Law

Verordnung über die Informationssicherheit in der Bundesverwaltung und der Armee

Confederation · 128.1 · ordinance

Ask the law about thisMore laws of ConfederationFor machines: Markdown

Open at the publisher →

In force since 2025-05-01, as the publisher states.

Copy read on 2026-10-23. The page it was read from

sha256 917bf5e51d4a8fa0e839d7f6b9a6135064cc33286e8934160b1defd5c0aeafca

Contents: 52 provisions
  1. Art. 1 Gegenstand
  2. Art. 2 Geltungsbereich
  3. Art. 3 Sicherheitsziele
  4. Art. 4 Verantwortung
  5. Art. 5 Informationssicherheits-Managementsystem
  6. Art. 6 Pflege der Rechtsgrundlagen und vertraglichen Verpflichtungen
  7. Art. 7 Inventarisierung der Schutzobjekte
  8. Art. 8 Risikomanagement
  9. Art. 9 Bewilligung und Verzeichnung von Ausnahmen
  10. Art. 10 Zusammenarbeit mit Dritten
  11. Art. 11 Schulung und Sensibilisierung
  12. Art. 12 Vorfallmanagement
  13. Art. 13 Planung von Kontrollen und Audits
  14. Art. 14 Berichterstattung
  15. Art. 15 Vorgaben zum Management der Informationssicherheit
  16. Art. 16 Grundsätze
  17. Art. 17 Klassifizierende Stellen
  18. Art. 18 Klassifizierungsstufe «intern»
  19. Art. 19 Klassifizierungsstufe «vertraulich»
  20. Art. 20 Klassifizierungsstufe «geheim»
  21. Art. 21 Bearbeitungsvorgaben
  22. Art. 22 Einsatzbezogene Sicherheitsmassnahmen
  23. Art. 23 Sicherheitszertifizierung von Informatikmitteln
  24. Art. 24 Schutz bei der Gefährdung von klassifizierten Informationen
  25. Art. 25 Überprüfung von Schutzbedarf und Kreis der Berechtigten
  26. Art. 26 Archivierung
  27. Art. 27 Sicherheitsverfahren
  28. Art. 28 Zuordnung zu den Sicherheitsstufen «hoher Schutz» und «sehr hoher Schutz»
  29. Art. 29 Sicherheitsmassnahmen
  30. Art. 30 Sicherheit beim Betrieb
  31. Art. 31 Prüfung der Identität von Personen und Maschinen
  32. Art. 32 Personensicherheit
  33. Art. 33 Verdacht auf strafbares Verhalten
  34. Art. 34 Physische Schutzmassnahmen
  35. Art. 35 Sicherheitszonen
  36. Art. 36 Informationssicherheitsverantwortliche der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c
  37. Art. 37 Informationssicherheitsbeauftragte der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c
  38. Art. 38 Informationssicherheit bei zentral bereitgestellten Informatikmitteln
  39. Art. 39 Informationssicherheitsverantwortung der Departemente
  40. Art. 40 Informationssicherheitsbeauftragte der Departemente
  41. Art. 41 Informationssicherheitsbeauftragte oder -beauftragter des Bundesrates
  42. Art. 42 Fachstelle des Bundes für Informationssicherheit
  43. Art. 43 Aufgaben und Kompetenzen des BACS
  44. Art. 44 Kosten
  45. Art. 45 Evaluation
  46. Art. 46 Allgemeines
  47. Art. 47 ISMS-Anwendung
  48. Art. 48 Elektronische Formulardienste
  49. Art. 49 Besondere Vollzugsbestimmungen
  50. Art. 50 Aufhebung und Änderung anderer Erlasse
  51. Art. 51 Übergangsbestimmungen
  52. Art. 52 Inkrafttreten

52 provisions

Art. 41 Informationssicherheitsbeauftragte oder -beauftragter des Bundesrates

(Art. 81 Abs. 1 Bst. a ISG) Das VBS ernennt die Informationssicherheitsbeauftragte oder den Informationssicherheitsbeauftragten des Bundesrates sowie deren oder dessen Stellvertretung.

Art. 42 Fachstelle des Bundes für Informationssicherheit

(Art. 7 Abs. 1 und 83 ISG) 1 Die Fachstelle des Bundes für Informationssicherheit hat für die Bundesverwaltung und die Armee folgende Aufgaben und Kompetenzen: a. Sie erarbeitet Strategien zu sicherheitsrelevanten Themen. b. Sie kann bei sicherheitsrelevanten Vorhaben Informationen verlangen, dazu Stellung nehmen und Änderungen beantragen. c. Sie wirkt bei der Ausbildung der Sicherheitsorganisation mit. d. Sie stellt Vorlagen und Hilfsmittel bereit. e. Sie unterstützt die Informationssicherheitsbeauftragten bei der Kontrolle der als «geheim» klassifizierten Informationsträger. f. Sie verantwortet zertifizierte Sicherheitslösungen, die für die gesamte Bundesverwaltung und die Armee eingesetzt werden. 2 Sie konsultiert bei der Erfüllung dieser Aufgaben sowie den Aufgaben nach Artikel 83 Absatz 1 ISG die Konferenz der Informationssicherheitsbeauftragten. 3 Sie vertritt im internationalen Verhältnis als nationale Sicherheitsbehörde die Schweiz und nimmt dabei folgende Aufgaben wahr: a. Sie erarbeitet die völkerrechtlichen Verträge nach Artikel 87 ISG und überwacht deren Umsetzung. b. Sie stellt sicher, dass Sicherheitsvorfälle, die klassifizierte Informationen von Partnerstaaten betreffen, sachgerecht abgeklärt werden. c. Sie führt die in den völkerrechtlichen Verträgen vorgesehenen Kontrollen durch oder gibt diese in Auftrag. d. Sie vertritt die Schweiz in internationalen Fachgremien. e. Sie bewilligt den Empfang von Personen aus dem Ausland, die für klassifizierte Projekte in die Schweiz reisen, sowie die Entsendung von Personen, die für klassifizierte Projekte ins Ausland reisen. f. Sie stellt die Sicherheitsbescheinigungen nach Artikel 30 VPSP aus. 4 Sie ist Teil des Staatssekretariats für Sicherheitspolitik im VBS. SR 128.31

Art. 43 Aufgaben und Kompetenzen des BACS

(Art. 7 Abs. 1 und 84 Abs. 1 ISG) 1 Das BACS hat folgende Aufgaben und Kompetenzen: a. Es berät die Bundesverwaltung und die Armee sowie die Sicherheitsorgane nach den Artikeln 81–83 ISG in allen Belangen der technischen Informationssicherheit. b. Es nimmt Einsitz in die Konferenz der Informationssicherheitsbeauftragten nach Artikel 82 ISG. c. Es kann zur Beurteilung und Verbesserung des Stands der technischen Informationssicherheit des Bundes im Internet oder im Einvernehmen mit den jeweiligen Informationssicherheitsverantwortlichen und Leistungserbringern in der Informatikinfrastruktur der Bundesverwaltung nach technischen Bedrohungen und Schwachstellen suchen; es kann andere Stellen der Bundesverwaltung sowie Dritte damit beauftragen. 2 Es koordiniert seine Tätigkeiten mit der Fachstelle des Bundes für Informationssicherheit.

Art. 44 Kosten

1 Die dezentral anfallenden Kosten für die Informationssicherheit sind Teil der Projekt- und Betriebskosten. 2 Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c stellen sicher, dass diese Kosten bei der Planung hinreichend berücksichtigt und ausgewiesen werden. 3 Für die Ausstellung und Zustellung von Sicherheitsbescheinigungen nach Artikel 30 VPSP für Personen, die keine sicherheitsempfindliche Tätigkeit des Bundes erfüllen, erhebt die Fachstelle des Bundes für Informationssicherheit eine Gebühr von 100 Franken. SR 128.31

Art. 45 Evaluation

(Art. 88 ISG) Die Fachstelle des Bundes für Informationssicherheit beantragt der Eidgenössischen Finanzkontrolle sechs Jahre nach Inkrafttreten dieser Verordnung und anschliessend alle zehn Jahre die Evaluation der Gesetzgebung über die Informationssicherheit beim Bund.

Art. 46 Allgemeines

1 Die Organisationen nach Artikel 2 Absätze 1–3 sowie die Sicherheitsorgane des Bundes können die für die Gewährleistung der Informationssicherheit zweckmässigen Informationen einschliesslich Personendaten bearbeiten. 2 Sie können untereinander sowie mit nationalen, internationalen und ausländischen Organisationen des öffentlichen und privaten Rechts Informationen einschliesslich Personendaten nach Absatz 1 austauschen, sofern: a. dies zur Gewährleistung der Informationssicherheit zweckmässig ist; b. keine gesetzlichen oder vertraglichen Geheimhaltungspflichten verletzt werden; c. die Vorgaben der Bundesgesetzgebung über den Datenschutz eingehalten werden; und d. diese Organisation gesetzliche Aufgaben im Bereich der Informationssicherheit wahrnehmen, die denjenigen der bekanntgebenden Behörde oder Organisation entsprechen. 3 Sofern dies für die Bewältigung eines Sicherheitsvorfalls oder die Behandlung einer Sicherheitslücke erforderlich ist, können sie auch besonders schützenswerte Personendaten nach Artikel 5 Buchstabe c des Datenschutzgesetzes vom 25. September 2020 von Personen, die daran beteiligt oder davon betroffen sind respektive sein könnten, bearbeiten und untereinander austauschen. 4 Werden bei einem Sicherheitsvorfall beim Bund oder bei Dritten, die mit dem Bund zusammenarbeiten, Informationen des Bundes entwendet und im Internet veröffentlicht, so dürfen sie die Informationen herunterladen und analysieren, um die Betroffenheit des Bundes zu beurteilen und die nötigen Schutzmassnahmen zu ergreifen. Sie dürfen Daten, die für die Beurteilung nicht relevant sind, nicht bearbeiten. 5 Sie dürfen diese Massnahmen bereits bei Vorliegen eines konkreten Verdachts anwenden. SR 235.1

Art. 47 ISMS-Anwendung

1 Die Organisationen nach Artikel 2 Absätze 1–3 können für das Management der Informationssicherheit ein Informationssystem (ISMS-Anwendung) betreiben. 2 Sie können in der ISMS-Anwendung alle Informationen im Zusammenhang mit dem Management der Informationssicherheit nach dieser Verordnung sowie die besonders schützenswerten Personendaten nach Artikel 46 Absatz 3 bearbeiten. 3 Sie können ihre ISMS-Anwendungen miteinander verknüpfen und informationssicherheitsrelevante Informationen über automatisierte Schnittstellen austauschen.

Art. 48 Elektronische Formulardienste

1 Die Fachstelle des Bundes für Informationssicherheit kann für die nachfolgenden Zwecke elektronische Formulardienste betreiben und sie mit ihrer ISMS-Anwendung verknüpfen: a. zur Abwicklung der Reisen nach Artikel 42 Absatz 3 Buchstabe e; b. zur Ausstellung und Zustellung von Sicherheitsbescheinigungen im internationalen Verhältnis nach Artikel 30 VPSP; c. zur Ausstellung und Zustellung von internationalen Betriebssicherheitsbescheinigungen nach Artikel 66 ISG. 2 Mit den Formulardiensten nach Absatz 1 können die Personendaten nach Anhang 1 bearbeitet werden. Diese Daten dürfen längstens zehn Jahre aufbewahrt werden. 3 Die Organisationen nach Artikel 2 Absätze 1–3 können elektronische Formulardienste zur Meldung von Sicherheitsvorfällen und Sicherheitslücken betreiben und sie mit ihrer ISMS-Anwendung verknüpfen. 4 Mit den Formulardiensten nach Absatz 3 können sie Personendaten, einschliesslich besonders schützenswerte Personendaten nach Artikel 46 Absatz 3, bearbeiten, sofern sie für die Bewältigung von Sicherheitsvorfällen und Behandlung von Sicherheitslücken erforderlich sind. Sie müssen unmittelbar nach ihrer Bekanntgabe über den Formulardienst gelöscht werden. Sie dürfen vor dem Versand der Meldung während höchstens 24 Stunden vorübergehend gespeichert werden. SR 128.31

Art. 49 Besondere Vollzugsbestimmungen

Das VBS kann bestimmte datierte Fassungen der generell-abstrakten Weisungen nach den Artikeln 17 Absatz 3, 21 Absatz 1, 29 Absatz 1 und 34 Absatz 1 für die Kantone als verbindlich erklären.

Art. 50 Aufhebung und Änderung anderer Erlasse

Die Aufhebung und die Änderung anderer Erlasse werden in Anhang 2 geregelt.

Art. 51 Übergangsbestimmungen

1 Vor Inkrafttreten dieser Verordnung durch das Nationale Zentrum für Cybersicherheit (NCSC) erlassene Vorgaben zur Informatiksicherheit und bewilligte Ausnahmen gelten bis höchstens drei Jahre nach Inkrafttreten dieser Verordnung. 2 Über Änderungen an Vorgaben und bewilligten Ausnahmen, die vor Inkrafttreten dieser Verordnung durch das NCSC erlassen worden sind, entscheidet entweder die Fachstelle des Bundes für Informationssicherheit oder das NCSC. 3 Vor Inkrafttreten dieser Verordnung durch die Generalsekretärenkonferenz oder durch die Koordinationsstelle für den Informationsschutz im Bund erlassene Vorgaben zum Informationsschutz gelten bis höchstens zwei Jahre nach Inkrafttreten dieser Verordnung. 4 Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c müssen ihr ISMS (Art. 5) innert drei Jahren nach Inkrafttreten dieser Verordnung aufbauen. 5 Die Klassifizierungskataloge (Art. 17) müssen bis spätestens ein Jahr nach Inkrafttreten dieser Verordnung erstellt werden. 6 Bis zum 30. Juni 2025 nimmt das BACS die Aufgaben und Kompetenzen der Fachstelle des Bundes für Informationssicherheit nach den Artikeln 9 Absätze 2 und 3, 11 Absätze 3 und 4, 12 Absätze 3 und 6–8, 15, 27 Absatz 7, 29 Absatz 1 und 31 Absatz 1 wahr. 7 Weisungen, die das BACS in Anwendung von Absatz 6 erlässt, gelten bis höchstens zwei Jahre nach Inkrafttreten dieser Verordnung.

Art. 52 Inkrafttreten

Diese Verordnung tritt am 1. Januar 2024 in Kraft.

← Find another law