Vorlage
Vernehmlassung 2022/49: Ausführungsrecht zum Informationssicherheitsgesetz · 29 Seiten
Fedlex · Vorlage · Seite 5Fedlex · Vorlage
Informationssicherheitsverordnung «%ASFF_YYYY_ID»
Art. 9 Bewilligung und Verzeichnung von Ausnahmen
(Art. 7 Abs. 1 ISG)
1 Kann eine Verwaltungseinheit für ein Schutzobjekt eine Vorgabe nicht erfüllen, so benötigt sie eine Bewilligung der Stelle, welche die Vorgabe beschlossen hat.
2 Die Fachstelle des Bundes für Informationssicherheit und die Departemente können die Bewilligung von Ausnahmen delegieren.
3 Betrifft eine Ausnahme, die im Kompetenzbereich der Fachstelle des Bundes für Informationssicherheit liegt, auch Vorgaben der Bundeskanzlei über die digitale Transformation und die IKT-Lenkung, so hört die Fachstelle des Bundes für Informationssicherheit vorgängig die DTI-Delegierte oder den DTI-Delegierten nach Artikel 4 Absatz 1 VDTI5 an.
4 Die Verwaltungseinheiten, die Departemente und die Fachstelle des Bundes für Informationssicherheit führen je ein Verzeichnis der Ausnahmebewilligungen, die:
a. sie selber erteilt haben;
b. für ihre Schutzobjekte erteilt wurden.
Art. 10 Zusammenarbeit mit Dritten
(Art. 9 ISG)
1 Die Verwaltungseinheiten beurteilen nach den Vorgaben von Artikel 8 die Risiken für ihre Schutzobjekte bei der Zusammenarbeit mit Dritten und ihre Abhängigkeit von Dritten.
2 Die Beschaffungsstellen nach den Artikeln 9 und 10 der Verordnung vom 24. Oktober 20126 über die Organisation des öffentlichen Beschaffungswesens der Bundesverwaltung (Org-VöB) wirken bei der Beurteilung mit und stellen die nötigen Informationen zur Verfügung.
3 Die Fachstelle des Bundes für Informationssicherheit empfiehlt nach Konsultation der Beschaffungskonferenz des Bundes nach Artikel 24 Org-VöB, welche Bestimmungen zur Informationssicherheit in allen Beschaffungs- und Dienstleistungsverträgen des Bundes enthalten sein sollen.
Art. 11 Schulung und Sensibilisierung
(Art. 7 Abs. 1 und 20 Abs. 1 Bst. c ISG)
1 Die Verwaltungseinheiten schulen ihre Mitarbeitenden bei Stellenantritt und anschliessend periodisch so, dass sie ihre Verantwortung in Bezug auf die Informationssicherheit wahrnehmen können. Sie führen ein Verzeichnis über die Schulungen und die Teilnahme daran.
2 Inhalt der Schulungen sind insbesondere:
a. die korrekte Identifizierung des Schutzbedarfs von Informationen;