Erläuternder Bericht

Schutz». Massgebend für die Einordnung in eine der drei neuen Schutzstufen sind die öffentlichen Interessen des Bundes nach Artikel 1 Absatz 2 Buchstaben a–e ISG. Der «Grundschutz» gilt neu auch für die Kantone (vgl. Art. 3 ISG), sofern diese unter den Anwendungsbereich des ISG fallen.

Im Gegensatz zu den Einstufungskriterien für klassifizierte Informationen wird im Rahmen der Sicherheitseinstufung der Informatikmittel auf finanzielle Kriterien abgestellt. Dies deshalb, weil eine Verletzung der Verfügbarkeit oder Integrität von Informationen, die mit Informatikmitteln bearbeitet werden, besser quantifizierbar ist als beispielsweise eine Verletzung der Vertraulichkeit eines klassifizierten Dokuments. Die finanziellen Kriterien richten sich nach den Kriterien der Bewertungsmatrix aus dem Risikomanagement Bund.

Art. 29 Sicherheitsmassnahmen

Absatz 1: Die Fachstelle des Bundes für Informationssicherheit erlässt gestützt auf Artikel 85 ISG Vorgaben über die Mindestanforderungen für die jeweiligen Sicherheitsstufen nach Artikel 17 ISG. Diese gelten nur für die Stellen nach Artikel 2 Absätze 1–3.

Absatz 2: Die Fachstelle des Bundes für Informationssicherheit sorgt betreffend Fragen rund um den Datenschutz und der risikobasierten Datensicherheit für eine sinnvolle Koordination mit dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten des Bundes (EDÖB) und den Datenschutzberatern gemäss DSG (vgl. auch Art. 82 Abs. 1 ISG). Zum risikobasierten Ansatz, vgl. Erläuterungen zu Artikel 4 Absatz 1. Die Weisungen der Fachstelle gemäss Absatz 1 sind mit den geltenden Datenschutzbestimmungen abzustimmen. In diesem Zusammenhang ist zu beachten, dass die Begriffe «hoher Schutz» und «sehr hoher Schutz» nach Artikel 17 ISG beispielsweise nicht mit den datenschutzrechtlichen Begriffen «Risiko» «geringes Risiko» oder «hohes Risiko» übereinstimmen.

Absatz 3: Mit den Buchstaben a und b wird zwischen zwei Arten von Risiken unterschieden, welche eine besondere Aufmerksamkeit hinsichtlich der Wirksamkeit der Sicherheitsmassnahmen fordern. Aus diesem Grund ist eine entsprechende Überprüfung fällig, sobald sich wesentliche Änderungen der Risiken abzeichnen, spätestens aber alle fünf Jahre. Die Rechtgrundlage für die periodische Überprüfung findet sich in Artikel 18 Absatz 3 ISG.

Absatz 4: Vgl. Erläuterungen zu Artikel 5 Absatz 4.

Art. 30 Sicherheit beim Betrieb

Absatz 1–4: Die internen Leistungserbringer des Bundes haben bei der Umsetzung der Informationssicherheit eine doppelte Rolle. Einerseits sind sie normale Verwaltungseinheiten, welche die ISV wie alle anderen Verwaltungseinheiten umsetzen müssen. Andererseits sind sie auch für die Sicherheit der Leistungsbezüger von zentraler Bedeutung. Es ist für die Sicherheit deshalb entscheidend, dass die Aufgaben- und Kompetenzteilung klar ist. Die Leistungserbringer haben eine allgemeine Pflicht, ihre Informatikleistungen nach dem Stand der Technik zu erbringen und ihren Leistungsbezügern die nötigen sicherheitsrelevanten Informationen zeitgerecht zur Verfügung zu stellen. Die Verwaltungseinheiten (in der Regel als Leistungsbezüger) sind allerdings dafür verantwortlich, dass die Verantwortlichkeiten für die Sicherheit auf betrieblicher Ebene, einschliesslich für das Schwachstellenmanagement, in den Leistungsvereinbarungen klar festgelegt werden. Sie sind nämlich für die Sicherheit ihrer Daten und Aufgaben verantwortlich.

Absatz 5: Diese Überwachung ist eine reine sicherheitstechnische Angelegenheit, die nichts mit einer allfälligen Überwachung der Mitarbeitenden zu tun hat. Dritte können beispielsweise Personen im Rahmen eines Bug-Bounty-Programms sein.

6. Abschnitt: Personelle Massnahmen und physischer Schutz Art. 31 Prüfung der Identität von Personen und Maschinen

Absatz 1: Gestützt auf Artikel 85 ISG erlässt die Fachstelle des Bundes für Informationssicherheit nach Konsultation der oder des DTI-Delegierten Weisungen über minimalen technischen Anforderungen an die risikobasierte Prüfung der Identität von Personen und Maschinen, die Zugang zu Informationen, Informatikmitteln, Räumlichkeiten und anderen Infrastrukturen des Bundes benötigen. Diese Vorgaben gelten nur für die Stellen nach Artikel 2 Absätze 1–3.

Es geht hier darum festzulegen, wie gut eine Person ihre physische oder elektronische Identität nachweisen muss, um Zugang zu Informationen, Informatikmitteln, Räumlichkeiten und anderen Infrastrukturen des Bundes zu erhalten. Das erforderliche Sicherheitsniveau (das sogenannte