Erläuternder Bericht

Erläuternder Bericht

1 Ausgangslage

Am 18. Dezember 2020 hat die Bundesversammlung das Informationssicherheitsgesetz (ISG) verabschiedet.¹ Die Referendumsfrist ist Mitte April 2021 unbenutzt abgelaufen. Das neue Gesetz schafft einen einheitlichen formell-gesetzlichen Rahmen für die Informationssicherheit beim Bund.

Der Begriff «Informationssicherheit» umfasst die Gesamtheit aller Anforderungen und Massnahmen, mit denen die Vertraulichkeit, die Integrität, die Verfügbarkeit und die Nachvollziehbarkeit von Informationen und Daten aller Art sowie die Verfügbarkeit und die Integrität von Informatikmitteln geschützt werden. Da Informationen heute mehrheitlich elektronisch bearbeitet werden, wird ein Schwergewicht auf die «Cybersicherheit» gelegt. Der Begriff «Informationssicherheit» umfasst aber alle Bearbeitungsvorgänge, also auch Papierdokumente und mündliche Äusserungen, und nicht nur die elektronische Bearbeitung. Umgangssprachlich werden beide Begriffe dennoch oft als Synonym verwendet.

Die vorliegenden Ausführungserlasse zum ISG wurden in Zusammenarbeit mit Vertreterinnen und Vertretern der anderen Bundesbehörden und der Kantone erarbeitet. In seiner Botschaft vom 22. Februar 2017² zum Informationssicherheitsgesetz (ISG-Botschaft) hat der Bundesrat angekündigt, dass er die anderen Bundesbehörden und die Kantone für alle wichtigen Regelungen zur Stellungnahme einladen würde (Vgl. Ziff. 1.5, S. 3009). So kann einerseits ein möglichst einheitliches Sicherheitsniveau erreicht und andererseits den Bedürfnissen aller Bundesbehörden sowie der Kantone gebührend Rechnung getragen werden. Deshalb wird ein Vernehmlassungsverfahren durchgeführt.

2 Rechtsvergleich, insbesondere mit dem europäischen Recht

In vielen Ländern aus dem europäischen Umfeld werden die Rechtsgrundlagen zur Informationssicherheit an die neue Realität der Informationsgesellschaft angepasst. Aufgrund der teilweise sehr unterschiedlichen Rechtsordnungen und staatlichen Grundstrukturen können die entsprechenden Regelungen in Bezug auf Normenhierarchie und Geltungsbereich kaum verglichen werden. Hingegen kann festgehalten werden, dass die Bestimmungen des ISG und seiner Ausführungserlasse grundsätzlich mit den Regelungen der verglichenen Staaten entweder übereinstimmen oder zumindest harmonisiert sind. Im organisatorischen Bereich wird der Bund mit der Fachstelle des Bundes für Informationssicherheit über eine einzige Anlaufstelle im internationalen Verhältnis verfügen. Dadurch soll die internationale Zusammenarbeit im Bereich der Informationssicherheit einfacher und effizienter werden.

3 Grundzüge der Vorlagen

3.1 Umfang des Ausführungsrechts zum ISG

Das Ausführungsrecht zum ISG umfasst vier Verordnungen:

 eine neue Informationssicherheitsverordnung (ISV, vgl. Ziff. 3.3);

 eine Änderung der bestehenden Verordnung vom 19. Oktober 2016³ über Identitätsverwaltungs-

Systeme und Verzeichnisdienste des Bundes (IAMV, vgl. Ziff. 3.4);

 eine neue Verordnung über die Personensicherheitsprüfungen (VPSP, vgl. Ziff. 3.5);

 eine neue Verordnung über das Betriebssicherheitsverfahren (VBSV, vgl. Ziff. 3.6).

Der Bundesrat hat am 12. Januar 2022 die Vernehmlassung zur Vorlage für die Einführung einer Meldepflicht für Cyberangriffe bei kritischen Infrastrukturen eröffnet. Die Einführung einer solchen Meldepflicht bedingt die vollständige Überarbeitung des 5. Kapitels des ISG. Diese Revision des ISG samt Verordnung soll Ende 2023 in Kraft treten. Daher ist es nicht zielführend, eine neue Verordnung für den heutigen Bedarf zu verabschieden, die wenige Monate später bereits totalrevidiert wird. Aus diesem Grund wird vorerst auf den Erlass von Ausführungsbestimmungen zum 5. Kapitel des ISG verzichtet.