Erläuternder Bericht

c. Straffung der Prüfgründe

Mit dem neuen Recht werden die Gründe zur Durchführung von PSP eingeschränkt. Funktionen, die der höchsten Prüfstufe, der erweiterten Personensicherheitsprüfung, zugeordnet werden, sollen die Ausnahme bleiben. Es besteht allerdings die Gefahr, dass der rechtliche Schwellenwert für die Prüfungen in der Praxis herabgesetzt wird, wenn die Ämter keine anderen Instrumente zur Verfügung haben, um die Vertrauenswürdigkeit ihrer Angestellten zu prüfen. Der neue Artikel 20a BPG bietet den Arbeitgebern hierzu entsprechende Mittel an.

d. Funktionenlisten

Um die Anzahl der Prüfungen im angestrebten Rahmen zu halten, bedarf es bei der Erstellung und Nachführung der Funktionenlisten, in denen die zu prüfenden Funktionen aufgelistet sind, einer besseren Kontrolle der Rechtmässigkeit der Einträge als heute. Das VBS soll deshalb die Funktionenlisten zentral bewirtschaften und sie auf Antrag der Departemente und die Bundeskanzlei (BK) laufend aktualisieren.

Die Listen der Funktionen, für die eine PSP nach dem ISG erforderlich ist, sind aus Sicht der Informationssicherheit sensitiv. Sie liefern den Überblick über sämtliche Funktionen von Verwaltung und Armee, die Zugang zu klassifizierten Informationen haben oder kritische Systeme des Bundes betreiben oder verwalten. Obwohl die Funktionenlisten keine Namen der Funktionsträgerinnen und - träger enthalten, ist es im Zeitalter der sozialen Medien für einen potenziellen Angreifer einfach, eine Funktion mit einem Namen zu verbinden und so ein Spionage- oder Sabotageziel zu erhalten. Im Bereich der Armee können zudem detaillierte Funktionenlisten Rückschlüsse auf die nicht veröffentlichte Detailorganisation der Armee ermöglichen. Die Funktionenlisten, welche die nach dem ISG zu prüfenden Funktionen beinhalten, sollen daher gestützt auf Artikel 6 des Publikationsgesetzes vom 18. Juni 2004¹³ (PublG) nicht veröffentlicht werden. Aus denselben Gründen werden die Funktionenlisten nach dem Stromversorgungsgesetz vom 23. März 2007¹⁴ (StromVG) ebenfalls nicht veröffentlicht. Hingegen sollen die Listen der Funktionen, die in erster Linie zum Schutz vor Korruption oder vor Reputationsschaden einer Prüfung unterstellt werden, wie bis anhin veröffentlicht werden.

Die Funktionenlisten werden erst ab Eröffnung der Vernehmlassung des Ausführungsrechts zum ISG erstellt. Zuerst muss sichergestellt werden, dass die Prüfkriterien auf breite Akzeptanz stossen. Es handelt sich nämlich um mehrere Tausend potenzielle Einträge, die alle überprüft werden müssen, bevor sie in die definitiven Funktionenlisten aufgenommen werden. Detaillierte Angaben zum Aufwand für die PSP werden somit erst nach der Vernehmlassung vorliegen.

3.6 Verordnung über das Betriebssicherheitsverfahren (VBSV)

a. Allgemeines

Das ISG (vgl. Art. 49–72 ISG) führt das sogenannte Betriebssicherheitsverfahren ein. Das Verfahren befasst sich mit der Wahrung der Informationssicherheit bei der Vergabe von sicherheitsempfindlichen Aufträgen der Bundesbehörden an Betriebe, die nicht ihrer unmittelbaren Aufsicht unterstehen. Das Verfahren dient der Prüfung der Vertrauenswürdigkeit des zu beauftragenden Betriebs. Betriebe, die unter Einfluss von ausländischen Nachrichtendiensten stehen, sollen keinen Zugang zu sicherheitsempfindlichen Informationen oder zu kritischen Informatikmitteln des Bundes erhalten. Durch das neue Betriebssicherheitsverfahren wird die Risikomanagementmethode zur Reduktion nachrichtendienstlicher Ausspähung ausser Kraft gesetzt. Das Verfahren ermöglicht es zudem, die Umsetzung der Informationssicherheit während der Ausführung des Auftrags zu kontrollieren und durchzusetzen.

b. Gegenstand und Geltungsbereich

Die neue Verordnung über das Betriebssicherheitsverfahren regelt die Einzelheiten des Verfahrens und ersetzt die bisherige, auf militärisch klassifizierte Aufträge beschränkte Geheimschutzverordnung vom 29. August 1990¹⁵. Die VBSV gilt für sämtliche Behörden und Organisationen, die unter das ISG fallen. Für Verwaltungseinheiten der dezentralen Bundesverwaltung gilt die VBSV nur, wenn sie auch unter den Geltungsbereich der ISV fallen (vgl. Ziff. 3.3 Bst. b).

13 SR 170.512