Erläuternder Bericht

Absatz 2: Das BAR hat die Aufgabe, den Schutz des vom zentral archivierten und klassifizierten Archivguts zu gewährleisten. Es kann somit von den Standardanforderungen und –massnahmen der Fachstelle des Bundes für Informationssicherheit nach Artikel 85 ISG abweichen. Das BAR muss klassifiziertes Archivgut jedoch so schützen, dass die umgesetzte Sicherheit dem vom Archivgut ausgehenden Risiko entspricht.

Absatz 3: Die Schutzfrist von Archivgut (inkl. klassifiziertem Archivgut) wird nach deren Ablauf nicht automatisch verlängert. Die Klassifizierung hingegen entfällt automatisch mit Ablauf der Schutzfrist. Das heisst, nach Ablauf der Schutzfrist besteht ein umfassendes Einsichtsrecht in das Archivgut (vgl. Art. 10 Abs. 1 der Archivierungsverordnung vom 8. September 1999²⁰ (VBGA)). Die meisten klassifizierten Informationen erfordern nach Ablauf der 30- oder 50-jährigen Schutzfrist keine Verlängerung derselben. Hingegen kann es beispielsweise bei bestimmten militärischen Bauten oder Projekten gerechtfertigt sein, die Schutzfrist vor deren Ablauf zu verlängern (vgl. Art. 12 des Archivierungsgesetzes vom 26. Juni 1998²¹ (BGA) in Verbindung mit Art. 14 VBGA).

Für die rechtzeitige Initiierung einer Verlängerung der Schutzfrist ist das zuständige Amt verantwortlich. Die Schutzfristen für die abgelieferten Unterlagen sind dem Ablieferungsverzeichnis zu entnehmen, welches die zuständige Verwaltungseinheit in den GEVER-Systemen (ActaNova) verwaltet. Bestände, die aufgrund überwiegender schutzwürdiger öffentlicher und privater Interessen verlängert geschützt werden (vgl. Art. 12 BGA und Art. 14 VBGA), werden im Anhang 3 der VBGA aufgeführt (vgl. Art. 14 Abs. 5 VBGA).

5. Abschnitt: Sicherheit beim Einsatz von Informatikmitteln Art. 27 Sicherheitsverfahren

Das heutige Sicherheitsverfahren gemäss Artikel 14b–14e CyRV wird grundsätzlich übernommen.

Absatz 1: Der aktuelle Schutzbedarf ist mittels den Kriterien der Sicherheitsstufen gemäss Artikel 28 zu erheben.

Absatz 2: Abweichungen zu den Vorgaben erfordern stets eine ausdrückliche Bewilligung der Vorgabestelle (vgl. Erläuterungen zur Bewilligung von Ausnahmen nach Art. 9 ISV).

Der heute bei den Informatikvorgaben verankerte Risikomanagementmethode zur Reduktion nachrichtendienstlicher Ausspähung wird durch die Regelungen zum Betriebssicherheitsverfahren abgedeckt und benötigt keine gesonderte Regelung mehr (vgl. Art. 55–58 ISG).

Absatz 3: Ein Restrisiko kann grundsätzlich ein akzeptiertes Risiko oder unbekanntes Risiko sein (vgl. Handbuch Risikomanagement Bund). Ein Restrisiko nach der ISV ist einzig das Erstere. Wenn das ursprüngliche Risiko mittels Risikosteuerungsmassnahmen (wie Risikovermeidung, Risikoverminderung oder Risikotransfer) auf ein angemessenes Mass reduziert wird, spricht man vom Restrisiko.

Absatz 4: Die «nachweisbare» (vgl. Erläuterungen zu Art. 8 Abs. 2) Akzeptanz von Restrisiken ist wichtig, denn diese bestätigt einen durchlaufenen Analyse- und Entscheidungsprozess und damit einen bewussten Entscheid über die in Kauf genommenen Restrisiken. Die Delegation dieses bewussten Entscheids kann generell über eine Weisung oder fallweise (z. B. im Rahmen eines IT-Projekts) an ein anderes Geschäftsleitungsmitglied (ebenfalls nachweisbar) erfolgen.

Absätze 5 und 6: Mit einer neuen oder wiederkehrenden Bedrohung kann eine bereits vorliegende Risikoanalyse ganz oder teilweise in Frage gestellt werden, weshalb das Risikokonzept gegebenenfalls anzupassen ist.

Aufgrund der rasant fortschreitenden Technologieentwicklung und stets zunehmend komplexeren Bedrohungslagen im Informationssicherheitsbereich muss jährlich überprüft werden, ob eine sicherheitsrelevante Änderung stattgefunden hat. Damit entfällt auch die fünfjährige Frist zur Wiederholung des Sicherheitsverfahrens gemäss Artikel 14e Absatz 1 CyRV.

Art. 28 Zuordnung zu den Sicherheitsstufen «hoher Schutz» und «sehr hoher Schutz»

Neu werden Informatikmittel (vgl. Legaldefinition Art. 5 Bst. a in Verbindung mit Art. 17 ISG) in drei Sicherheitsstufen unterteilt: «Grundschutz», «hoher Schutz» und «sehr hoher Schutz». Dies im Unterschied zur heutigen CyRV, die nur zwei Sicherheitsstufen vorsieht: «Grundschutz» und «erhöhter