Erläuternder Bericht

6 Rechtliche Aspekte

6.1 Informationssicherheit

Der Missbrauch von Informationen und die Störung der Vertrauensinfrastruktur und des Informationssystems zur Ausstellung und zum Widerruf der E-ID können wesentliche Interessen der Schweiz und die Rechte von Personen schwerwiegend beeinträchtigen sowie die gesetzliche Aufgabe zur Sicherstellung der Funktionsfähigkeit der Vertrauensinfrastruktur und des Informationssystems gefährden. Grundlage für die bestmögliche Sicherstellung der Informationssicherheit bilden dabei das Bundesgesetz vom 18. Dezember 2020 über die Informationssicherheit beim Bund (ISG)³⁸ und die zugehörige Verordnung (ISV)³⁹.

Das BJ und das BIT sind bezüglich der Vertrauensinfrastruktur und fedpol im Zusammenhang mit dem Informationssystem zu Ausstellung und zum Widerruf der E-ID dazu verpflichtet, dafür zu sorgen, dass Verletzungen der Informationssicherheit rasch erkannt, deren Ursachen abgeklärt und allfällige Auswirkungen minimiert werden. Hierzu treffen die verpflichteten Behörden die erforderlichen Massnahmen, um Sicherheitsvorfälle oder Sicherheitslücken zu identifizieren (wie z. B. durch regelmässige Auswertung von Log Files). Liegt ein Sicherheitsvorfall oder eine -lücke vor,

nimmt das BIT im Kontext der Vertrauensinfrastruktur und fedpol bezüglich des Informationssystems die erforderlichen Sofortmassnahmen vor, um die allfälligen Auswirkungen auf die Informationssicherheit zu minimieren. Sicherheitsvorfälle oder Sicherheitslücken liegen im Kontext der Vertrauensinfrastruktur und der E-ID insbesondere vor, wenn die Vertraulichkeit, Integrität oder Verfügbarkeit der elektronischen Nachweise oder der Vertrauensinfrastruktur bzw. des Informationssystems gefährdet oder beeinträchtigt sind; schwerwiegende Betriebsstörungen drohen oder eingetreten sind; oder Schwächen oder Fehler im System bestehen, die eine erhebliche Cyberbedrohung darstellen.

Im vorliegenden Verordnungsentwurf ist eine besonders detaillierte Regelung zum Umgang mit Gefährdungen der Informationssicherheit nicht erforderlich. Der Grund dafür ist, dass bereits das ISG und die ISV die rechtlichen Grundlagen bieten, die für die Behandlung solcher Gefährdungen notwendig sind. In ähnlicher Weise wie beim DSG wird auch hier auf die bestehende Systematik des Rechts hingewiesen. Das bedeutet, dass die bestehenden Regelungen in den relevanten Gesetzen bereits ausreichen, um den sicheren Umgang mit Risiken in der Informationssicherheit zu gewährleisten.