Erläuternder Bericht

aufwand» wird im Amt auf mehrere Stellen (Amtsleitung, Informatik, Recht, Personal und Anwendungsverantwortliche) verteilt. Der grössere Anteil wird dennoch auf die Informationssicherheitsbeauftragten (vgl. Art. 37 ISV) zukommen. Für einen minimalen sachgerechten Betrieb des ISMS light in den Ämtern ist im Vergleich zu heute mit einem Zusatzaufwand von etwa 0.2 Vollzeitstellen bei den Informationssicherheitsbeauftragten zu rechnen. Die ISMS-Anwendung (vgl. Ziff. 3.8) wird die Effizienz des Betriebs des ISMS erhöhen.

Nicht alle Ämter werden den gleichen Zusatzaufwand haben. Einerseits können die Departemente und die Ämter mit entsprechenden Kostenauswirkungen ein höheres Ambitionsniveau festlegen. Andererseits erfüllen gewisse Ämter und Departemente die Vorgaben bereits. So sind einige Ämter wie armasuisse, swisstopo, BASPO, BIT und ASTRA nach ISO zertifiziert. Im VBS ist ein vollumfängliches ISMS schon seit einigen Jahren umgesetzt. Das EDI hat bereits entschieden, von seinen Ämtern die Umsetzung eines ISMS zu verlangen.

b. Sicherheitsakkreditierung von Informatikmitteln (vgl. Art. 23 ISV)

Der Aufwand für die Akkreditierung von Informatikmitteln kann zurzeit noch nicht beziffert werden. Es handelt sich um eine neue Aufgabe, mit welcher die Bundesverwaltung bisher keine Erfahrung hat. Nach der Eröffnung der Vernehmlassung wird der Bundesrat prüfen, welche Kompetenzen und Ressourcen für diese Aufgabe erforderlich sind.

c. Informationssicherheitsbeauftragte der Departemente (vgl. Art. 40 ISV)

Auf die Informationssicherheitsbeauftragten der Departemente kommt mit dem neuen Recht ebenfalls ein leicht erhöhter Aufwand von etwa 0.2 Vollzeitstellen zu. Dieser Zusatzaufwand ist teilweise auf die Steuerungs- und Koordinationsaufgaben des ISG selbst zurückzuführen. Eine weitere Ursache liegt darin, dass sie inskünftig die Einleitung von PSP bei Dritten, die nicht vom Betriebssicherheitsverfahren erfasst werden, bewilligen werden. Departemente, die viele sicherheitsempfindliche Aufträge vergeben, werden einen etwas höheren Aufwand haben.

d. Fachstelle des Bundes für Informationssicherheit (vgl. Art. 41 ISV)

Die Ressourcen der Fachstelle des Bundes für Informationssicherheit werden erst nach der Vernehmlassung ausgewiesen (vgl. Ziff. 3.8). Sollten zusätzliche Ressourcen erforderlich sein, was zurzeit noch nicht absehbar ist, so wird der Zusatzaufwand gering ausfallen.

e. Umsetzung der technischen Sicherheitsmassnahmen und deren Kontrolle

Die Kosten für die Umsetzung von technischen Sicherheitsmassnahmen und deren Kontrolle, insbesondere im Bereich der Cybersicherheit, stellen wie bereits heute normale Projekt- und Betriebskosten dar. Sie müssen entsprechend geplant und im Rahmen des ordentlichen Budgets getragen werden müssen (vgl. Art. 42 ISV). Dies schliesst die Kosten der Durchführung von Kontrollen und Audits nach Artikel 13 ISV und die Wirksamkeitsprüfungen nach Artikel 29 Absatz 3 ISV (vgl. Art. 18 Abs. 3 ISG) ein.

f. Änderung der IAMV

Der Geltungsbereich der IAMV wird auf die Verwaltungseinheiten der dezentralen Bundesverwaltung erweitert. Wenn diese ein IAM-System einsetzen wollen, werden sie die Anforderungen der IAMV erfüllen müssen. Die entsprechenden Kosten müssen in diesem Zusammenhang geplant und im Rahmen des ordentlichen Budgets getragen werden.

g. Verordnung über die Personensicherheitsprüfungen

Detaillierte Angaben zum Aufwand für die PSP werden erst nach der Vernehmlassung vorliegen, da die dafür massgebenden Funktionenlisten ab Eröffnung der Vernehmlassung erstellt werden.

h. Verordnung über das Betriebssicherheitsverfahren

Für die Durchführung des Betriebssicherheitsverfahrens hat das VBS die Ressourcen der Fachstelle für Betriebssicherheit bereits um 1.5 Vollzeitstellen erhöht. Es sind keine zusätzlichen Ressourcen erforderlich.

5.2 Auswirkungen auf die Kantone

Bei den Kosten für die Umsetzung in den Kantonen bestehen noch Ungewissheiten. Die Anwendung des ISG und der Verordnungen auf die Kantone ist allerdings beschränkt. Die Umsetzungskosten werden vorwiegend im Rahmen von Projekten oder beim Bezug von Dienstleistungen des Bundes anfallen. Sie müssen in diesem Kontext beurteilt werden. Die Arbeitssitzungen mit den