Erläuternder Bericht

ISMS oder nur bestimmte Teile davon überprüft werden. Die betroffene Verwaltungseinheit trägt die Entscheidungsbefugnis über die Wahl einer unabhängigen Prüfstelle. Solche Prüfungen können entweder durch die internen Aufsichtsstrukturen der Departemente oder durch eine externe Firma durchgeführt werden (vgl. Aufführungen in ISG-Botschaft, S. 3018). Denkbar wäre auch der Einsatz eines Pools von ISMS-Auditoren aus den Verwaltungseinheiten eines Departements oder des Bundes. Der kontinuierliche Verbesserungsprozess ist für die Gewährleistung der Informationssicherheit zentral. Diesem wird mit solchen Überprüfungen Rechnung getragen.

Absatz 4: Absatz 4 zeigt den engen Bezug des ISMS zum Risikomanagement Bund, zum betrieblichen Kontinuitätsmanagement und zum Krisenmanagement auf. Es handelt sich dabei um Managementaufgaben, die ausserhalb des Geltungsbereichs der ISV liegen, welche aber die Verwaltungseinheiten eng aufeinander abstimmen und koordinieren müssen.

Art. 6 Pflege der Rechtsgrundlagen und vertraglichen Verpflichtungen

Absatz 1: Ein Verzeichnis über die im eigenen Zuständigkeitsbereich massgebenden Rechtsgrundlagen sowie vertraglichen Verpflichtungen im Bereich Informationssicherheit dient dem Nachweis der Einhaltung der relevanten Rechtsgrundlagen, welche es beispielsweise im Rahmen der Messung der jährlichen Zielerreichung des ISMS (vgl. Art. 5 Abs. 2 oder der ISMS-Überprüfung nach Art. 5 Abs. 3) zu prüfen gilt. Aufgrund der wachsenden Lieferketten im Bereich der Informationssicherheit ist eine Übersicht über die zu leistenden Verpflichtungen und zu beanspruchenden Rechte unabdingbar und fördert nicht zuletzt die Nutzung von Synergien anderer bereits bestehender Vertragsverhältnisse.

Absatz 2: Die Fachstelle des Bundes für Informationssicherheit ist zwingend beratend (Konsultationspflicht), sie hat jedoch keine inhaltliche Weisungsbefugnis. Beurteilungen und Einschätzungen einer Bundesfachstelle kommen jedoch ein grosses Gewicht zu. Abweichungen sollten stets gut begründet und insbesondere gleichwertig sein. Diese Konsultationspflicht bezieht sich auf sicherheitsrelevante Vorgaben (z. B. Weisungen und Richtlinien) oder Vorhaben (z. B. sicherheitsrelevante IT-Projekte) der Verwaltungseinheiten oder Departemente.

Art. 7 Inventarisierung der Schutzobjekte

Absatz 1: Ein Inventar enthält eine Auflistung sämtlicher Schutzobjekte gemäss Artikel 7 Absatz 2 zu einem bestimmten Zeitpunkt (sogenannte Inventarliste).

Absatz 2: Heute kennt die CyRV nur das «Informatikschutzobjekt» (vgl. Art. 3 Bst. h CyRV), was mit Buchstabe b abgedeckt wird. Informationen werden aber nicht immer in einem einzigen, dedizierten Informationssystem bearbeitet. Dies ist zum Beispiel der Fall, wenn eine Aufgabe in der allgemeinen Informatikumgebung des Bundes erfüllt wird oder die Informationen in einer externen Cloud bearbeitet werden. Mit dem Schutzobjekt «Informationen» im Sinne von Buchstabe a wird deshalb von der Abhängigkeit zu einem bestimmten Informatikmittel abgesehen und nur der Schutz der Informationen beurteilt, die zur Erfüllung der Aufgabe bearbeitet werden. Grundsätzlich kommen aber dieselben Kriterien und Methoden zur Beurteilung des Schutzbedarfs wie bei Informatikschutzobjekten zum Einsatz. Mit dem Begriff «Aufgabe des Bundes» wird nicht jede Aufgabe subsumiert, sondern wichtige Geschäftsprozesse einer Verwaltungseinheit. Die Vorgaben der Fachstelle des Bundes für Informationssicherheit (vgl. Art. 15) werden dies präzisieren.

Absatz 3: Nur eine aktuelle Inventarliste kann den laufenden Nachweis über alle die Schutzobjekte betreffenden Informationen nach den Buchstaben a–g gewährleisten.

Absatz 3 Buchstabe c: Die Möglichkeit der geteilten Nutzung der jeweiligen Schutzobjekte (vgl. Bst.

e) verweist auf das «Once-Only-Prinzip». Dabei entscheiden die Verwaltungseinheiten in eigenem Ermessen, welche Schutzobjekte mit anderen Verwaltungseinheiten geteilt werden.

Absatz 3 Buchstabe d: Die Übersicht über vertragliche Bindungen zu Dritten (vgl. Erläuterungen zu Art. 10 Abs. 1 ISV), beispielsweise zu Informatiklieferanten, dient einerseits dem funktionierenden Lieferantenmanagement und ermöglicht es, eventuelle Abhängigkeiten des Bundes von Lieferanten frühzeitig zu erkennen (inkl. Beurteilung der Gefahr von Klumpenrisiken). Sie ermöglicht andererseits die Identifizierung von Risiken, die über diese Lieferanten Auswirkungen auf den Bund haben können.

Absatz 3 Buchstabe f: Bezüglich Restrisiken vgl. Erläuterungen zu Artikel 9.

Absatz 3 Buchstabe g: Vgl. Erläuterungen zu Artikel 14 in Verbindung mit 6 Absätze 2 und 3.