1 Dieses Gesetz soll:
a. die sichere Bearbeitung der Informationen, für die der Bund zuständig ist, sowie den sicheren Einsatz der Informatikmittel des Bundes gewährleisten;
b. die Widerstandsfähigkeit der Schweiz gegenüber Cyberbedrohungen erhöhen.
2 Dadurch sollen die folgenden öffentlichen Interessen geschützt werden:
a. die Entscheidungs- und Handlungsfähigkeit der Behörden und Organisationen des Bundes;
b. die innere und äussere Sicherheit der Schweiz;
c. die aussenpolitischen Interessen der Schweiz;
d. die wirtschafts-, finanz- und währungspolitischen Interessen der Schweiz;
e. die Erfüllung der gesetzlichen und vertraglichen Verpflichtungen der Behörden und Organisationen des Bundes zum Schutz von Informationen.
Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84).
Art. 2 Verpflichtete Behörden und Organisationen
1 Dieses Gesetz gilt für die nachstehenden Behörden (verpflichtete Behörden):
a. die Bundesversammlung;
b. den Bundesrat;
c. die eidgenössischen Gerichte;
d. die Bundesanwaltschaft und die Aufsichtsbehörde über die Bundesanwaltschaft;
e. die Schweizerische Nationalbank.
2 Es gilt für die nachstehenden Organisationen (verpflichtete Organisationen):
a. die Parlamentsdienste;
b. die Bundesverwaltung;
c. die Verwaltungen der eidgenössischen Gerichte;
d. die Armee;
e. Organisationen nach Artikel 2 Absatz 4 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997 (RVOG) für ihre Verwaltungsaufgaben.
3 Der Bundesrat kann für Organisationen nach Artikel 2 Absätze 3 und 4 RVOG die Geltung des Gesetzes auf diejenigen Organisationen einschränken, die:
a. sicherheitsempfindliche Tätigkeiten ausüben; oder
b. zur Erfüllung ihrer Aufgaben Informatikmittel des Bundes einsetzen oder darauf zugreifen.
4 Er kann die Geltung nach Absatz 3 auf Teile des Gesetzes beschränken. Er berücksichtigt dabei die Vollzugsautonomie der betreffenden Organisationen nach Massgabe ihrer Organisationserlasse.
5 Für Organisationen des öffentlichen und privaten Rechts, die kritische Infrastrukturen betreiben, die aber nicht unter die Absätze 1–3 fallen, gelten die Artikel 73a–79. Die Spezialgesetzgebung kann weitere Teile dieses Gesetzes für anwendbar erklären.
SR 172.010
Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84).
Art. 3 Geltung für die Kantone
1 Für die Kantone gelten nur die Bestimmungen:
a. über klassifizierte Informationen, soweit sie klassifizierte Informationen des Bundes bearbeiten; und
b. über die Sicherheit beim Einsatz von Informatikmitteln, soweit sie auf Informatikmittel des Bundes zugreifen.
2 Diese Bestimmungen gelten nicht, wenn die Kantone eine mindestens gleichwertige Informationssicherheit gewährleisten.
Art. 4 Verhältnis zu anderen Erlassen des Bundes
1 Das Öffentlichkeitsgesetz vom 17. Dezember 2004 (BGÖ) geht diesem Gesetz vor.
1bis Informationen Dritter, von denen das Bundesamt für Cybersicherheit (BACS) durch die Entgegennahme und Analyse von Meldungen gemäss dem 5. Kapitel Kenntnis erhält, dürfen nicht nach dem BGÖ zugänglich gemacht werden. Nicht als Dritte gelten Behörden, Organisationen und Personen nach Artikel 2 Absatz 1 BGÖ.
2 Für Informationen, deren Schutz auch in anderen Bundesgesetzen geregelt ist, finden die Bestimmungen dieses Gesetzes ergänzend Anwendung.
SR 152.3
Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84).
Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 168, 173; BBl 2023 84).
Art. 5 Begriffe
In diesem Gesetz bedeuten:
a. Informatikmittel: Mittel der Informations- und Kommunikationstechnik, namentlich Anwendungen, Informationssysteme und Datensammlungen sowie Einrichtungen, Produkte und Dienste, die zur elektronischen Verarbeitung von Informationen dienen;
b. sicherheitsempfindliche Tätigkeit:1. die Bearbeitung von «vertraulich» oder «geheim» klassifizierten Informationen,
2. die Verwaltung, der Betrieb, die Wartung und die Überprüfung von Informatikmitteln der Sicherheitsstufe «hoher Schutz» oder «sehr hoher Schutz»,
3. der Zugang zu Sicherheitszonen, insbesondere zu Schutzzone 2 oder 3 einer Anlage nach der Gesetzgebung über den Schutz militärischer Anlagen;
c. kritische Infrastrukturen: Trinkwasser- und Energieversorgung, Informations-, Kommunikations- und Transportinfrastrukturen sowie weitere Prozesse, Systeme und Einrichtungen, die essenziell für das Funktionieren der Wirtschaft beziehungsweise das Wohlergehen der Bevölkerung sind;
d. Cybervorfall: Ereignis bei der Nutzung von Informatikmitteln, das dazu führt, dass die Vertraulichkeit, Verfügbarkeit oder Integrität von Informationen oder die Nachvollziehbarkeit ihrer Bearbeitung beeinträchtigt ist;
e. Cyberangriff: Cybervorfall, der absichtlich ausgelöst wurde;
f. Cyberbedrohung: Jeder Umstand oder jedes Ereignis mit dem Potenzial, einen Cybervorfall zu ermöglichen;
g. Schwachstelle: Cyberbedrohung, die auf Schwächen oder Fehler in Informatikmitteln zurückzuführen ist.
Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84).
Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84).
Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84).
Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84).
Art. 6 Informationssicherheit
1 Die verpflichteten Behörden und Organisationen sorgen dafür, dass der Schutzbedarf der Informationen, für die sie zuständig sind, hinsichtlich einer allfälligen Beeinträchtigung der Interessen nach Artikel 1 Absatz 2 beurteilt wird.
2 Sie sorgen dafür, dass diese Informationen, ihrem Schutzbedarf entsprechend:
a. nur Berechtigten zugänglich sind (Vertraulichkeit);
b. verfügbar sind, wenn sie benötigt werden (Verfügbarkeit);
c. nicht unberechtigt oder unbeabsichtigt verändert werden (Integrität);
d. nachvollziehbar bearbeitet werden (Nachvollziehbarkeit).
3 Sie sorgen dafür, dass die Informatikmittel, die sie zur Erfüllung ihrer gesetzlichen Aufgaben einsetzen, vor Missbrauch und Störung geschützt werden.
4 Sie tragen dabei den Grundsätzen der Zweckmässigkeit, der Wirtschaftlichkeit und der Benutzerfreundlichkeit Rechnung.
Art. 7 Oberste Führungsverantwortung
1 Die verpflichteten Behörden sorgen in ihrem Zuständigkeitsbereich dafür, dass die Informationssicherheit nach dem Stand von Wissenschaft und Technik organisiert, umgesetzt und überprüft wird.
2 Sie legen fest:
a. ihre Ziele für die Informationssicherheit;
b. die Eckwerte für den Umgang mit Risiken;
c. die Folgen bei Missachtung der Vorschriften.
Art. 8 Risikomanagement
1 Die verpflichteten Behörden und Organisationen sorgen in ihrem Zuständigkeitsbereich dafür, dass die Risiken für die Informationssicherheit laufend beurteilt werden.
2 Sie treffen die erforderlichen Massnahmen, um die Risiken zu vermeiden oder auf ein tragbares Mass zu reduzieren.
3 Risiken, die getragen werden sollen, müssen nachweislich akzeptiert werden.
Art. 9 Zusammenarbeit mit Dritten
1 Arbeiten die verpflichteten Behörden und Organisationen mit Dritten zusammen, so sorgen sie dafür, dass die Anforderungen und Massnahmen nach diesem Gesetz in den entsprechenden Vereinbarungen und Verträgen festgehalten werden.
2 Sie sorgen für eine angemessene Überprüfung der Umsetzung der Massnahmen.
Art. 10 Vorgehen bei Verletzungen der Informationssicherheit
1 Die verpflichteten Behörden und Organisationen sorgen dafür, dass Verletzungen der Informationssicherheit rasch erkannt, deren Ursachen abgeklärt und allfällige Auswirkungen minimiert werden.
2 Die verpflichteten Behörden sorgen dafür, dass für allfällige schwerwiegende Verletzungen der Informationssicherheit, welche die Erfüllung unverzichtbarer Aufgaben des Bundes gefährden können, Vorsorgeplanungen erstellt und entsprechende Übungen durchgeführt werden.
Art. 10a Bearbeitung von Personendaten
1 Die verpflichteten Behörden und Organisationen können die zur Gewährleistung der Informationssicherheit zweckmässigen Personendaten, insbesondere in dafür vorgesehenen Informationssystemen (ISMS-Anwendungen), bearbeiten.
2 Sie können Personendaten nach Absatz 1 untereinander sowie mit nationalen, internationalen und ausländischen Organisationen des öffentlichen Rechts austauschen, sofern:
a. dies zur Gewährleistung der Informationssicherheit zweckmässig ist;
b. keine gesetzlichen oder vertraglichen Geheimhaltungspflichten verletzt werden;
c. die Vorgaben der Bundesgesetzgebung über den Datenschutz eingehalten werden; und
d. diese Organisationen gesetzliche Aufgaben im Bereich der Informationssicherheit wahrnehmen, die denjenigen der bekanntgebenden Behörde oder Organisation entsprechen.
3 Sie können ihre Informationssysteme, insbesondere die ISMS-Anwendungen, miteinander verknüpfen und Daten automatisch oder auf Anfrage über Schnittstellen austauschen.
4 Sie können zur Einreichung und Bearbeitung von Anträgen und Meldungen im Bereich der Informationssicherheit digitale Formulare betreiben und diese mit ihren ISMS-Anwendungen oder anderen Informationssystemen verknüpfen.
5 Sofern dies für die Bewältigung von Verletzungen der Informationssicherheit oder die Behebung von Schwachstellen erforderlich ist, können sie besonders schützenswerte Personendaten nach Artikel 5 Buchstabe c des Datenschutzgesetzes vom 25. September 2020 (DSG) von Personen, die daran beteiligt oder davon betroffen sind respektive sein könnten:
a. bearbeiten;
b. untereinander sowie mit nationalen, internationalen und ausländischen Organisationen des öffentlichen Rechts austauschen, sofern die Bedingung nach Absatz 2 Buchstabe b erfüllt ist.
6 Sie dürfen die besonders schützenswerten Personendaten bis zwei Jahre nach der Bewältigung der Verletzungen der Informationssicherheit oder der Behebung der Schwachstellen aufbewahren, höchstens aber zehn Jahre.
7 Die Archivierung der Daten richtet sich nach den Vorschriften der Archivierungsgesetzgebung.
8 Die Bearbeitung von Personendaten durch das BACS zur Erfüllung seiner Aufgaben richtet sich nach den Artikeln 75–79.
Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84).
SR 235.1
Ausdruck gemäss Ziff. I der V vom 7. März 2025, in Kraft seit 1. April 2025 (AS 2025 168). Diese Änd. wurde im ganzen Erlass berücksichtigt.
Art. 11 Grundsätze der Klassifizierung
1 Die verpflichteten Behörden und Organisationen sorgen dafür, dass Informationen, welche die Kriterien nach Artikel 13 erfüllen, klassifiziert werden.
2 Die Klassifizierung ist auf das erforderliche Mindestmass zu beschränken und nach Möglichkeit zeitlich zu begrenzen.
Art. 12 Zuständigkeiten
1 Die verpflichteten Behörden legen fest, welche Personen und Stellen für das Klassifizieren der Informationen zuständig sind (klassifizierende Stellen).
2 Klassifizierungen dürfen nur von der klassifizierenden Stelle oder von der Stelle, die dieser übergeordnet ist, geändert oder aufgehoben werden.
3 Der Bundesrat regelt die Entklassifizierung von Archivgut.
Art. 13 Klassifizierungsstufen
1 Als «intern» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d beeinträchtigen kann.
2 Als «vertraulich» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d erheblich beeinträchtigen kann.
3 Als «geheim» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d schwerwiegend beeinträchtigen kann.
Art. 14 Zugang zu klassifizierten Informationen
1 Zugang zu klassifizierten Informationen erhalten nur Personen, die Gewähr dafür bieten, dass sie damit sachgerecht umgehen, und:
a. die Informationen zur Erfüllung einer gesetzlichen Aufgabe benötigen; oder
b. über eine vertraglich vereinbarte Zugangsberechtigung verfügen und die Informationen zur Erfüllung der ihnen übertragenen Aufgaben benötigen.
2 Der Zugang zu klassifiziertem Archivgut richtet sich nach den Bestimmungen der Archivierungsgesetzgebung.
3 Vorbehalten bleiben durch völkerrechtliche Verträge nach Artikel 87 geregelte Zugangsbeschränkungen.
Art. 15 Zugang zu klassifizierten Informationen in besonderen Verfahren
1 Der Zugang zu klassifizierten Informationen in der Bundesversammlung, in den Parlamentsdiensten sowie in den Gerichten und Staatsanwaltschaften richtet sich nach dem jeweils anwendbaren Verfahrensrecht.
2 Vor dem Entscheid, den Zugang zu einer Information nach Absatz 1 zu ermöglichen, kann das zuständige parlamentarische Organ oder das zuständige Gericht die klassifizierende Stelle anhören.
Art. 16 Sicherheitsverfahren
1 Die verpflichteten Behörden legen ein Verfahren zur Gewährleistung der Informationssicherheit beim Einsatz von Informatikmitteln fest (Sicherheitsverfahren).
2 Das Sicherheitsverfahren umfasst insbesondere:
a. die Beurteilung des Schutzbedarfs der Informationen vor dem Einsatz von Informatikmitteln;
b. die Umsetzung von Sicherheitsmassnahmen und deren Überprüfung;
c. die Zuständigkeit für die Sicherheitsfreigabe von Informatikmitteln;
d. das Vorgehen bei Veränderung der Risiken.
3 Für die Durchführung des Sicherheitsverfahrens ist die verpflichtete Behörde oder Organisation zuständig, die den Einsatz der Informatikmittel beschliesst.
Art. 17 Sicherheitsstufen
1 Die Sicherheitsstufe «Grundschutz» gilt für sämtliche Informatikmittel, sofern diese nicht höher eingestuft werden müssen.
2 Die Sicherheitsstufe «hoher Schutz» gilt für Informatikmittel, wenn:
a. eine Verletzung der Vertraulichkeit, Verfügbarkeit, Integrität oder Nachvollziehbarkeit der Informationen, die damit bearbeitet werden, die Interessen nach Artikel 1 Absatz 2 erheblich beeinträchtigen kann;
b. ein Missbrauch oder eine Störung des Informatikmittels die Interessen nach Artikel 1 Absatz 2 erheblich beeinträchtigen kann.
3 Die Sicherheitsstufe «sehr hoher Schutz» gilt für Informatikmittel, wenn:
a. eine Verletzung der Vertraulichkeit, Verfügbarkeit, Integrität oder Nachvollziehbarkeit der Informationen, die damit bearbeitet werden, die Interessen nach Artikel 1 Absatz 2 schwerwiegend beeinträchtigen kann;
b. ein Missbrauch oder eine Störung des Informatikmittels die Interessen nach Artikel 1 Absatz 2 schwerwiegend beeinträchtigen kann.
Art. 18 Sicherheitsmassnahmen
1 Die verpflichteten Behörden legen die Mindestanforderungen für die Sicherheitsstufen nach Artikel 17 fest.
2 Die Mindestanforderungen der Sicherheitsstufe «Grundschutz» müssen sämtliche Informatikmittel erfüllen.
3 Bei Informatikmitteln der Sicherheitsstufe «sehr hoher Schutz» muss die Wirksamkeit der Massnahmen periodisch geprüft werden.
Art. 19 Sicherheit beim Betrieb
1 Die verpflichteten Behörden und Organisationen gewährleisten die Sicherheit der Informatikmittel, die sie für sich selbst oder im Auftrag einer anderen Behörde oder Organisation betreiben.
2 Die Bearbeitung von Personendaten im Rahmen der Netzwerküberwachung richtet sich sinngemäss nach den Artikeln 57i–57q RVOG.
SR 172.010
Art. 20 Voraussetzungen für den Zugang zu Informationen und Informatikmitteln des Bundes
1 Die verpflichteten Behörden und Organisationen sorgen dafür, dass Personen, die Zugang zu Informationen, Informatikmitteln, Räumlichkeiten und anderen Infrastrukturen des Bundes haben:
a. sorgfältig ausgewählt werden;
b. risikogerecht identifiziert werden;
c. stufengerecht aus- und weitergebildet werden;
d. gegebenenfalls zur Geheimhaltung verpflichtet werden.
2 Sie können biometrische Verifikationsmethoden verwenden, wenn dies zur risikogerechten Identifizierung von Personen erforderlich ist. Die biometrischen Daten werden nach dem Wegfall der Zugangsberechtigung vernichtet.
3 Sie können zudem die AHV-Nummer nach Artikel 50c des Bundesgesetzes vom 20. Dezember 1946 über die Alters- und Hinterlassenenversicherung (AHV-Nummer) systematisch als Personenidentifikator verwenden.
SR 831.10
Fassung gemäss Anhang Ziff. 40 des BG vom 18. Dez. 2020 (Systematische Verwendung der AHV-Nummer durch Behörden), in Kraft seit 1. Jan. 2024 (AS 2021 758; 2023 650; BBl 2019 7359).
Art. 21 Restriktive Erteilung von Berechtigungen
1 Die verpflichteten Behörden und Organisationen sorgen dafür, dass nur diejenigen Berechtigungen für den Zugang zu Informationen, Informatikmitteln, Räumlichkeiten und anderen Infrastrukturen des Bundes erteilt werden, welche die betreffenden Personen zur Erfüllung ihrer Aufgaben benötigen.
2 Die Berechtigungen werden entzogen, sobald die Anstellung oder der Vertrag endet oder die Aufgabe erfüllt ist. Sie dürfen ohne Vorankündigung gesperrt oder entzogen werden, wenn konkrete Anhaltspunkte für eine Gefährdung der Sicherheit vorliegen.
Art. 22 Grundsatz
Die verpflichteten Behörden und Organisationen sorgen für einen angemessenen physischen Schutz der Informationen und Informatikmittel, für die sie zuständig sind, vor Missbrauch und Störung.
Art. 23 Sicherheitszonen
1 Die verpflichteten Behörden und Organisationen können Räumlichkeiten und Bereiche als Sicherheitszone bezeichnen, in denen:
a. häufig «vertraulich» oder «geheim» klassifizierte Informationen bearbeitet werden; oder
b. Informatikmittel der Sicherheitsstufe «hoher Schutz» oder «sehr hoher Schutz» betrieben werden.
2 Sie sind befugt:
a. das Mitführen bestimmter Gegenstände, insbesondere von Aufnahmegeräten, zu verbieten;
b. sicherheitsempfindliche Bereiche mit Aufnahmegeräten zu überwachen;
c. Taschen- und Personenkontrollen durchzuführen;
d. unangemeldet Raumkontrollen, auch in Abwesenheit der Angestellten, durchzuführen.
3 Sie können in Sicherheitszonen, in denen «geheim» klassifizierte Informationen häufig bearbeitet oder Informatikmittel der Sicherheitsstufe «sehr hoher Schutz» betrieben werden, störende Fernmeldeanlagen nach Artikel 34 Absatz 1ter des Fernmeldegesetzes vom 30. April 1997 (FMG) betreiben.
4 Vorbehalten bleiben die besonderen Vorschriften für Sicherheitszonen gemäss völkerrechtlichen Verträgen nach Artikel 87 sowie für Schutzzonen von Anlagen nach der Gesetzgebung über den Schutz militärischer Anlagen.
SR 784.10
Art. 24 Einsatz von Identitätsverwaltungs-Systemen
1 Die verpflichteten Behörden können zur zentralen Verwaltung der Daten zur Identifizierung von Personen, die Zugang zu Informationen, Informatikmitteln, Räumlichkeiten und anderen Infrastrukturen haben, Informationssysteme betreiben (Identitätsverwaltungs-Systeme).
2 Die Identitätsverwaltungs-Systeme prüfen die Identität und berechtigungsbezogene Eigenschaften von Personen, Maschinen und Systemen. Sie übermitteln das Resultat an die angeschlossenen Informationssysteme, damit diese die Berechtigungen ermitteln können.
3 Die verpflichteten Behörden bezeichnen für jedes Identitätsverwaltungs-System eine verantwortliche Stelle.
Art. 25 Datenaustausch und -abgleich
1 Die Identitätsverwaltungs-Systeme können mit den angeschlossenen Informationssystemen, mit Personal- und Benutzerverzeichnissen und mit anderen Identitätsverwaltungs-Systemen von verpflichteten Behörden Daten austauschen und abgleichen.
2 Der Austausch und Abgleich ist auf die Daten zu begrenzen, die im jeweiligen System bearbeitet werden dürfen.
Art. 26 Ausführungsbestimmungen
Die verpflichteten Behörden erlassen Ausführungsbestimmungen insbesondere über:
a. den Datenschutz und die Datensicherheit;
b. die bearbeiteten Personendaten;
c. den Datenaustausch und -abgleich mit anderen Systemen;
d. die Protokollierung und die Weitergabe von Protokolldaten an die angeschlossenen Informationssysteme;
e. die periodische Kontrolle der Bearbeitung von Personendaten durch eine externe Stelle.
Art. 27 Prüfzweck und Prüfungsinhalt
1 Die Personensicherheitsprüfung dient zur Beurteilung, ob ein Risiko für die Informationssicherheit bestehen könnte, wenn eine Person im Rahmen ihrer Funktion oder eines Auftrags eine sicherheitsempfindliche Tätigkeit ausübt.
2 Zu diesem Zweck werden sicherheitsrelevante Daten über die Lebensführung der zu prüfenden Person, insbesondere über ihre engen persönlichen Beziehungen und familiären Verhältnisse, ihre finanzielle Lage und ihre Beziehungen zum Ausland, bearbeitet.
3 Daten über die Ausübung verfassungsmässiger Rechte dürfen nur dann bearbeitet werden, wenn ein konkreter Verdacht besteht, dass die zu prüfende Person diese Rechte ausübt, um Tätigkeiten vorzubereiten oder auszuüben, welche die Interessen nach Artikel 1 Absatz 2 erheblich beeinträchtigen können.
Art. 28 Funktionenliste
1 Die verpflichteten Behörden erlassen für ihren Zuständigkeitsbereich eine Liste der Funktionen, welche die Ausübung einer sicherheitsempfindlichen Tätigkeit erfordern.
2 Sie prüfen periodisch die Richtigkeit der Liste und passen sie an.
Art. 29 Zu prüfende Personen
1 Eine Personensicherheitsprüfung wird durchgeführt bei:
a. Angestellten des Bundes, externen Mitarbeitenden und Angehörigen der Armee, die eine Funktion ausüben, die in einer Liste nach Artikel 28 enthalten ist;
b. Angestellten eines Kantons, die eine sicherheitsempfindliche Tätigkeit ausüben;
c. Dritten, die für eine verpflichtete Behörde oder Organisation einen Auftrag ausführen, der die Ausübung einer sicherheitsempfindlichen Tätigkeit einschliesst;
d. Personen, die aufgrund eines völkerrechtlichen Vertrags nach Artikel 87 einer Personensicherheitsprüfung unterzogen werden müssen.
2 Soll eine Person von einer ausländischen Behörde oder internationalen Organisation mit der Ausübung einer sicherheitsempfindlichen Tätigkeit betraut werden, so wird die Personensicherheitsprüfung durchgeführt, sofern die Schweiz mit dem betreffenden Staat oder der betreffenden internationalen Organisation einen völkerrechtlichen Vertrag nach Artikel 87 abgeschlossen hat.
3 Personen, die eine Funktion ausüben, die noch nicht in einer Liste nach Artikel 28 enthalten ist, können mit Zustimmung der verpflichteten Behörde ausnahmsweise einer Personensicherheitsprüfung unterzogen werden. Die betreffende Liste muss bei nächster Gelegenheit angepasst werden.
4 Nicht durchgeführt wird die Personensicherheitsprüfung bei Anwärterinnen und Anwärtern auf folgende Funktionen:
a. Mitglied der Bundesversammlung;
b. Mitglied des Bundesrates, Bundeskanzlerin oder Bundeskanzler;
c. Richterin oder Richter eines eidgenössischen Gerichts;
d. Bundesanwältin oder Bundesanwalt;
e. Mitglied der Aufsichtsbehörde über die Bundesanwaltschaft;
ebis. Leiterin oder Leiter des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten;
f. General;
g. kantonale Magistratsperson, die vom Volk oder vom kantonalen Parlament gewählt wird.
Eingefügt durch Ziff. I der BG vom 17. Juni 2022 (Leiterin oder Leiter des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten), in Kraft seit 1. Jan. 2024 (AS 2023 734; BBl 2022 345, 432).
Art. 30 Prüfstufen
Die verpflichteten Behörden ordnen den sicherheitsempfindlichen Tätigkeiten eine der folgenden Prüfstufen zu:
a. Grundsicherheitsprüfung: für sicherheitsempfindliche Tätigkeiten, bei deren vorschriftswidriger oder unsachgemässer Ausübung die Interessen nach Artikel 1 Absatz 2 erheblich beeinträchtigt werden können;
b. erweiterte Personensicherheitsprüfung: für sicherheitsempfindliche Tätigkeiten, bei deren vorschriftswidriger oder unsachgemässer Ausübung die Interessen nach Artikel 1 Absatz 2 schwerwiegend beeinträchtigt werden können.
Art. 31 Zuständige Stellen
1 Die verpflichteten Behörden und die Kantone legen fest, welche Stellen zuständig sind für:
a. die Einleitung der Personensicherheitsprüfungen (einleitende Stellen);
b. den Entscheid über die Ausübung der sicherheitsempfindlichen Tätigkeit (entscheidende Stellen).
2 Der Bundesrat setzt für die Durchführung der Personensicherheitsprüfungen eine oder mehrere Fachstellen ein (Fachstellen PSP). Diese sind in ihrer Beurteilung weisungsungebunden.
Art. 32 Einwilligung und Mitwirkung
1 Personensicherheitsprüfungen dürfen nur mit der Einwilligung der zu prüfenden Person durchgeführt werden.
2 Stellungspflichtige sowie Angehörige der Armee und des Zivilschutzes dürfen ohne deren Einwilligung geprüft werden.
3 Die zu prüfende Person ist verpflichtet, an der Feststellung des Sachverhalts mitzuwirken.
Art. 33 Zeitpunkt der Personensicherheitsprüfung
1 Bei Personen nach Artikel 29 Absatz 1 Buchstaben a und b muss die Personensicherheitsprüfung eingeleitet werden, bevor die Funktion übertragen wird.
2 Bei Personen nach Artikel 29 Absatz 1 Buchstabe a, die dem Bundesrat zur Wahl vorgeschlagen werden sollen, muss die Personensicherheitsprüfung abgeschlossen sein, bevor die Person zur Wahl vorgeschlagen wird.
3 Bei Personen nach Artikel 29 Absatz 1 Buchstabe c muss die Personensicherheitsprüfung abgeschlossen sein, bevor sie mit der Ausübung der sicherheitsempfindlichen Tätigkeit beauftragt wird.
4 Bei Personen nach Artikel 29 Absatz 1 Buchstabe d richtet sich der Zeitpunkt der Personensicherheitsprüfung nach den Bestimmungen des entsprechenden Vertrags.
Art. 34 Datenerhebung
1 Die Fachstelle PSP kann für die Grundsicherheitsprüfung aus folgenden Quellen Daten über die zu prüfende Person erheben:
a. aus dem Strafregister;
b. bei den Strafbehörden durch Einholen von Auskünften und Akten über laufende, abgeschlossene oder eingestellte Strafverfahren;
c. bei den Sicherheitsorganen des Bundes, dem Nachrichtendienst des Bundes (NDB), den Organen der Armee sowie weiteren Organen des Bundes, sofern diese Daten bearbeiten, die für die Beurteilung des Sicherheitsrisikos erforderlich sind;
d. aus den Registern und Akten der Sicherheitsorgane der Kantone sowie der Polizei;
e. aus den Registern der Betreibungs- und Konkursbehörden;
f. aus den Akten bisheriger Personensicherheitsprüfungen;
g. aus öffentlich zugänglichen Quellen.
2 Sie kann für die erweiterte Personensicherheitsprüfung zudem aus folgenden Quellen Daten erheben:
a. bei den eidgenössischen und kantonalen Steuerbehörden;
b. aus den Registern der Einwohnerkontrollen;
c. bei Finanzinstituten und Banken, mit welchen die zu prüfende Person Geschäftsbeziehungen unterhält;
d. durch Befragung der zu prüfenden Person.
3 Ergeben sich gestützt auf die erhobenen Daten konkrete Hinweise auf ein Sicherheitsrisiko oder sind für die Beurteilung nicht genügend Daten über einen hinreichenden Zeitraum vorhanden, so kann die Fachstelle PSP die zu prüfende Person befragen. Sie kann mit der Einwilligung der zu prüfenden Person auch Dritte befragen; sie macht die Drittperson darauf aufmerksam, dass die Auskunft freiwillig ist.
4 Daten über Dritte, die untrennbar mit Daten über die zu prüfende Person verbunden sind, dürfen nur bearbeitet werden, wenn dies für die Beurteilung des Sicherheitsrisikos unerlässlich ist. Die Fachstelle PSP informiert die betroffenen Dritten über die Bearbeitung.
Art. 35 Amtshilfe
1 Müssen die Daten bei einer ausländischen Behörde oder internationalen Organisation erhoben werden, so erfolgt dies über die zuständige Behörde oder Organisation nach Artikel 34.
2 Ergibt die Datenerhebung konkrete Hinweise auf das organisierte oder internationale Verbrechen, so konsultiert die Fachstelle PSP die kriminalpolizeilichen Zentralstellen des Bundes. Die Zentralstellen geben der Fachstelle PSP nur sicherheitsrelevante Personendaten bekannt.
Art. 36 Kostentragung
1 Behörden und Organisationen des öffentlichen Rechts, bei denen Daten erhoben werden dürfen oder die am Verfahren mitwirken müssen, sind verpflichtet, unentgeltlich mitzuwirken.
2 Entsteht für Dritte durch die Mitwirkung ein erheblicher Aufwand, so werden sie dafür entschädigt.
3 Der Bund trägt die Kosten der Personensicherheitsprüfungen von Angestellten der Kantone nach Artikel 29 Absatz 1 Buchstabe b.
Art. 37 Einstellung
1 Die Fachstelle PSP stellt das Prüfverfahren ein, wenn die zu prüfende Person ihre Einwilligung zurückzieht oder für die Funktion oder für den Auftrag nicht mehr in Frage kommt.
2 Sie teilt die Einstellung des Prüfverfahrens der betreffenden Person und der einleitenden Stelle mit. Die betreffende Person gilt damit als nicht geprüft.
Art. 38 Sicherheitsrisiko
1 Ein Sicherheitsrisiko besteht, wenn aufgrund der erhobenen Daten konkrete Anhaltspunkte vorliegen, dass die geprüfte Person die sicherheitsempfindliche Tätigkeit mit hoher Wahrscheinlichkeit vorschriftswidrig oder unsachgemäss ausüben wird.
2 Die Wahrscheinlichkeit einer vorschriftswidrigen oder unsachgemässen Ausübung der sicherheitsempfindlichen Tätigkeit kann insbesondere dann als hoch gelten, wenn konkrete Anhaltspunkte für folgende persönliche Eigenschaften vorliegen:
a. mangelnde persönliche Integrität oder Vertrauenswürdigkeit;
b. Erpressbarkeit oder Bestechlichkeit; oder
c. beeinträchtigtes Urteils- oder Entscheidungsvermögen.
3 Das Sicherheitsrisiko muss ungeachtet des Verschuldens der geprüften Person aufgrund der tatsächlichen Umstände ihrer persönlichen Verhältnisse festgestellt werden.
Art. 39 Ergebnis der Beurteilung
1 Die Fachstelle PSP stellt das Ergebnis der Beurteilung als eine der folgenden Erklärungen mit der nachstehenden Bedeutung aus:
a. Sicherheitserklärung: Es besteht kein Sicherheitsrisiko.
b. Sicherheitserklärung mit Vorbehalt: Es besteht ein Sicherheitsrisiko, das mit Auflagen auf ein tragbares Mass reduziert werden kann. Die Fachstelle PSP empfiehlt entsprechende Auflagen.
c. Risikoerklärung: Es besteht ein Sicherheitsrisiko.
d. Feststellungserklärung: Für die Beurteilung des Sicherheitsrisikos sind nicht genügend Daten über einen hinreichenden Zeitraum vorhanden.
2 Bevor die Fachstelle PSP eine Erklärung nach Absatz 1 Buchstaben b–d ausstellt, gibt sie der geprüften Person die Möglichkeit zur Stellungnahme.