Erläuternder Bericht

«level of assurance») wird bei sicherheitsempfindlichen Systemen höher als bei normalen Anwendungen sein. Nicht nur Personen, sondern auch Computer und sogar Prozesse müssen sich entsprechend «ausweisen».

Art. 32 Personensicherheit

Absatz 1: Die Verwaltungseinheiten müssen jährlich die Sensibilisierung der Mitarbeitenden sicherstellen, die einer PSP unterliegen. Die Vorgesetzten müssen ihre Verantwortung für die personenbezogenen Sicherheitsrisiken aktiv wahrnehmen und sie in die ständigen Führungsaufgaben integrieren. Beispielsweise könnte eine solche Sensibilisierung im Rahmen des Mitarbeitergesprächs erfolgen. Damit würde dieser Punkt mindestens einmal pro Jahr angesprochen.

Absatz 2: Die Praxis hat gezeigt, dass personenbezogene Sicherheitsrisiken nach bestandener PSP nur in Ausnahmefällen wieder thematisiert werden. Im Sinne einer international üblichen Nachsorge (sogenanntes «aftercare») sollen sicherheitsgeprüfte Mitarbeitende ihrem Arbeitgeber Umstände aus ihren privaten und beruflichen Umfeld, welche die Sicherheit gefährden, melden müssen. Solche Umstände können Vorfälle sein, die eine realistische Erpressbarkeit eines oder einer Mitarbeitenden hervorrufen (z. B. Grosse Verschuldung im Rahmen einer Spielsucht, aufgedeckte Alkohol- oder Drogensucht durch eine dritte Person, aufgeflogene aussereheliche Beziehung). Falls eine Meldung erfolgt, wird das Vorgehen in Zusammenarbeit mit dem Personaldienst abgestimmt.

Art. 33 Verdacht auf strafbares Verhalten

Absatz 1: Die Bestimmung soll sicherstellen, dass mögliche Straftaten so schnell wie möglich den zuständigen Strafverfolgungsbehörden überwiesen werden, ohne dass sich die Departemente ausführliche Überlegungen strafrechtlicher oder gar strafprozessualer Natur machen müssen. In diesem Sinne kommt eine strafbare Handlung bereits «in Betracht», wenn erste, auch nicht vollends schlüssige Anzeichen auf strafbares Verhalten hindeuten.

Absatz 2: Hier geht es um die rasche Sicherung greifbarer und teils flüchtiger Beweise. Dafür dürfen keine allzu hohen Hürden aufgestellt werden. Wichtig ist, dass die Verwaltungseinheiten im Rahmen ihrer Beweissicherung keine physischen oder elektronischen Spuren verwischen, hinterlassen oder gar legen. Das hier gemeinte Sichern von Beweisen meint somit nicht auch deren Auswertung; dies ist gegebenenfalls Sache der Strafverfolgungsbehörden auf richterliche Anordnung.

Art. 34 Physische Schutzmassnahmen

Absatz 1: Gestützt auf Artikel 85 ISG erlässt die Fachstelle des Bundes für Informationssicherheit nach Konsultation der für die Objektsicherheit zuständigen Stellen der Bundesverwaltung und der Armee über die minimal erforderlichen Massnahmen zum physischen Schutz von Informationen und Informatikmitteln. Diese Vorgaben gelten nur für die Stellen nach Artikel 2 Absätze 1–3.

Absätze 1 und 2: Als physische Schutzmassnahmen gelten beispielsweise Errichtung von Sicherheitszonen (vgl. Art. 35 und ISG-Botschaft, S. 3032 ff.), Eingangskontrollen in Gebäude, Kameraüberwachungen gewisser Bereiche, Vorrichtungen zur Vernichtung von Informationsträgern oder Arbeitsplatzkontrollen. Für die Durchführung letzterer ist neu die oder der Informationssicherheitsbeauftragte der Verwaltungseinheiten (vgl. Art. 37 Abs. 2 Bst. j) zuständig.

Art. 35 Sicherheitszonen

Absatz 1: Durch die Schaffung von Sicherheitszonen soll das Schadenpotenzial infolge Spionage oder Sabotage in hochsensiblen Zonen (wie Server- oder Führungsräumen) reduziert werden (vgl. ISG-Botschaft S. 3015, 3032 ff.).

Absatz 2: Mit der Bestätigung der Sicherheitsanforderung für die Sicherheitszonen ist keine Sicherheitsakkreditierung nach Artikel 23 gemeint. Sicherheitszonen sind auch nicht mit abhörsicheren Räumen zu verwechseln, für die weiterreichende bauliche und organisatorische Massnahmen nötig sind.

Absatz 3: Gestützt auf Artikel 85 ISG erlässt die Fachstelle des Bundes für Informationssicherheit nach Konsultation der für die Objektsicherheit zuständigen Stellen der Bundesverwaltung und der Armee Vorgaben über die Sicherheitsanforderungen für die Sicherheitszonen und deren Einrichtung. Diese Vorgaben gelten nur für die Stellen nach Artikel 2 Absätze 1–3.