Erläuternder Bericht

3.2 Rahmenbedingungen und Grundsätze

Der Bundesrat hat in der ISG-Botschaft die formelle und materielle Notwendigkeit des ISG begründet. Diese Ausgangslage und die damit verbundenen Ziele und Lösungsansätze des Bundesrats haben an Aktualität nicht verloren. Sie dienen als konzeptionelle Grundlage für das Ausführungsrecht zum ISG. Dasselbe gilt für die Beurteilung der Bedrohung, die strategische Ausrichtung der Schweiz sowie die Handlungsgrundsätze, die der Bundesrat am 18. April 2018 in der Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken 2018–2022 festgelegt hat. Für die Umsetzung der Informationssicherheit in der Bundesverwaltung und in der Armee sind weitere Strategien zu berücksichtigen, insbesondere die nationalen und bundesinternen Informatikstrategien.

Für die Erarbeitung des Ausführungsrechts zum ISG wurden die nachfolgenden fünf Grundsätze als strategische Wegweiser definiert:

a. Vernetzte Sicherheitsverantwortung

Die Direktorinnen und Direktoren der Verwaltungseinheiten sind gemäss Artikel 45 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997⁴ (RVOG) für die Erfüllung der ihnen übertragenen Aufgaben, einschliesslich des Schutzes ihrer Informationen und Informatikmittel, verantwortlich. In einem vernetzten, digitalisierten Umfeld genügt diese isoliert betrachtete Verantwortung jedoch nicht. Informationen werden ausgetauscht, Systeme vernetzt und Datensammlungen nach dem sogenannten «Once-Only-Prinzip» zur geteilten Nutzung bereitgestellt. Dadurch können sich Bedrohungen und Angriffe gegen eine Organisation oder deren Lieferanten auch auf den Zuständigkeitsbereich anderer Organisationen erstrecken. Die Informationssicherheit ist deshalb zwangsläufig eine vernetzte Aufgabe mit vernetzter Verantwortung, welche gemeinsame Ziele, ein koordiniertes Vorgehen und Minimalstandards verlangt.

b. Risikobasierter Ansatz

Eine absolute Sicherheit ist bekanntlich nicht erreichbar. Risiken sind daher unvermeidbar. Die Grundschutzvorgaben des Bundes bieten einen risikogerechten Schutz gegen eine Vielzahl von Bedrohungen. Sie dienen der vernetzten Informationssicherheit des Bundes und müssen eingehalten werden. Ergänzend müssen die Verantwortlichen im Bereich der Informationssicherheit ein aktives Risikomanagement betreiben, in dessen Rahmen Schwachstellen und Bedrohungen und deren potenziellen Auswirkungen auf die Aufgabenerfüllung bewusst berücksichtigt und priorisiert werden. So entsteht eine angemessene Sicherheit. Mit solch einem risikobasierten Ansatz kann der Fokus neben den Risiken auch auf Möglichkeiten und Chancen, neue Ideen, Anwendungen oder Technologien gerichtet werden.

c. Harmonisierung und Standardisierung

Eine angemessene Informationssicherheit ist eine Voraussetzung für das Vertrauen in E-Government. Dies gilt nicht nur für den inländischen Bereich, sondern auch für die zunehmende internationale Behördenvernetzung. Eine nationale und internationale Harmonisierung der Vorschriften und Standardisierung der Sicherheitsmassnahmen ist deshalb anzustreben. Die Standardisierung hat weitere wichtige Vorteile: Zum einen werden den Entwicklungs- und Beschaffungsstellen klare Sicherheitsanforderungen vorgelegt, die sie bei der Implementierung der Sicherheit in die Informatikmittel unterstützen. Zum anderen werden die Sicherheitskosten in Projekten berechen- und planbarer.

d. Technologieneutralität

Mit zunehmender Digitalisierung entstehen stets neue sicherheitsrelevante Technologien, Konzepte oder Arbeitsformen. Das Verordnungsrecht muss in der Lage sein, Entwicklungen wie «Cloud-Computing», «Internet of Things», «künstliche Intelligenz» oder «Quantum-Computing» zu berücksichtigen, ohne ständig angepasst werden zu müssen. Deshalb sollen auf Verordnungsebene in erster Linie Grundsätze, Aufgaben, Kompetenzen und Verantwortlichkeiten festgelegt werden. Technologiebedingte Vorgaben sollen auf Stufe der technischen Weisungen und Standards definiert werden.