Erläuternder Bericht

Ziffer 2: Organisationsverordnung für das VBS vom 7. März 2003²³ (OV-VBS): Mit dem ISG und der ISV entfällt der Begriff der «militärischen Geheimhaltung». Die Koordinationsstelle für den Informationsschutz im Bund wird aufgelöst und ihre Aufgaben von der Fachstelle des Bundes für Informationssicherheit wahrgenommen.

Ziffer 3: Verordnung vom 24. Juni 2009²⁴ über internationale militärische Kontakte (VIMK): Mit dem ISG und seinen Ausführungsverordnungen müssen die relevanten Organe und Verordnungen aktualisiert werden.

4.2 Änderung der Verordnung über Identitätsverwaltungssysteme und Verzeichnisdienste des Bundes (IAMV)

Ingress

Mit den Artikeln 24–26 ISG wurde eine spezifische formell-gesetzliche Grundlage für die bestehende IAMV geschaffen, indem die wichtigsten Bestimmungen der Verordnung auf Gesetzesstufe gehoben wurden. Bisher stützte sich die Verordnung auf die Organisationskompetenz des Bundesrats und indirekt auf die gesetzlichen Grundlagen sämtlicher an die IAM-Systeme angeschlossenen Systeme. Gestützt auf Artikel 20 Absatz 2 ISG wird es zudem unter bestimmten Voraussetzungen zulässig sein, in IAM-Systemen biometrische Daten zu bearbeiten. Diese gelten nach dem nDSG als besonders schützenswerte Personendaten (BBl 2020 7639, Art. 5 Bst. c Ziff. 4). Somit wird der Grundsatz relativiert, wonach in IAM-Systemen keine besonders schützenswerten Personendaten bearbeitet werden dürfen (Art. 11 Abs. 3). Weiterhin besteht sodann die Möglichkeit, gestützt auf spezifische Gesetzesbestimmungen ausserhalb des ISG, besonders schützenswerte Personendaten in IAM-Systemen zu bearbeiten. Persönlichkeitsprofile betragen im nDSG keine relevante Grösse mehr und brauchen daher nicht mehr erwähnt zu werden. Ein Profiling im Sinne von Artikel 5 Buchstabe f nDSG findet in IAM-Systemen und Verzeichnisdiensten nicht statt, da diese nicht dazu dienen, persönliche Aspekte von Personen zu bewerten.

Art. 2 Geltungsbereich

Der in Artikel 2 Absatz 2 Buchstabe b ISG verwendete Begriff «Bundesverwaltung» umfasst sowohl die zentrale als auch die dezentrale Bundesverwaltung (vgl. ISG-Botschaft, S. 3012), weshalb der Geltungsbereich neu auf die Verwaltungseinheiten der dezentralen Bundesverwaltung erweitert werden soll, sofern sie Zugriff auf Informatiksysteme der zentralen Bundesverwaltung haben.

Die Inhalte des heutigen Absatzes 2 stellen keine abschliessende Positivliste dar und können daher ersatzlos gestrichen werden (wenn sich eine Behörde oder Stelle freiwillig verpflichten will, die IAMV einzuhalten, so ist dies ohne explizite rechtliche Grundlage möglich).

Art. 3 Abs. 1

Bisher werden Identitäten nachgelagerten IAM-Systemen oder Identitätsspeichern nur passiv zum Selbstbezug angeboten – diese konsumieren die Identitäten nach eigenem Takt, Rhythmus und Bedarf. Im Rahmen von proaktiveren Schutzmassnahmen (z.B. umgehende Berechtigungsveränderungen oder Notfallsperrungen) kann man sich nicht mehr auf den Durchsetzungszeitpunkt der Anmeldung an Anwendungen verlassen, sondern es müssen die nachgelagerten, mit IAM-versorgten Systeme, proaktiv mit diesen sicherheitsrelevanten Informationen versorgt werden. Diese eine neue Art der Versorgung ist wichtig und soll daher in der IAMV verankert werden. Die heutige Formulierung, die vorsieht, dass ein IAM-System die Daten nachgelagerten Systemen oder anderen IAM-Systemen nur «auf Anfrage» zur Verfügung stellt, wird daher entsprechend angepasst, indem die Umschreibung «auf Anfrage» gestrichen wird.

Art. 5 IAM-Systeme

Absatz 1: Neben den bereits heute in der IAM aufgeführten verantwortlichen Bundesorganen werden die weiteren verantwortlichen Bundesorgane (Bst. c und g) von IAM-Systemen aufgeführt.

Absatz 2: Aktuell erfolgt keine Kontrolle der Bearbeitung der Personendaten in IAM-Systemen. Artikel 26 Buchstabe e ISG verlangt nun – im Übrigen nicht nur bezüglich der IAM-Systeme – explizit, dass eine periodische Kontrolle der Bearbeitung von Personendaten durch eine externe Stelle vorgesehen wird. Entsprechend wird in Artikel 5 ein zusätzlicher Absatz eingefügt.

23 SR 172.214.1