Erläuternder Bericht

e. Digitalisierung ermöglichen

Bei den Rechtsetzungsprojekten müssen die Bedürfnisse der Digitalisierung frühzeitig berücksichtigt werden. Wenn Aufgaben, Prozesse und Verfahren rechtlich überprüft oder neu definiert werden, muss sichergestellt werden, dass die neuen Vorschriften die Digitalisierung ermöglichen.

3.3 Informationssicherheitsverordnung (ISV)

a. Gegenstand

Die neue Informationssicherheitsverordnung (ISV) ersetzt die bisherige Cyberrisikenverordnung vom 27. Mai 2020⁵ (CyRV) und Informationsschutzverordnung vom 4. Juli 2007⁶ (ISchV). Die ISV regelt das Management der Informationssicherheit, den Schutz von klassifizierten Informationen, die Informatiksicherheit und die Massnahmen zur personellen und physischen Sicherheit. Sie legt die entsprechenden Aufgaben, Kompetenzen und Verantwortlichkeiten in der Bundesverwaltung und in der Armee fest.

b. Geltungsbereich

Die ISV gilt für den Bundesrat, die Bundesverwaltung und die Armee. Die Verwaltungseinheiten der dezentralen Bundesverwaltung nach Artikel 7a der Regierungs- und Verwaltungsorganisationsverordnung vom 25. November 1998⁷ (RVOV) werden der ISV nur unterstellt, wenn ihre Aufgaben sicherheitsempfindlich sind oder ein erhebliches Risiko für die zentrale Bundesverwaltung darstellen können. Diese Voraussetzungen sind erfüllt, wenn die dezentralen Verwaltungseinheiten auf Informatikmittel der zentralen Bundesverwaltung der Sicherheitsstufe «hoher Schutz» oder «sehr hoher Schutz» zugreifen, wenn sie selber solche Informatikmittel einsetzen oder wenn sie klassifizierte Informationen des Bundes bearbeiten. Die BK und die Departemente können beim Bundesrat zudem beantragen, weitere dezentrale Verwaltungseinheiten zu unterstellen.

Organisationen nach Artikel 2 Absatz 4 RVOG, die mit Verwaltungsaufgaben betraut werden aber nicht der Bundesverwaltung angehören, werden vollständig vom Geltungsbereich des ISG – und demzufolge auch der ISV – ausgenommen. Sie gelten als Dritte.

Die ISV gilt sinngemäss für die Bundesversammlung, die eidgenössischen Gerichte, die Schweizerische Bundesanwaltschaft und ihre Aufsichtsbehörde sowie die Schweizerische Nationalbank, wenn sie keine eigenen Vorschriften erlassen.

c. Zusammenarbeit mit den Kantonen

Sofern die Kantone klassifizierte Informationen des Bundes bearbeiten, gelten die entsprechenden Vorschriften des ISG und der ISV. Wenn sie auf Informatikmittel des Bundes zugreifen, gelten für sie die Vorgaben des ISG und der ISV über die Informatiksicherheit. In der Praxis werden die Kantone wie heute die Sicherheitsanforderungen erfüllen müssen, die das für das Informatikmittel verantwortliche Bundesamt in Anwendung der Vorgaben des ISG und der ISV festgelegt hat. Die Kantone können sich allerdings von den bundesrechtlichen Vorgaben befreien, wenn sie von sich aus eine gleichwertige Informationssicherheit gewährleisten. Dies setzt voraus, dass sie eigene, an den Bundesstandard angeglichene Sicherheitsvorschriften erlassen, die sie in ihrem Zuständigkeitsbereich durchsetzen. Massgebende Bundestandards sind die Vorschriften und technischen Anforderungen für den Grundschutz der Informatik im Bund sowie für den Schutz von klassifizierten Informationen. Die Kantone sind nicht verpflichtet, ein Informationssicherheits-Managementsystem (ISMS) umzusetzen.

d. Management der Informationssicherheit

Sämtliche Verwaltungseinheiten werden verpflichtet, ihre Informationssicherheit mittels eines Informationssicherheits-Managementsystems (ISMS) umzusetzen. Ein ISMS ist ein Führungsinstrument und dient der systematischen Planung, Umsetzung, Überprüfung und Verbesserung der Informationssicherheit. Es umfasst die dafür nötigen Vorschriften und Verfahren und macht sichtbar, wem in der Organisation, welche Aufgaben, Kompetenzen und Verantwortlichkeiten zugeordnet werden. Mit dem Begriff «ISMS» wird implizit auf die Norm ISO/IEC 27001 verwiesen, die sowohl in der Privatwirtschaft als auch vermehrt in öffentlichen Verwaltungen als Standard gilt. Mehrere Verwaltungseinheiten und Departemente haben sich bereits entschieden, ihre Informationssicherheit systematisch nach der ISO-Norm umzusetzen. Einige davon sind formell zertifiziert. Von

5 SR 120.73

6 SR 510.411