Erläuternder Bericht

c. Unterstellte Beschaffungen

In der Verordnung werden die Beschaffungen definiert, für welche das Verfahren in jedem Fall durchgeführt werden muss. Betroffen sind die Aufträge, bei denen GEHEIM klassifizierte Informationen zugänglich gemacht werden, sowie Beschaffungen von sensitiven Systemen, in denen VER-TRAULICH klassifizierte Informationen mehrerer Organisationen bearbeitet oder die amts- und departementsübergreifend eingesetzt werden. Für alle anderen Beschaffungen wird die zuständige Fachstelle für Betriebssicherheit mit der auftraggebenden Stelle beurteilen, ob die Durchführung des Verfahrens angezeigt ist.

d. Abstimmung mit dem Beschaffungsrecht

Wie das ISG selbst weist die neue Verordnung zahlreiche Schnittstellen zur neuen Gesetzgebung des Bundes über das öffentliche Beschaffungswesen auf. Diese wurden bei der Erarbeitung des Vorentwurfs in Zusammenarbeit mit Vertretern der Fachämter detailliert geprüft und bereinigt. Die sachgerechte Durchführung des Betriebssicherheitsverfahrens setzt zudem eine enge Zusammenarbeit zwischen der auftraggebenden Stelle, der Beschaffungsstelle und der zuständigen Fachstelle für Betriebssicherheit voraus. Diese Zusammenarbeit soll zu einem möglichst frühen Zeitpunkt im Beschaffungsprozess stattfinden. Damit können beschaffungsbezogene Risiken früh identifiziert und reduziert werden.

3.7 Abstimmung von Aufgaben und Finanzen

Mit dem ISG und seinen Ausführungsverordnungen werden die Grundlagen für eine nachhaltige Verbesserung der Informationssicherheit der Bundesverwaltung und der Armee geschaffen. Dabei wird der Fokus auf die kritischsten Informationen und Informatikmittel gelegt. Die Einführung des ISMS ist dafür von zentraler Bedeutung: Es verbindet, steuert und überprüft alle Massnahmen und Prozesse des neuen Rechts. Ein effizientes Management der Informationssicherheit verbessert die Informationssicherheit effektiver, wirtschaftlicher und nachhaltiger als blosse Investitionen in technische Massnahmen.

Das Ambitionsniveau wurde sowohl für das ISMS als auch für die anderen Massnahmen ressourcenschonend festgelegt. Insgesamt werden deshalb die personellen und finanziellen Auswirkungen des ISG und seiner Verordnungen tief ausfallen. Es obliegt den Verwaltungseinheiten und den Departementen zu entscheiden, ob sie für ihren eigenen Zuständigkeitsbereich eine höhere Informationssicherheit haben und die entsprechenden Ressourcen zur Verfügung stellen wollen.

3.8 Umsetzung

Das Inkrafttreten des ISG und seiner Verordnungen ist auf Mitte 2023 geplant. Für einen erfolgreichen Übergang in das neue Recht sehen sowohl das ISG (vgl. Art. 90 ISG) als auch seine Ausführungsverordnungen (vgl. Art. 48 ISV, Art. 38 VPSP und Art. 25 VBSV) angemessene Übergangsfristen vor.

Vor dem Inkrafttreten des ISG und seiner Verordnungen müssen weitere Vorgaben erarbeitet oder aktualisiert werden, unter anderem:

 Vorgaben über das Management der Informationssicherheit im Bund (vgl. Art. 15 ISV);

 Klassifizierungskataloge (vgl. Art. 17 Abs. 2 und 3 ISV);

 Vorgaben über den Schutz von klassifizierten Informationen (vgl. Art. 21 Abs. 1 ISV);

 Vorgaben über die Sicherheitsakkreditierung von Informatikmitteln (vgl. Art. 23 Abs. 6 ISV);

 Vorgaben über die Mindestanforderungen für die jeweiligen Sicherheitsstufen der Informatiksi-

cherheit (vgl. Art. 29 Abs. 1 ISV);

 Vorgaben über den physischen Schutz und die Sicherheitszonen (vgl. Art. 34 und 35 ISV);

 die Funktionenlisten für die Personensicherheitsprüfungen (vgl. Art. 3 VPSP).

Nebst dem Erlass von rechtlichen oder technischen Vorgaben müssen drei weitere Voraussetzungen erfüllt sein:

 Die Fachstelle des Bundes für Informationssicherheit (vgl. Art. 83 ISG) muss aufgebaut und in

Betrieb genommen werden. Diese wird Aufgaben und Ressourcen aus dem heutigen Zuständigkeitsbereich des Generalsekretariats des VBS (Digitalisierung und Cybersicherheit VBS, DCS) und des Generalsekretariats des EFD (Nationales Zentrum für Cybersicherheit, NCSC) übernehmen. Der Bundesrat hat am 18. Mai 2022 beschlossen, das NCSC in ein Bundesamt zu überführen. Er hat das EFD beauftragt, bis Ende 2022 Vorschläge auszuarbeiten, wie das