Erläuternder Bericht

Amt ausgestaltet und in welchem Departement es angesiedelt werden soll. Gleichzeitig werden diverse weitere Fragestellungen zu den sicherheitspolitischen Strukturen des Bundes, einschliesslich der Strukturen im Bereich Cyber, geklärt. Das Ergebnis dieser laufenden Arbeiten ist für die Ansiedlung der Fachstelle des Bundes für Informationssicherheit und ihre Ressourcen massgebend. Der Bundesrat wird erst nach der Vernehmlassung über die administrative Zuordnung der Fachstelle entscheiden.

 Die Informationssicherheitsbeauftragten und weitere Rollenträger müssen geschult werden.

 Mehrere Informationssysteme müssen angepasst oder eingeführt werden. Dies betrifft insbe-

sondere SIBAD, das Informationssystem der PSP, und dessen Umsysteme sowie FABS, das künftige Informationssystem des Betriebssicherheitsverfahrens. Für einen effizienten Betrieb der ISMS durch die Ämter arbeitet der Bund an der Beschaffung und Einführung einer standardisierten ISMS-Anwendung, mit welcher die Aufgaben und Prozesse der Informationssicherheitsverordnung digitalisiert werden. Die ISMS-Anwendung soll Ende 2024 zur Einführung und Nutzung durch die Ämter und Departemente bereitstehen.

Die Umsetzungsarbeiten werden mit den anderen Bundesbehörden und mit den Kantonen koordiniert. Der Bundesrat wird bei Bedarf eine gestaffelte Inkraftsetzung des ISG und seiner Verordnungen beschliessen.

4 Erläuterungen zu einzelnen Artikeln

4.1 Informationssicherheitsverordnung (ISV)

Ingress

Der Ingress verweist auf sämtliche Gesetzesnormen, die dem Bundesrat eine Regelungskompetenz im Rahmen der ISV erteilen.

1. Abschnitt: Allgemeine Bestimmungen Art. 1 Gegenstand

Der Begriff «Informationssicherheit» erfasst die Sicherheit aller Informationen, einschliesslich Personendaten nach der Gesetzgebung über den Datenschutz, für welche die Bundesverwaltung und die Armee verantwortlich sind. Die ISV regelt die Aufgaben, Verantwortlichkeiten und Kompetenzen sowie die Verfahren zur Gewährleistung der Informationssicherheit bei der Bundesverwaltung und bei der Armee, welche im Rahmen des Managements der Informationssicherheit, dem Schutz von klassifizierten Informationen, der Informatiksicherheit und der Massnahmen zur personellen und physischen Sicherheit erforderlich sind. Wie im ISG selbst (vgl. ISG-Botschaft, Erläuterungen zu Art. 1) wird der Begriff «Information» in der ISV nicht definiert. Wenn Personendaten im Sinne der Datenschutzgesetzgebung gemeint sind, wird jeweils der Begriff «Personendaten» verwendet.

Das Verhältnis zwischen dem ISG und dem Datenschutzgesetz vom 19. Juni 1992¹⁶ (DSG) ist in der Botschaft zum ISG ausführlich erläutert (vgl. Botschaft ISG, Ziffer 1.2.3, S. 2977). Die Sicherheitsorgane nach den Artikeln 36 ff. ISV werden im Rahmen des ISMS die Koordination mit den zuständigen Datenschutzberaterinnen und Datenschutzberatern sicherstellen.

Art. 2 Geltungsbereich

Absätze 1–5: Im Rahmen einer Positivliste wird aufgeführt, für welche verpflichteten Behörden und Organisationen (vgl. ISG-Botschaft, Erläuterungen zur Artikel 2 ISG) und unter welchen Bedingungen diese Verordnung gilt.

Zur Geltung des ISG und der ISV für die Verwaltungseinheiten der dezentralen Bundesverwaltung nach Artikel 7a RVOV sowie für Organisationen nach Artikel 2 Absatz 4 RVOG, die mit Verwaltungsaufgaben betraut werden aber nicht der Bundesverwaltung angehören (vgl. Ziff. 3.3 Bst. b).

Für die verpflichteten Behörden nach Artikel 2 Absatz 1 Buchstabe a sowie c–e ISG (Bundesversammlung, eidgenössische Gerichte, Schweizerische Bundesanwaltschaft und ihre Aufsichtsbehörde sowie Schweizerischen Nationalbank) gilt diese Verordnung sinngemäss, sofern diese keine eigenen Ausführungsbestimmungen erlassen. Machen diese Behörden davon Gebrauch, sind sie von der ISV (nicht aber vom ISG) befreit.