Erläuternder Bericht

Absatz 6: Wenn die Kantone klassifizierte Informationen des Bundes bearbeiten, gelten die Bestimmungen des 4. Abschnitts dieser Verordnung. Wenn sie auf Informatikmittel des Bundes zugreifen, gelten für sie die Bestimmungen zur Zuordnung zu den Sicherheitsstufen (Art. 28), Sicherheitsmassnahmen (Art. 29), Sicherheit beim Betrieb (Art. 30) sowie physische Schutzmassnahmen (Art. 35). Die Kantone können sich allerdings von den bundesrechtlichen Vorgaben befreien, wenn sie von sich aus eine gleichwertige Informationssicherheit gewährleisten. Dies setzt voraus, dass sie eigene, an die Bundesstandards angeglichene Sicherheitsvorschriften erlassen, die sie in ihrem Zuständigkeitsbereich durchsetzen. Massgebende Bundestandards sind die Vorschriften und technischen Anforderungen für den Grundschutz der Informatik im Bund sowie für den Schutz von klassifizierten Informationen. Die Kantone sind nicht verpflichtet, ein ISMS nach Art. 5 ff. umzusetzen.

Eine «gleichwertige Informationssicherheit» liegt vor, wenn andere als in der ISV vorgesehene Sicherheitsvorkehrungen nach dem Stand der Technik gemäss Artikel 85 Absatz 1 ISG eine vergleichbare und mindestens gleich hohe beziehungsweise starke Wirkung erzielen. Die Kantone beurteilen in erster Linie in eigenem Ermessen, ob eine gleichwertige Informationssicherheit vorliegt.

Mit dem Begriff «Kantone» sind nebst den Kantonen gemäss Artikel 3 der Bundesverfassung¹⁷ auch öffentlich-rechtliche Körperschaften, Anstalten oder Stiftungen erfasst, die dem Verwaltungsrecht des entsprechenden Kantons unterstehen. Es ist seitens Kantone in jedem Einzelfall zu prüfen, ob eine Organisation oder eine Anstalt (z. B. ein Spital, ein Elektrizitätswerk oder auch ein Finanzinstitut) als Kanton im Sinne des ISG beziehungsweise der ISV gilt. Fällt ein Kanton nicht unter den Geltungsbereich des ISG, wird er als Dritter im Sinne von Artikel 9 ISG behandelt (vgl. Erläuterungen zu Art. 10).

Absatz 6 Buchstabe b: Mit «Zugriff auf Informatikmittel» sind alle Arten von technischen Zugriffen seitens Kantone auf die Informatikmittel des Bundes gemeint. Die Zugriffsfrage muss in jedem Einzelfall geprüft werden. Ob ein Zugriff besteht, entscheidet letztlich der Bund.

2. Abschnitt: Grundsätze Art. 3 Sicherheitsziele

Die Informatikmittel der Organisationen, die der ISV unterstellt sind, weisen zunehmend gemeinsame technische Schnittstellen auf. Aufgrund dessen können Risiken oder Bedrohungen der Organisation oder deren Lieferanten nicht isoliert betrachtet werden. Informationssicherheit ist zwangsläufig eine vernetzte Aufgabe, welche ein gemeinsames Ziel und ein koordiniertes Vorgehen verlangt.

Absatz 1: Der Bundesrat ist bestrebt, dass der Schutz von Informationen und Informatikmitteln nach einem risikobasierten Ansatz gewährleistet wird. Es genügt heute nicht mehr, Sicherheit lediglich nach einer Checkliste umzusetzen. Vielmehr müssen die Verantwortlichen ein aktives Risikomanagement betreiben, die Bedrohungen der Informationssicherheit und deren potenziellen Auswirkungen auf das Geschäft kennen, den Aufwand zum Minimieren von Risiken an deren Grösse anpassen beziehungsweise den Fokus auf die grössten Risiken legen und die effizientesten Massnahmen zur Risikominimierung einsetzen. Mit dem risikobasierten Ansatz soll der Fokus nicht nur auf die Risiken (negative Auswirkungen), sondern auch auf Möglichkeiten und Chancen (positive Auswirkungen) neuer Ideen, Anwendungen oder Technologien gelegt werden. Mit «Resilienz» ist die Widerstandsfähigkeit einer Organisation und die schnelle Wiederaufnahme des Normalbetriebs nach einem Sicherheitsvorfall gemeint.

Art. 4 Verantwortung

Absatz 1 und 2: Gemäss Artikel 45 RVOG die Direktorinnen und Direktoren der Gruppen und Ämter sind gegenüber ihren Vorgesetzten für die Führung der ihnen unterstellten Verwaltungseinheiten sowie für die Erfüllung der ihnen übertragenen Aufgaben verantwortlich. Dies schliesst die Verantwortung für die Informationssicherheit ein. Zwar legt das NCSC heute minimale Informationssicherheitsvorgaben fest, welche dem Schutz der gesamten Bundesverwaltung dienen und die Verwaltungseinheiten mit beschränktem Handlungsspielraum umsetzen müssen. Diese entbinden die Verwaltungseinheiten jedoch nicht von ihrer Verantwortung, die Risiken laufend zu beurteilen und, wenn nötig, weitergehende Massnahmen zu treffen. Zur Kompetenz der Departemente, gewisse Aufgaben anders zu verteilen, vgl. Erläuterungen zu Artikel 39 Absatz 3.

Absatz 3: Bei der Bearbeitung von Informationen oder bei der Nutzung der Informatikmittel des Bundes müssen die Mitarbeitenden die entsprechenden Verhaltensvorschriften einhalten. Die