Vorlage
Vernehmlassung 2022/49: Ausführungsrecht zum Informationssicherheitsgesetz · 29 Seiten
Fedlex · Vorlage · Seite 12Fedlex · Vorlage
«%ASFF_YYYY_ID» Sicherheit der Eidgenossenschaft
Art. 23 Sicherheitsakkreditierung von Informatikmitteln
(83 Abs. 1 Bst. e ISG)
1 Informatikmittel müssen vor der Inbetriebnahme sicherheitsmässig akkreditiert werden, wenn eine der folgenden Voraussetzung erfüllt ist:
a. Sie werden für amtsübergreifende Aufgaben eingesetzt, bei denen als «geheim» klassifizierte Informationen bearbeitet werden.
b. Sie werden für behörden- oder departementsübergreifende Aufgaben eingesetzt, bei denen als «vertraulich» klassifizierte Informationen bearbeitet werden.
c. Die Sicherheitsakkreditierung ist für die nationale oder internationale Zusammenarbeit erforderlich.
2 Die Sicherheitsakkreditierung belegt, dass das Informatikmittel die minimalen Sicherheitsanforderungen für die entsprechende Klassifizierungsstufe erfüllt und die Restrisiken nach dem Stand der Technik tragbar sind.
3 Sie wird bei wesentlichen Änderungen der Risiken oder bei wesentlichen Änderungen am Informatikmittel wiederholt.
4 Kann die Sicherheitsakkreditierung nicht erteilt werden, weil das Informatikmittel die minimalen Sicherheitsanforderungen nicht erfüllt, so entscheidet der Bundesrat über die Restrisiken.
5 Die Fachstelle des Bundes für Informationssicherheit nimmt folgende Aufgaben wahr:
a. Sie erteilt die Sicherheitsakkreditierung nach Konsultation des kryptografischen Diensts der Armee sowie der Stellen nach Artikel 10 Absatz 1 Buchstabe d Org-VöB10.
b. Sie kann die Kompetenz zur Sicherheitsakkreditierung ausschliesslich militärischer Systeme der Gruppe Verteidigung delegieren.
6 Das [zuständige Departement] legt das Verfahren der Sicherheitsakkreditierung fest und berücksichtigt dabei die einschlägigen internationalen Standards.
Art. 24 Schutz bei der Gefährdung von klassifizierten Informationen
(Art. 10 Abs. 1 und 11 Abs. 1 ISG)
1 Wer feststellt, dass klassifizierte Informationen gefährdet, abhandengekommen oder missbräuchlich verwendet worden sind oder Informationen offensichtlich falsch oder fälschlicherweise nicht klassifiziert sind, muss die nötigen Schutzmassnahmen treffen.
2 Sie oder er benachrichtigt unverzüglich die klassifizierende Stelle und die zuständigen Sicherheitsorgane.