Erläuternder Bericht

Art. 12 Vorfallmanagement

Absatz 1: Für die Bewältigung von Sicherheitsvorfällen und -lücken sind die Verwaltungseinheiten verantwortlich. Als «Sicherheitsvorfall» gilt ein Ereignis, bei dem die Informationssicherheit oder die entsprechenden Sicherheitsvorgaben verletzt werden oder wurden. Ein «Beinahe-Sicherheitsvorfall» gilt auch als Sicherheitsvorfall. Ein solcher liegt vor, wenn die Informationssicherheit hätte verletzt werden können. Als «Sicherheitslücke» gilt hingegen ein Mangel bei einem Informatikmittel, dessen Ausnutzung die Informationssicherheit verletzen kann. Wichtig ist die Festlegung vorab, wer im Ernstfall über Sofortmassnahmen entscheidet und wer bei solchen Entscheidungen zu konsultieren oder zu informieren ist. Wer die Entscheidkompetenz über Sofortmassnahmen inne hat, muss über das notwenige Verständnis der Auswirkung einer solchen Massnahme verfügen.

Absatz 2: Diese Bestimmung deckt sich zum heutigem Recht (vgl. Art. 14 Abs. Abs. 4 Bst. c CyRV), mit Ausnahme, dass neu auch «Beinahe-Sicherheitsvorfälle» zu melden sind.

Absätze 3 und 6: Mit der Kann-Vorschrift wird betont, dass die Fachstelle des Bundes für Informationssicherheit unterstützend tätig sein kann, aber eben nicht muss. Die Unterstützung der Fachstelle des Bundes für Informationssicherheit erfolgt grundsätzlich auf Anfrage der Verwaltungseinheiten oder Departemente und ist neben der Bedeutung und Wichtigkeit des Vorfalls auch abhängig von ihren Ressourcen (vgl. auch Absatz 6).

Absatz 4: Vgl. neue Meldepflichten für Verletzungen der Datensicherheit gemäss künftigem Datenschutzgesetz (nDSG, vgl. Art. 24), welches per 1. September 2023 in Kraft gesetzt werden soll.

Absatz 5 Buchstaben b und d: Vgl. ISG-Botschaft zu Artikel 17 beziehungsweise 88 ISG.

Absatz 5 Buchstabe e: Die hohe politische Bedeutung hängt von den betroffenen politischen Interessen ab. Diese ist in jedem Einzelfall zusammen mit der für die Sicherheit verantwortlichen Person des entsprechenden Departements (vgl. Art. 39) zu prüfen.

Absatz 7: Mit «Federführung» ist die operative Entscheidungskompetenz gemeint. Die Verantwortung für die Informationssicherheit trägt jedoch nach wie vor die Verwaltungseinheit oder das betroffene Departement (vgl. Erläuterungen zu Art. 4). Übernimmt die Fachstelle des Bundes für Informationssicherheit die Federführung, kann sie beispielsweise selbständig Sofortmassnahmen anordnen oder den Einsatz von Spezialisten (inkl. Dritte nach Art. 10) zur Unterstützung einsetzen. In diesem Zusammenhang anfallende Kosten gehen voll zu Lasten der verantwortlichen Verwaltungseinheit oder des Departements und erfolgen in Rücksprache mit diesen. Die Übernahme der Federführung hat nachweisbar zu erfolgen (vgl. Erläuterungen zu Art. 8 Abs. 1).

Art. 13 Planung von Kontrollen und Audits

Eine wesentliche Lücke im Management der Informationssicherheit der Bundesverwaltung und der Armee sind heute die fehlenden Kontrollen und Audits. Nur mit angemessenen Audits können Organisationen wissen, in welchem Zustand sich ihre Informationssicherheit befindet, welche Risiken bestehen und welche Korrekturmassnahmen erforderlich sind (vgl. ISG-Botschaft, S. 2978). Diese Bestimmung verlangt deshalb, dass die Verwaltungseinheiten und die Departemente jährlich festlegen, welche risikobasierten Kontrollen und Audits sie das nächste Jahr durchführen werden und wieso. Wird eine Überprüfung des ISMS nach Artikel 5 Absatz 3 ISV geplant, so ist diese Überprüfung in den Kontroll- und Auditplan einzutragen. Der Auditplan und die dafür nötigen Ressourcen werden durch die Sicherheitsverantwortliche oder den Sicherheitsverantwortlichen der Verwaltungseinheit genehmigt (vgl. Art. 36 Abs. 3 Bst. d). Artikel 13 legt nicht fest, wie viele Kontrollen und Audits durchgeführt werden müssen. Dieser Entscheid obliegt einzig der Verwaltungseinheit. Mit dem zwingend zu erstellenden Kontroll- und Auditplan muss die Amtsleitung einen positiven, nachvollziehbaren Entscheid treffen.

«Kontrollen» im Sinne dieser Verordnung sind punktuelle Überprüfungen, die einen eingeschränkten Geltungsbereich haben, informell mit wenigen Kräften durchgeführt werden können und oft günstiger sind als Audits. Zum Bespiel kann eine Verwaltungseinheit die Kontrolle der Aktualität der Sicherheitsdokumentation oder die Kontrolle der Einhaltung der «Clean-Desk»-Policy planen. «Audits» verlaufen hingegen nach einem formalisierten Verfahren und werden oft durch eine unabhängige Stelle durchgeführt. In einem Audit wird untersucht, ob Systeme, Prozesse oder Managementsysteme die geltenden Vorgaben oder geforderten Standards und Normen einhalten.

Absatz 2: Kontrollen und Audits können auch, sofern die Verträge mit Dritten dies zulassen, die Einhaltung der Vorschriften bei Dritten, beispielsweise bei Lieferanten, beinhalten. Wird eine solche Kontrolle geplant und verfügt der Dritte über eine Betriebssicherheitserklärung (vgl. Art. 61 ff.