Erläuternder Bericht

ISG), soll eine Koordination mit der für das Betriebssicherheitsverfahren zuständigen Fachstelle Betriebssicherheit dazu dienen, dass der Bund nicht mehrmals dasselbe bei einem Partner kontrolliert.

Absatz 3: Die Fachstelle des Bundes für Informationssicherheit kann auf Antrag der Bundesbehörden Überprüfungen durchführen (vgl. Art. 83 Abs. 1 Bst. c ISG). Das Ambitionsniveau wird hier bewusst tiefgehalten und es wird zurzeit auf den Ausbau der Auditfähigkeit der Fachstelle des Bundes für Informationssicherheit verzichtet. Die Eidgenössische Finanzkontrolle (EFK) führt nämlich seit Jahren qualitativ hochwertige Audits und Querschnittsprüfungen im Bereich der Informationssicherheit durch. Diese Audits nehmen die Risiken, die im Fokus der Fachstelle des Bundes für Informationssicherheit stehen, ins Visier und decken damit den Bedarf auf Stufe Bund ab.

Art. 14 Berichterstattung

Absätze 1 und 2: Die Berichterstattung umfasst insbesondere: Den Stand und die Wirksamkeit der ISMS der Verwaltungseinheiten; den Stand der Schutzobjekte, der Umsetzung der Sicherheitsmassnahmen und der Übernahme der Restrisiken; den Stand der Ausbildung; Angaben über die für das Departement oder die BK durchgeführten Personensicherheitsprüfungen und Betriebssicherheitsverfahren; die Erkenntnisse aus Sicherheitsvorfällen und Sicherheitslücken sowie die getroffenen und geplanten Verbesserungsmassnahmen; die Erkenntnisse aus den Kontrollen und Audits sowie die getroffenen und geplanten Verbesserungsmassnahmen.

Absatz 3: Um eine nachhaltige Verbesserung der Informationssicherheit beim Bund bewirken zu können, ist eine kontinuierliche kritische Überprüfung der Wirksamkeit der Informationssicherheit sowie eine stete Anpassung sinnvoller Sicherheitsmassnahmen notwendig.

Art. 15 Vorgaben zum Management der Informationssicherheit

Dieser Artikel bezieht sich auf Artikel 85 ISG. Die Fachstelle hat vom Bundesrat die Kompetenz erhalten, die Vorgaben zum Management der Informationssicherheit (Art. 5–14) zu erlassen. Diese Vorgaben gelten nur für die Stellen nach Artikel 2 Absätze 1–3, welche im Zuständigkeitsbereich des Bundesrates liegen.

4. Abschnitt: Klassifizierte Informationen

Die Artikel 18–20 beschreiben die materiellen Voraussetzungen für die Klassifizierung von Informationen (vgl. ISG-Botschaft zu Art. 13). Im Vergleich zur heutigen ISchV wurden die Schwellenwerte für die Klassifizierung INTERN, VERTRAULICH und GEHEIM erhöht. Mit der Erhöhung der Schwelle für INTERN, VERTRAULICH und GEHEIM klassifizierte Informationen soll es künftig möglich sein, zielgerichteter zu klassifizieren. Damit sollte es in der Bundesverwaltung künftig insgesamt weniger klassifizierte Informationen geben, mit entsprechender Auswirkung auf die Ressourcen. Im Weiteren hat diese Massnahme einen direkten Einfluss auf die Anzahl Personensicherheitsprüfungen (PSP). Mit der Erhöhung der Klassifizierungsschwelle sollte es inskünftig weniger Funktionen geben, für deren Ausübung die Bearbeitung von VERTRAULICH klassifizierten Informationen erforderlich ist (vgl. VPSP sowie Erläuterungen dazu).

Art. 16 Grundsätze

Absatz 1: Die Klassifizierung ist zwingend, sofern die entsprechenden Kriterien nach den Artikeln 18 ff. ISV erfüllt sind. Das «Need-to-Know-Prinzip» nach Artikel 14 ISG ist strikt einzuhalten. Das Klassifizieren von Material ist ein Anwendungsfall der Klassifizierung von Informationen, für welchen grundsätzlich dieselben Beurteilungsmethoden und Schutzvorkehrungen gelten (inkl. Vorschriften gemäss VPSP und VBSV; vgl. ISG-Botschaft, S. 3020).

Absatz 2: Durch Zusammenfügung von klassifizierten oder nichtklassifizierten Informationen oder Informationsträgern (wie Papier, Hardware, Funkgeräte) kann ein Sammelwerk entstehen, welches einen höheren Schutzbedarf aufweist als eine darin enthaltene isolierte Information. Dies ist typischerweise bei Datenbanken der Fall (z. B. das Produkt «deepl.com» als Cloud-Lösung oder beim Hosting des Intranets Bund, da das Hosting in der Cloud stattfinden kann). Ebenfalls können inskünftig vermehrt durch künstliche Intelligenz getriebene Produkte aus simplen isolierten Informationen zu klassifizierende Sammelwerke entstehen.