Erläuternder Bericht

Art. 8 Risikomanagement

Absatz 1: Die Beurteilung der Risiken ist eine der Grundlagen für ein wirksames Risikomanagement und damit einer zweckmässigen und wirtschaftlichen Informationssicherheit (vgl. Aufführungen in ISG-Botschaft, S. 3018 f.). Die IT-Grundschutzvorgaben des Bundes bieten einen risikogerechten Schutz gegen eine Grosszahl von Bedrohungen. Sie dienen der vernetzten Informationssicherheit des Bundes und müssen eingehalten werden. Sie ermöglichen eine aufwandarme sicherheitsmässige Pflege von Informatikmitteln, die nicht besonders sicherheitsempfindlich sind. In diesem Fall müssen die Verwaltungseinheiten auch keine komplexen Risikobeurteilungen durchführen.

Es versteht sich von selbst, dass die Beurteilung der Risiken «nachweisbar» erfolgen muss. Die Nachweisbarkeit ist an keine bestimmte Form gebunden. Damit soll im Kontext der Digitalisierung der Einsatz technologieneutraler Nachweismethoden ermöglicht werden.

Absatz 1 Buchstabe a: Die Bewertung der Risiken hinsichtlich deren Auswirkung auf die Schutzobjekte (vgl. Art. 7 Abs. 2) ist in diesem Zusammenhang auch sehr technisch-operativ und richtet sich nach dem Bedarf an Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit der Informationen und des Informatiksystems.

Absatz 1 Buchstabe b: Die Kontrolle der Wirkung kann beispielsweise mittels Penetrationstests oder durch die Erhebung von relevanten Kennzahlen erfolgen.

Absatz 1 Buchstabe c: Vgl. Erläuterungen zum Vorgabemanagement nach Artikel 6.

Absatz 1 Buchstabe d: Verlangt wird ein bewusster Entscheid des Sicherheitsverantwortlichen, das heisst die nachweisbare Akzeptanz von Restrisiken auf Grundlage eines sorgfältig durchlaufenen Analyse- und Entscheidungsprozesses.

Absatz 3: Massgebend sind die Weisungen über die Risikopolitik des Bundes sowie die damit verbundenen Richtlinien und Handbücher.

Art. 9 Bewilligung und Verzeichnung von Ausnahmen

Mit Ausnahmemanagement ist die Bewirtschaftung der Ausnahmen der geltenden Informationssicherheitsvorgaben gemeint. Wie heute das NCSC wird mit der ISV die Fachstelle des Bundes für Informationssicherheit gestützt auf Artikel 85 ISG vorgeben, welche Mindestanforderungen im Bereich Sicherheit erfüllt werden müssen. Kann eine Verwaltungseinheit diese Mindestanforderungen nicht erfüllen, so kann sie eine Ausnahme beantragen. Die Fachstelle kann den Entscheid über Ausnahmen delegieren. So kann die Fachstelle des Bundes für Informationssicherheit selbst, das Departement oder eine bestimmte Person innerhalb des Amts über die Ausnahme entscheiden. Grundsätzlich kann das heutige Verfahren über die Ausnahmebewilligungen gemäss den aktuellen Bestimmungen der CyRV über die Subdelegation nach Absatz 2 übernommen werden.

Art. 10 Zusammenarbeit mit Dritten

Absatz 1: Als «Dritte» gelten gemäss ISG alle Behörden, Organisationen und Personen des öffentlichen oder privaten Rechts, die keine verpflichteten Behörden oder Organisationen sind und grundsätzlich unabhängig von diesen handeln. Auch dezentrale Verwaltungseinheiten gelten als Dritte, sofern sie nicht unter das ISG fallen (vgl. ISG-Botschaft S. 3013 und 3019 f.) oder gewisse Organisationen, die kritische Infrastrukturen betreiben (Art. 2 Abs. 5 ISG).

Absatz 3: Die Informationssicherheitsklauseln in den Verträgen haben die Voraussetzungen gemäss Artikel 9 ISG zu erfüllen (vgl. ISG-Botschaft zu Artikel 9).

Art. 11 Schulung und Sensibilisierung

Wenn die Bundesverwaltung und die Armee ihre Sicherheit nachhaltig verbessern wollen, müssen sie ihre Mitarbeitenden und Angehörigen so sensibilisieren und schulen, dass sie in der Lage sind, Gefahren und Bedrohungen selber zu erkennen, korrekt zu reagieren und entsprechende Sicherheitsmeldungen zu erstatten.

Die Verwaltungseinheiten stellen die generelle die Informationssicherheit betreffende Schulung (wie regelmässige Sensibilisierungs- und Awareness-Kampagnen oder Eintrittsschulungen) für sämtliche Mitarbeitende sowie das notwendige Budget, die Zeit und entsprechende Ressourcen sicher (vgl. Art. 4 Abs. 4). Dies im Gegensatz zu den direkten Vorgesetzten, die gemäss dieser Bestimmung für die funktionsbezogene Schulung ihrer Mitarbeitenden zuständig sind (vgl. Erläuterungen zu Art. 4 Abs. 4).