Erläuternder Bericht

den Verwaltungseinheiten verlangt die ISV lediglich ein ISMS «light»: Das heisst, sie müssen nicht die vollständige ISO-Norm, sondern nur die wichtigsten Managementprozesse umsetzen. Diese sind in der ISV aufgeführt. Eine externe Zertifizierung wird nicht verlangt. Die Verwaltungseinheiten und Departemente können allerdings ein höheres Ambitionsniveau festlegen.

e. Schutz von klassifizierten Informationen und Informatiksicherheit

Die Kriterien zur Klassifizierung von Informationen und zur Sicherheitseinstufung von Informatikmitteln werden an die Massstäbe des Risikomanagements Bund angeglichen. Diese Kriterien sind von Natur aus schwammig und müssen ausgelegt werden. Für die Umsetzung werden Hilfsmittel erstellt. Inskünftig wird der Bund weniger klassifizieren.

Bei den konkreten Massnahmen zum Schutz von klassifizierten Informationen und zur Gewährleistung der Informatiksicherheit übernimmt die ISV mehrheitlich die bestehenden Regelungen der ISchV und CyRV. Die detaillierten Vorgaben, einschliesslich der derzeit fehlenden technischen Anforderungen an die elektronische Bearbeitung von klassifizierten Informationen, werden voraussichtlich bis Ende 2023 erarbeitet und, wo möglich und sinnvoll, an internationale Standards angeglichen.

f. Sicherheitsakkreditierung von Informatikmitteln

Neu führt die ISV für eine beschränkte Anzahl sicherheitsempfindlicher Informationssysteme, in welchen VERTRAULICH oder GEHEIM klassifizierte Informationen bearbeitet werden (beispielsweise eine Anwendung für die vertrauliche Videokommunikation), eine Akkreditierungspflicht ein. Die ISV schliesst damit eine Lücke, welche heute die internationale Zusammenarbeit im Sicherheitsbereich erschwert. Eine Sicherheitsakkreditierung wird im Ausland und in der internationalen Zusammenarbeit verlangt, wenn geschützte Informationen einer Behörde (oder eines Staates) in einem System einer anderen Behörde (oder eines anderen Staates) bearbeitet werden sollen. Diese belegt, dass das Empfängersystem die vorgegebenen Sicherheitsanforderungen erfüllt und die Restrisiken nach dem Stand der Technik tragbar sind. Kann die Sicherheitsakkreditierung nicht erteilt werden, so soll der Bundesrat die Restrisiken beurteilen und über den Einsatz des Informatikmittels entscheiden.

g. Personensicherheit

Die Wahrnehmung der Verantwortung für die personenbezogenen Sicherheitsrisiken ist eine ständige Führungsaufgabe. Der neu mit dem ISG eingeführte Artikel 20a des Bundespersonalgesetzes⁸ vom 24. März 2000 (BPG) ermächtigt die Verwaltungseinheiten, von Bewerbenden und von Angestellten einen Auszug aus dem Strafregister und aus dem Betreibungsregister zu verlangen, wenn dies zur Wahrung ihrer Interessen erforderlich ist. Die Praxis hat gezeigt, dass personenbezogene Sicherheitsrisiken nach bestandener Personensicherheitsprüfung (PSP) eher selten wieder thematisiert werden. Im Sinne einer international üblichen Nachsorge (sogenanntes «aftercare») sollen sicherheitsgeprüfte Mitarbeitende ihrem Arbeitgeber deshalb Umstände aus ihrem privaten und beruflichen Umfeld, welche die Sicherheit gefährden können, melden müssen (z. B. Erpressbarkeit aufgrund grosser Verschuldung im Spielcasino). Der Umgang mit einem allenfalls erhöhten Risiko ist Sache des Arbeitgebers. Dieser kann von den betroffenen Mitarbeitenden auch während der Wiederholungsfrist der PSP Auszüge nach Artikel 20a BPG verlangen. Je nach Einzelfall kann eine solche Meldung auch zu einer ausserordentlichen Wiederholung der PSP führen.

h. Sicherheitsverantwortliche und Informationssicherheitsbeauftragte

Eine wichtige Neuerung in der ISV betrifft die Amtsleitungen. Ihnen werden in der ISV konkrete Aufgaben, Kompetenzen und Verantwortlichkeiten im Bereich Informationssicherheit übertragen, die sie bei Bedarf an ein Mitglied ihrer Geschäftsleitung delegieren dürfen (Sicherheitsverantwortliche). Die Sicherheitsverantwortlichen beaufsichtigen das ISMS des Amts und treffen alle wichtigen Entscheide im Bereich Informationssicherheit. Die operativen Aufsichtstätigkeiten sind Aufgabe der Informationssicherheitsbeauftragten gemäss Artikel 37. Mit der ISV werden die heutigen Rollen der «Informatiksicherheitsbeauftragten» und der «Informationsschutzbeauftragten» in der neuen Rolle der «Informationssicherheitsbeauftragten» vereint. Ihre Aufgaben werden entsprechend präzisiert und mit dem Betrieb des ISMS ergänzt.