Die Informationssicherheit beim Bund muss an die Herausforderungen der Informationsgesellschaft angepasst werden. Der Bundesrat hat an seiner Sitzung vom 22. Februar 2017 die Botschaft zu einem Informationssicherheitsgesetz verabschiedet. Das Gesetz schafft für alle Bundesbehörden einen einheitlichen formell-gesetzlichen Rahmen für den Schutz von Informationen und die Sicherheit beim Einsatz von Informatikmitteln.
Der Missbrauch von Informationen und die Störung von Informationssystemen können wesentliche Interessen der Schweiz und die Rechte von Personen schwerwiegend beeinträchtigen. Sie können sogar die Erfüllung kritischer gesetzlicher Aufgaben des Bundes gefährden. Mit der Entwicklung zu einer Informationsgesellschaft sind die entsprechenden Bedrohungen komplexer und dynamischer geworden. Ihnen muss – so verlangt es der Bundesrat – vernetzt und integral begegnet werden. Dies setzt entsprechende rechtliche und organisatorische Vorkehren voraus.
Das Informationssicherheitsgesetz schafft – basierend auf international anerkannten Standards – einen einheitlichen formell-gesetzlichen Rahmen für die Steuerung und Umsetzung der Informationssicherheit im Zuständigkeitsbereich des Bundes. Der Bundesrat will die Informationssicherheit nachhaltig und wirtschaftlich verbessern. Der Fokus soll – gestützt auf ein wirksames Risikomanagement – auf die kritischsten Informationen und Systeme des Bundes sowie auf die Standardisierung der Massnahmen gesetzt werden.
Das Gesetz richtet sich primär an die Bundesbehörden, einschliesslich Parlament, eidgenössische Gerichte, Bundesanwaltschaft und Nationalbank. Private und die Wirtschaft sind vom Gesetz nur dann betroffen, wenn sie im Auftrag der Bundesbehörden sicherheitsempfindliche Tätigkeiten ausführen. Der Bundesrat will allerdings die Zusammenarbeit mit den Kantonen verbessern. Diese sollen für eine gleichwertige Informationssicherheit sorgen, wenn sie klassifizierte Informationen des Bundes bearbeiten oder auf seine Informatikmittel zugreifen. Die Kantone werden Einsitz im vorgesehenen Koordinationsorgan des Bundes nehmen und an der Standardisierung der Massnahmen mitwirken.
Das Gesetz fasst die Regelungen der Kernelemente der Informationssicherheit an einer Stelle zusammen. Es regelt insbesondere das Risikomanagement, die Klassifizierung von Informationen und die Grundsätze der Sicherheit beim Einsatz von Informatikmitteln. Das Öffentlichkeitsprinzip in der Verwaltung soll weiterhin uneingeschränkt gelten, weshalb der Entwurf dem Öffentlichkeitsgesetz ausdrücklich Vorrang erteilt.
Die Regelung über die Personensicherheitsprüfungen wird vom Bundesgesetz über Massnahmen zur Wahrung der inneren Sicherheit in das Informationssicherheitsgesetz übertragen. Gleichzeitig wird sie an die heutigen Bedürfnisse der Informationssicherheit angepasst. Der Bundesrat will die Personensicherheitsprüfung auf das Mindestmass reduzieren, das zur Identifizierung von erheblichen Risiken für den Bund erforderlich ist. Inskünftig sollen deutlich weniger Prüfungen durchgeführt werden.
Das Gesetz schafft ferner ein neues Verfahren zur Kontrolle und sicherheitsmässigen Begleitung von Unternehmen, die sicherheitsempfindliche Aufträge des Bundes erfüllen sollen. Der Bundesrat will dieses Instrument, das sogenannte Betriebssicherheitsverfahren, gezielt und möglichst unbürokratisch einsetzen. Er will gleichzeitig eine Grundlage für die Abgabe von Sicherheitserklärungen zu Gunsten von Schweizer Unternehmen schaffen, die sich für ausländische Aufträge bewerben und hierfür eine nationale Sicherheitserklärung benötigen.
Die Kosten zur Umsetzung des Gesetzes hängen weitgehend vom Sicherheitsniveau, das die Bundesbehörden erreichen wollen, und vom entsprechenden Ausführungsrecht, ab. Der personelle Mehrbedarf zur Verbesserung der Informationssicherheit soll grösstenteils durch eine entsprechende Reduktion des Personalaufwands für die Personensicherheitsprüfungen kompensiert werden. Insgesamt könnten mittelfristig zwischen vier und elf zusätzliche Stellen erforderlich sein.
