Erläuternder Bericht

Wahrnehmung dieser Verantwortung setzt voraus, dass sie entsprechend instruiert und ausgebildet werden (vgl. Erläuterungen zu Art. 4 Abs. 4 und Art. 11 ISV).

Mit «Mitarbeitenden der Bundesverwaltung» sind interne und externe Mitarbeitende gemeint, die der Weisungsbefugnis des Bundes unterstehen: «Interne» Mitarbeitende sind Angestellte des Bundes gemäss BPG; «externe» Mitarbeitende hingegen sind Personen, die mittels eines Personalverleihvertrages angestellt sind. Keine Mitarbeitenden des Bundes sind hingegen selbständige Privatpersonen oder Mitarbeitende von Unternehmen, die beispielsweise basierend auf einem Vertragsverhältnis für den Bund beratend tätig sind oder für diesen Dienst- oder Sachleistungen erbringen (wie Softwareentwicklung, Netzwerkausbau, Bau eines Serverraums, Übernahme der Projektleitung etc.). Solche Personen gelten als «Dritte» (vgl. Erläuterungen zu Artikel 10). Bei Dritten ist die vorschriftsgemässe Handhabung hinsichtlich der Schutzobjekte ggf. über entsprechende Verträge im Sinne von Artikel 9 ISG sicherzustellen.

Absatz 4: Die Vorgesetzten aller Stufen tragen auch im Bereich der Informationssicherheit die Verantwortung für die funktionsbezogene, praxisnahe Instruktion und Ausbildung ihrer Mitarbeitenden sowie für die Überprüfung der Einhaltung der Vorschriften. Somit obliegt es den Vorgesetzten, ihren Mitarbeitenden praktisch zu erklären, wie sie mit geschützten Informationen umgehen müssen, sie auf den vorgabenkonformen konsequenten Einsatz von Verschlüsselungssoftware aufmerksam zu machen oder dafür zu sorgen, dass sie die angebotenen Schulungen besuchen. Zur Verantwortung der Verwaltungseinheiten, vgl. Erläuterungen zu Artikel 11.

3. Abschnitt: Management der Informationssicherheit

Die Artikel 5 bis 15 ISV definieren die minimalen Anforderungen an das Management der Informationssicherheit in der Bundesverwaltung und in der Armee. Sie legen für die Kernaufgaben der Informationssicherheit jeweils die Zuständigkeiten der Ämter, der Departemente und der Fachstelle des Bundes für Informationssicherheit fest. Letztere wird dazu Bearbeitungsvorgaben (vgl. Art. 21 Abs. 1) oder generell-abstrakte Weisungen (vgl. Art. 29 Abs. 1) erlassen, welche den risikobasierten Ansatz berücksichtigen.

Art. 5 Informationssicherheits-Managementsystem

Absatz 1: Ein ISMS umfasst Verfahren und Regeln, die aufzeigen, wie Informationssicherheit in einem System organisiert ist und macht sichtbar, welche Aufgaben, Kompetenzen und Verantwortlichkeiten entsprechenden Personen zugeordnet werden. Mit dem Begriff «ISMS» wird implizit auf die Norm ISO/IEC 27001 verwiesen, die sowohl in der Privatwirtschaft als auch vermehrt in öffentlichen Verwaltungen als Standard gilt. Von den Verwaltungseinheiten wird aber lediglich ein «ISMS light» verlangt; d.h. sie müssen nicht die ganze ISO-Norm umsetzen, sondern nur die wichtigsten in der ISV definierten Managementprozesse. Künftige Vorgaben werden diese Managementprozesse präzisieren. Eine externe Zertifizierung wird nicht verlangt. Den Verwaltungseinheiten und Departementen steht es jedoch frei, ein höheres Ambitionsniveau festzulegen.

Während die Sicherheitsverantwortlichen der Verwaltungseinheiten (vgl. Art. 36) den Aufbau, den Betrieb, die Überprüfung und die kontinuierliche Verbesserung des ISMS sicherstellen, obliegt der eigentliche Betrieb des ISMS dem Informationssicherheitsbeauftragten der Verwaltungseinheit (vgl. Art. 37 Abs. 2 Bst. a). Der Letztere wird vom Ersten beauftragt. Gemäss Artikel 48 Absatz 4 muss ein ISMS bis spätestens drei Jahre nach Inkrafttreten der ISV aufgebaut sein.

Absatz 2: Ein ISMS bezweckt, die Informationssicherheit in der Verwaltungseinheit zu führen und zu verbessern. Dafür werden konkrete Ziele benötigt, anhand derer die Amtsleitung beurteilen kann, ob es die gewünschte Wirkung erbringt. Diese jährliche Zielsetzung und -messung ist eine Führungsaufgabe der Amtsleitung und ist abzugrenzen von der Erstellung des jährlichen Kontroll- und Auditplans nach Artikel 13.

Absatz 3: Um eine gewisse Objektivität und Vergleichbarkeit bei der Bewertung der Umsetzung und Wirksamkeit des ISMS sicherzustellen, wird eine periodisch durchgeführte Überprüfung durch eine vom Amt unabhängige Stelle oder vom Departement verlangt. Diese unabhängige ISMS-Überprüfung schafft ein Vertrauen für die anderen Ämter und sorgt gleichzeitig für die kontinuierliche Verbesserung der Sicherheit im Amt selber.

Die Periodizität von drei Jahren richtet sich zwar nach dem offiziellen Zertifizierungszyklus der ISO-Norm, der Umfang der vorgeschriebenen Überprüfung ist jedoch deutlich weniger ambitiös als im ISO-Standard: Verlangt wird nicht zwangsläufig ein formelles Audit im Sinne der ISO-Norm, obschon ein solches Audit zu begrüssen wäre. Je nach Auftrag können zudem das gesamte