Erläuternder Bericht

7. Abschnitt: Sicherheitsorganisation

Eine wichtige Neuerung in der ISV betrifft die Amtsleitungen. Ihnen werden in der ISV konkrete Aufgaben, Kompetenzen und Verantwortlichkeiten im Bereich Informationssicherheit übertragen, die sie bei Bedarf einem Mitglied ihrer Geschäftsleitung delegieren dürfen (Sicherheitsverantwortliche). Die Sicherheitsverantwortlichen werden das ISMS des Amts beaufsichtigen und alle wichtigen Entscheide im Bereich Informationssicherheit treffen. Die operativen Aufsichtstätigkeiten sind Aufgabe der Informationssicherheitsbeauftragten. Mit der ISV werden die heutigen Rollen der «Informatiksicherheitsbeauftragten» und der «Informationsschutzbeauftragten» in der neuen Rolle der «Informationssicherheitsbeauftragten» vereint. Ihre Aufgaben werden entsprechend präzisiert und mit ISMS-relevanten Aufgaben ergänzt.

Ein analoges Modell gilt auf Stufe der Departemente. Die Departemente sind im Sinne der Artikel 37, 38, 41 und 42 RVOG für die Steuerung, Koordination und Überwachung der Informationssicherheit im Departement verantwortlich. Sie bestimmen insbesondere die Informationssicherheitspolitik und die Sicherheitsorganisation des Departements. Die operative Verantwortung für die Sicherheit soll von der Generalsekretärin oder dem Generalsekretär getragen werden. Die Informationssicherheitsbeauftragten nehmen wie bis anhin die operativen Koordinations- und Aufsichtsaufgaben wahr (vgl. Art. 81 ISG).

Die Sicherheitsorganisation unter dem 7. Abschnitt beschreibt die verschiedenen vorgesehen Rollen und Funktionen. Gewisse Rollen wie diejenige der Informationssicherheitsbeauftragten der Verwaltungseinheiten (vgl. Art. 37) können je nach Bedürfnissen eines Amts von mehreren Personen themenspezifisch besetzt werden. Das gleiche gilt für alle anderen Rollen nach den Artikeln 37 ff. Keine Rolle ist nur an eine Person gebunden. Davon ausgenommen ist die Rolle nach Artikel 35: Der Sicherheitsverantwortliche der BK und der Verwaltungseinheiten kann nur durch eine Person repräsentiert werden.

Stellvertretende Personen müssen für alle Aufgaben der primären Rolle fachlich und persönlich geeignet sein. Die stellvertretende Person muss so geschult oder ausgebildet werden, dass sie die primäre Rolle jederzeit und vor allem in einer Notsituation in vernünftigem Masse vertreten kann.

Art. 36 Sicherheitsverantwortliche der BK und der Verwaltungseinheiten

Absatz 1: Mit «verantwortlich» ist die persönliche Pflicht zur Rechenschaft gegenüber der vorgesetzten Stelle gemeint. Sie setzt voraus, dass der verantwortlichen Person Befugnisse – insbesondere finanziell – zustehen, Massnahmen zu veranlassen, zu überprüfen oder zu korrigieren. Davon abzugrenzen ist die Pflicht zur Durchführung von Aufsichtsmassnahmen. In diesem Fall ist die beauftragte Person für die Durchführung verantwortlich und einzig dafür rechenschaftspflichtig.

Absatz 2: Mit der Delegation der Sicherheitsverantwortung wird auch die persönliche Rechenschaftspflicht delegiert. Aus diesem Grund sollte die Delegation nachweisbar erfolgen (vgl. Erläuterungen Art. 8 Abs. 2 Bst. a).

Absatz 3 Buchstabe b: Grundsätzlich werden sämtliche wichtige Entscheide, welche die Informationssicherheit betreffen, von dieser Rolle getroffen.

Absatz 4: Die Beauftragung der Informationssicherheitsbeauftragten nach Artikel 37 kann zum Beispiel über interne Weisungen oder über die Festlegung von Jahreszielen im Sinne von Artikel 5 Absatz 2 erfolgen. Zum Begriff «Interessenkonflikt», vgl. ISG-Botschaft zu Artikel 82 Absatz 3.

Art. 37 Informationssicherheitsbeauftragte der Verwaltungseinheiten

Die Bezeichnung einer offiziellen Stellvertretung ist neu. Diese Rolle entspricht weitgehend dem heutigen Informatiksicherheitsbeauftragten der Verwaltungseinheiten (ISBO).

Art. 38 Informationssicherheit bei den Standarddiensten

Grundsätzlich hat diese Rolle bei den Standarddiensten die gleichen Aufgaben wie die Rolle der Informationssicherheitsbeauftragten der Verwaltungseinheiten nach Artikel 37.

Art. 39 Sicherheitsverantwortung der Departemente

Absätze 1 und 2: Die Steuerung und Überwachung der Informationssicherheit sind strategische Aufgaben und die Kernaufgaben der Departemente (vgl. Art. 38 RVOG, Erläuterungen zu Art. 5 Abs. 1).