Verstärkung der Sicherheit. Zusätzliche technische Anpassungen könnten sich auf mehrere Millionen belaufen.

NW schätzt die jährlichen Mehrkosten auf ca. 100'000 Franken.

OW schätzt die jährlichen Kosten auf 50'000 Franken.

SZ rechnet mit 425 zusätzlichen Stellenprozenten und Investitionen in ISMS und Sicherheitssysteme, welche ebenfalls indirekt mit der Umsetzung der Verordnungen zu tun hätten. Die zusätzlichen finanziellen Aufwände, welche im Zusammenhang mit dem neuen ISG stehen, werden für das erste Jahr grob auf 300'000 Franken für Personal und Investitionen geschätzt.

TI und ZG erwarten neben personellen Kosten, wie für Schulungen und die PSP, auch Kosten für die Umsetzung der technischen Sicherheitsmassnahmen.

ZH erwartet für die Sicherheitsakkreditierung von Informatikmitteln und für die regelmässige Prüfung der Sicherheit während des Lebenszyklus Zusatzkosten in der Höhe von jeweils ungefähr