Das Informationssicherheitsgesetz schafft für alle Bundesbehörden einen einheitlichen, formell-gesetzlichen Rahmen für die Informationssicherheit und regelt dabei die wichtigsten Massnahmen zum Schutz ihrer Informationen und Informatikmittel. Gleichzeitig werden die bestehenden rechtlichen und organisatorischen Lücken behoben. Im Hinblick auf die Inkraftsetzung Mitte 2023 hat der Bundesrat die Ausführungsbestimmungen auf Verordnungsstufe erarbeitet und für vier Verordnungen die Vernehmlassung eröffnet.

Drei neue Verordnungen und eine Teilrevision

•    Informationssicherheitsverordnung (ISV): Die neue ISV vereint, ergänzt und ersetzt mit der Cyberrisiken- und der Informationsschutzverordnung zwei bisherige Verordnungen. Sie gilt primär für die Bundesverwaltung sowie die Armee. Die vorgesehenen Änderungen zum bisherigen Recht betreffen etwa die Bestimmung zur Umsetzung eines Informationssicherheitsmanagementsystems, die Einführung einer Akkreditierungspflicht von Informatikmitteln, die Erhöhung der Klassifizierungsschwelle für klassifizierte Informationen sowie die Einführung einer international üblichen Nachsorge (sogenannte «aftercare») im Rahmen der Personensicherheit. Weiter werden die Amtsleitungen der Bundesverwaltung zu neuen Aufgaben, Kompetenzen und Verantwortlichkeiten im Bereich der Informationssicherheit verpflichtet.

•    Verordnung über die Personensicherheitsprüfungen (VPSP): Diese fasst die Ausführungsbestimmungen zu den verschiedenen Personensicherheitsprüfungen zusammen. Sie ersetzt die Verordnung über die Personensicherheitsprüfungen, die Verordnung über die Personensicherheitsprüfungen im Bereich Kernanlagen und alle bisherigen departementalen Verordnungen über die Personensicherheitsprüfungen. Die Personensicherheitsprüfungen dienen der Beurteilung, ob ein Risiko für die Informationssicherheit des Bundes besteht, wenn eine Person im Rahmen ihrer Funktion eine sicherheitsempfindliche Tätigkeit ausübt. Diese Prüfungen sollen gemäss dem neuen Gesetz auf das Mindestmass reduziert werden, das zur Identifizierung von erheblichen Risiken für den Bund erforderlich ist. Damit sollen künftig deutlich weniger Prüfungen durchgeführt werden. Dies wird unter anderem durch die erwähnte Erhöhung der Schwellenwerte für die Klassifizierung im Rahmen der ISV erreicht.

•    Verordnung über das Betriebssicherheitsverfahren (VBSV): Sie regelt die Einzelheiten des durch das ISG neu eingeführten Betriebssicherheitsverfahrens und ersetzt die bisherige, auf militärisch klassifizierte Aufträge beschränkte Geheimschutzverordnung. Das Betriebssicherheitsverfahren ist auf alle sicherheitsempfindlichen Aufträge anwendbar, die der Bund vergibt. Davon betroffen sind Aufträge, in denen vertraulich oder geheim klassifizierte Informationen bearbeitet oder Informatikmittel mit hohem oder sehr hohem Schutz betrieben oder verwaltet werden.

• Zudem erfordert die Inkraftsetzung des ISG Anpassungen der Verordnung über Identitätsverwaltungs-Systeme und Verzeichnisdienste des Bundes (IAMV): Die Teilrevision beinhaltet insbesondere eine Erweiterung des Geltungsbereichs auf die Verwaltungseinheiten der dezentralen Bundesverwaltung, sofern diese Zugriff auf Informatiksysteme der zentralen Bundesverwaltung haben.

Das Vernehmlassungsverfahren dauert bis am 24. November 2022.

Meldepflicht für Cyberangriffe bei kritischen Infrastrukturen erfordert ISG-Revision

Diese vier Verordnungen decken die Kapitel 1 bis 4 des ISG ab. Eine Revision des 5. Kapitels ist noch im Gang, weshalb dazu noch keine Verordnungen vorliegen. Unter Federführung des Eidgenössischen Finanzdepartementes soll dabei eine Meldepflicht für Cyberangriffe bei kritischen Infrastrukturen eingeführt werden. Das Vernehmlassungsverfahren der ISG-Revision dauerte bis am 14. April 2022.

Informationssicherheitsgesetz: Bundesrat schickt Verordnungen in Vernehmlassung