Law

Bundesgesetz über die Informationssicherheit

Confederation · 128 · statute

Ask the law about thisMore laws of ConfederationFor machines: Markdown

Open at the publisher →

In force since 2025-10-01, as the publisher states.

Copy read on 2026-10-23. The page it was read from

sha256 a0a32726c4a3248c9d2fb30eda327cc36cd9cebc6935d0b5ed0e199c8c63914f

Contents: 106 provisions
  1. Art. 1 Zweck
  2. Art. 2 Verpflichtete Behörden und Organisationen
  3. Art. 3 Geltung für die Kantone
  4. Art. 4 Verhältnis zu anderen Erlassen des Bundes
  5. Art. 5 Begriffe
  6. Art. 6 Informationssicherheit
  7. Art. 7 Oberste Führungsverantwortung
  8. Art. 8 Risikomanagement
  9. Art. 9 Zusammenarbeit mit Dritten
  10. Art. 10 Vorgehen bei Verletzungen der Informationssicherheit
  11. Art. 10a Bearbeitung von Personendaten
  12. Art. 11 Grundsätze der Klassifizierung
  13. Art. 12 Zuständigkeiten
  14. Art. 13 Klassifizierungsstufen
  15. Art. 14 Zugang zu klassifizierten Informationen
  16. Art. 15 Zugang zu klassifizierten Informationen in besonderen Verfahren
  17. Art. 16 Sicherheitsverfahren
  18. Art. 17 Sicherheitsstufen
  19. Art. 18 Sicherheitsmassnahmen
  20. Art. 19 Sicherheit beim Betrieb
  21. Art. 20 Voraussetzungen für den Zugang zu Informationen und Informatikmitteln des Bundes
  22. Art. 21 Restriktive Erteilung von Berechtigungen
  23. Art. 22 Grundsatz
  24. Art. 23 Sicherheitszonen
  25. Art. 24 Einsatz von Identitätsverwaltungs-Systemen
  26. Art. 25 Datenaustausch und -abgleich
  27. Art. 26 Ausführungsbestimmungen
  28. Art. 27 Prüfzweck und Prüfungsinhalt
  29. Art. 28 Funktionenliste
  30. Art. 29 Zu prüfende Personen
  31. Art. 30 Prüfstufen
  32. Art. 31 Zuständige Stellen
  33. Art. 32 Einwilligung und Mitwirkung
  34. Art. 33 Zeitpunkt der Personensicherheitsprüfung
  35. Art. 34 Datenerhebung
  36. Art. 35 Amtshilfe
  37. Art. 36 Kostentragung
  38. Art. 37 Einstellung
  39. Art. 38 Sicherheitsrisiko
  40. Art. 39 Ergebnis der Beurteilung
  41. Art. 40 Mitteilung
  42. Art. 41 Ausübung der sicherheitsempfindlichen Tätigkeit
  43. Art. 42 Mehrmalige Verwendung einer Erklärung
  44. Art. 43 Wiederholung
  45. Art. 44 Rechtsschutz
  46. Art. 45 Informationssystem zur Personensicherheitsprüfung
  47. Art. 46 Zugriffsrechte und Datenbekanntgabe
  48. Art. 47 Datenaufbewahrung, -archivierung und -vernichtung
  49. Art. 48
  50. Art. 49 Verfahrenszweck
  51. Art. 50 Betroffene Betriebe
  52. Art. 51 Einstellung des Verfahrens
  53. Art. 52 Antrag auf Einleitung
  54. Art. 53 Prüfung des Antrags
  55. Art. 54 Festlegung der Sicherheitsanforderungen
  56. Art. 55 Eignung
  57. Art. 56 Datenerhebung
  58. Art. 57 Sicherheitsrisiko
  59. Art. 58 Eröffnung der Beurteilung und Ausschluss aus dem Vergabeverfahren
  60. Art. 59 Zuschlag und Sicherheitskonzept
  61. Art. 60 Personensicherheitsprüfungen
  62. Art. 61 Ausstellung der Betriebssicherheitserklärung
  63. Art. 62 Ausführung des sicherheitsempfindlichen Auftrags
  64. Art. 63 Pflichten des Betriebs
  65. Art. 64 Kontrollen und Schutzmassnahmen
  66. Art. 65 Vereinfachtes Verfahren bei der Vergabe weiterer sicherheitsempfindlicher Aufträge
  67. Art. 66 Internationale Betriebssicherheitsbescheinigung
  68. Art. 67 Widerruf der Betriebssicherheitserklärung
  69. Art. 68 Wiederholung des Verfahrens
  70. Art. 69 Rechtsschutz
  71. Art. 70 Informationssystem zum Betriebssicherheitsverfahren
  72. Art. 71 Zugriffsrechte und Datenbekanntgabe
  73. Art. 72 Datenaufbewahrung, -archivierung und -vernichtung
  74. Art. 73
  75. Art. 73a Grundsatz
  76. Art. 73b Meldungen
  77. Art. 73c Veröffentlichung von Informationen aus Meldungen
  78. Art. 73d Weiterleitung von Informationen
  79. Art. 74 Unterstützung von Betreiberinnen kritischer Infrastrukturen
  80. Art. 74a Grundsätze
  81. Art. 74b Meldepflichtige Behörden und Organisationen
  82. Art. 74c Ausnahmen von der Meldepflicht
  83. Art. 74d Zu meldende Cyberangriffe
  84. Art. 74e Frist und Inhalt der Meldung
  85. Art. 74f Übermittlung der Meldung
  86. Art. 74g Verletzung der Meldepflicht
  87. Art. 74h Missachten von Verfügungen des BACS
  88. Art. 75 Bearbeitung von Personendaten
  89. Art. 76 Zusammenarbeit im Inland
  90. Art. 76a Unterstützung für Behörden
  91. Art. 77 Internationale Zusammenarbeit
  92. Art. 78
  93. Art. 79 Datenaufbewahrung und -archivierung
  94. Art. 80
  95. Art. 81 Informationssicherheitsbeauftragte
  96. Art. 82 Konferenz der Informationssicherheitsbeauftragten
  97. Art. 83 Fachstelle des Bundes für Informationssicherheit
  98. Art. 84 Ausführungsbestimmungen
  99. Art. 85 Standardanforderungen und -massnahmen
  100. Art. 86 Kantone
  101. Art. 87 Völkerrechtliche Verträge
  102. Art. 88 Evaluation
  103. Art. 89 Änderung anderer Erlasse
  104. Art. 90 Übergangsbestimmungen
  105. Art. 91 Koordination mit anderen Erlassen
  106. Art. 92 Referendum und Inkrafttreten

106 provisions

Art. 40 Mitteilung

1 Die Fachstelle PSP teilt ihre Erklärung der geprüften Person sowie der entscheidenden Stelle schriftlich mit. 2 Bei den vom Bundesrat zu wählenden Personen teilt die Fachstelle PSP ihre Erklärung dem antragstellenden Departement mit. 3 Sie kann einer anderen entscheidenden Stelle die Erklärung mitteilen, wenn die geprüfte Person: a. für eine andere sicherheitsempfindliche Tätigkeit nach diesem Gesetz einer Personensicherheitsprüfung untersteht; b. einer Prüfung der Vertrauenswürdigkeit nach einem anderen Bundesgesetz untersteht; c. als Angehörige der Armee einer Prüfung nach Artikel 113 des Militärgesetzes vom 3. Februar 1995 untersteht. 4 Liegen der Fachstelle PSP bereits vor Abschluss der Beurteilung konkrete Anhaltspunkte vor, dass ein Sicherheitsrisiko bestehen könnte, so kann sie den Stellen nach den Absätzen 1–3 sowie der zu prüfenden Person die vorläufigen Erkenntnisse schriftlich mitteilen. SR 510.10

Art. 41 Ausübung der sicherheitsempfindlichen Tätigkeit

1 Die Erklärungen der Fachstellen PSP haben empfehlenden Charakter. 2 Die Stelle nach Artikel 31 Absatz 1 Buchstabe b entscheidet nach Kenntnisnahme der Erklärung ob die geprüfte Person die sicherheitsempfindliche Tätigkeit ausüben darf. 3 Sie kann die Ausübung der sicherheitsempfindlichen Tätigkeit mit Auflagen verbinden. 4 Sie teilt ihren Entscheid der Fachstelle PSP mit.

Art. 42 Mehrmalige Verwendung einer Erklärung

Auf die Durchführung der Personensicherheitsprüfung kann verzichtet werden, wenn für die betreffende Person bereits eine Erklärung derselben oder der höheren Prüfstufe ausgestellt wurde: a. für eine andere sicherheitsempfindliche Tätigkeit nach diesem Gesetz; b. im Rahmen einer Prüfung der Vertrauenswürdigkeit nach einem anderen Bundesgesetz.

Art. 43 Wiederholung

1 Die Personensicherheitsprüfung wird wie folgt wiederholt: a. Grundsicherheitsprüfung: frühestens nach fünf, spätestens aber nach zehn Jahren; b. erweiterte Personensicherheitsprüfung: frühestens nach drei, spätestens aber nach fünf Jahren. 2 Der Bundesrat kann für Funktionen der Armee und des Zivilschutzes von der Wiederholung der Grundsicherheitsprüfung absehen. 3 Hat die einleitende oder die entscheidende Stelle Grund anzunehmen, dass seit der letzten Prüfung neue Risiken entstanden sind, so kann sie bei der Fachstelle PSP mit schriftlicher Begründung eine Wiederholung der Personensicherheitsprüfung verlangen.

Art. 44 Rechtsschutz

1 Die geprüfte Person hat nach Erhalt der Erklärung nach Artikel 39 Absatz 1 30 Tage Zeit, um: a. Einsicht in die Prüfungsunterlagen zu nehmen; b. die Berichtigung falscher Daten oder die Vernichtung nicht mehr aktueller Daten zu verlangen; c. einen Bestreitungsvermerk anbringen zu lassen. 2 Die Einschränkung des Auskunftsrechts richtet sich nach Artikel 26 DSG. 3 Die Erklärung stellt einen Realakt nach Artikel 25a des Verwaltungsverfahrensgesetzes vom 20. Dezember 1968 dar. Die geprüfte Person kann gegen eine Erklärung nach Artikel 39 Absatz 1 Buchstaben b–d innerhalb von 30 Tagen nach deren Erhalt beim Bundesverwaltungsgericht Beschwerde führen. 4 Ist das Bundesgericht oder das Bundesverwaltungsgericht die entscheidende Stelle, so gilt Artikel 36 Absätze 2 und 4 des Bundespersonalgesetzes vom 24. März 2000 sinngemäss. 5 Das Beschwerdeverfahren richtet sich im Übrigen nach den allgemeinen Bestimmungen über die Bundesrechtspflege. SR 235.1 Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84). SR 172.021 SR 172.220.1

Art. 45 Informationssystem zur Personensicherheitsprüfung

1 Die Fachstellen PSP betreiben ein Informationssystem. Dieses dient der Durchführung von: a. Personensicherheitsprüfungen; b. Beurteilungen des Gefährdungs- oder Missbrauchspotenzials bezüglich der persönlichen Waffe; c. Zuverlässigkeitskontrollen; d. Prüfungen der Vertrauenswürdigkeit. 2 Jede Fachstelle PSP ist für die rechtmässige Bearbeitung der Personendaten im Informationssystem verantwortlich. 3 Im Informationssystem können besonders schützenswerte Personendaten nach Artikel 5 Buchstabe c DSG bearbeitet werden, sofern dies zur Beurteilung des Sicherheitsrisikos erforderlich ist. 3bis Anhand der Daten des Informationssystems darf ein Profiling, einschliesslich eines Profilings mit hohem Risiko, nach DSG durchgeführt werden, um die nachfolgenden persönlichen Aspekte einer natürlichen Person zu den Bearbeitungszwecken nach Absatz 1 zu analysieren, zu bewerten, zu beurteilen oder vorherzusagen: a. Sicherheitsrisiko; b. Gefährdungs- und Missbrauchspotenzial bezüglich der persönlichen Waffe. 4 Das Informationssystem enthält folgende Daten: a. Daten zur Identität der zu prüfenden oder geprüften Personen, einschliesslich der AHV-Nummer und der Passnummer; b. die Daten nach den Artikeln 34 und 35; c. die Beurteilung des Sicherheitsrisikos; d. die Erklärung nach Artikel 39 Absatz 1; e. den Entscheid der entscheidenden Stelle; f. Daten und Akten aus Beschwerdeverfahren; g. Listen und Statistiken, die Daten nach den Buchstaben a–f enthalten. 5 Werden Daten nach Absatz 4 ausserhalb des Informationssystems bearbeitet, so muss dies im Informationssystem vermerkt werden. 6 Die Daten nach Absatz 4 können automatisch und systematisch durch Abfrage der folgenden Informationssysteme erhoben werden: a. Strafregister-Informationssystem VOSTRA nach dem Strafregistergesetz vom 17. Juni 2016; b. nationaler Polizeiindex nach Artikel 17 des Bundesgesetzes vom 13. Juni 2008 über die polizeilichen Informationssysteme des Bundes; c. INDEX NDB nach Artikel 51 des Nachrichtendienstgesetzes vom 25. September 2015; d. die Datenbanken der Zentralstelle Waffen nach Artikel 32a Absatz 1 des Waffengesetzes vom 20. Juni 1997. Fassung gemäss Ziff. II 2 des BG vom 17. Juni 2022, in Kraft seit 1. Jan. 2024 (AS 2023 117, 650; BBl 2021 3046). SR 235.1 Fassung gemäss Anhang 2 Ziff. 5, in Kraft seit 1. Jan. 2024 (AS 2022 232; 2023 650; BBl 2017 2953). Eingefügt durch Ziff. II 2 des BG vom 17. Juni 2022, in Kraft seit 1. Jan. 2024 (AS 2023 117, 650; BBl 2021 3046). Fassung gemäss Anhang Ziff. 40 des BG vom 18. Dez. 2020 (Systematische Verwendung der AHV-Nummer durch Behörden), in Kraft seit 1. Jan. 2024 (AS 2021 758; 2023 650; BBl 2019 7359). Fassung gemäss Anhang 2 Ziff. 4, in Kraft seit 1. Jan. 2024 (AS 2022 232; 2023 650; BBl 2017 2953). SR 330 SR 361 SR 121 Eingefügt durch Ziff. II 2 des BG vom 17. Juni 2022, in Kraft seit 1. Jan. 2024 (AS 2023 117, 650; BBl 2021 3046). SR 514.54

Art. 46 Zugriffsrechte und Datenbekanntgabe

1 Die folgenden Stellen haben im Abrufverfahren Zugriff auf die nachstehenden Daten im Informationssystem: a. einleitende Stellen: auf die Daten nach Artikel 45 Absatz 4 Buchstabe b, die sie anlässlich der Einleitung der Prüfung selber erfasst haben, sowie die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e; b. entscheidende Stellen: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e; c. Informationssicherheitsbeauftragte nach Artikel 81 zur Erfüllung ihrer Kontrollaufgaben: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e; d. Stellen des Bundes und der Kantone, bei denen Daten nach Artikel 37 erhoben werden: auf die Daten nach Artikel 45 Absatz 4 Buchstabe a. 2 Die folgenden Stellen haben über eine Schnittstelle Zugriff auf die nachstehenden Daten im Informationssystem: a. die Fachstelle nach Artikel 51 Absatz 2 zur Durchführung des Betriebssicherheitsverfahrens nach den Artikeln 49–73 über das Informationssystem nach Artikel 70: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e; b. die Gruppe Verteidigung:1. zur Erfüllung ihrer Aufgaben nach Artikel 13 des Bundesgesetzes vom 3. Oktober 2008 über die militärischen Informationssysteme (MIG) über das Personalinformationssystem der Armee nach Artikel 12 MIG: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e, 2. zur Erfüllung ihrer Aufgaben nach Artikel 19 MIG über das Informationssystem Rekrutierung nach Artikel 18 MIG: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a und e, 3. zur Erfüllung ihrer Aufgaben nach Artikel 157 MIG über das Informationssystem Besuchsanträge nach Artikel 156 MIG: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a und e, 4. zur Erfüllung ihrer Aufgaben nach Artikel 163 MIG über das Informationssystem Zutrittskontrolle nach Artikel 162 MIG: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a und e; c. die Stelle, die für die Sicherheitsbescheinigung im internationalen Verhältnis nach Artikel 48 Buchstabe c zuständig ist: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e. 3 Die Fachstellen PSP können zudem Daten nach Artikel 45 Absatz 4 Buchstaben a und e weiteren Stellen des Bundes bekanntgeben, sofern dies zur Kontrolle des Zutritts zu einer Sicherheitszone erforderlich ist. 4 Sie können den verpflichteten Behörden und Organisationen Listen und Statistiken nach Artikel 45 Absatz 1 Buchstabe g bekanntgeben, sofern dies zur Erfüllung von deren Kontrollaufgaben nach diesem Gesetz erforderlich ist. SR 510.91

Art. 47 Datenaufbewahrung, -archivierung und -vernichtung

1 Die Fachstellen PSP können Befragungen nach Artikel 34 Absätze 2 Buchstabe d und 3 mit technischen Geräten aufnehmen und auf Datenträgern aufbewahren. 2 Sie bewahren die Daten so lange auf, wie die betreffende Person die sicherheitsempfindliche Tätigkeit ausübt, längstens jedoch zehn Jahre. 3 Die Archivierung der Daten richtet sich nach den Vorschriften der Archivierungsgesetzgebung. 4 Wird das Prüfverfahren eingestellt, tritt eine geprüfte Person die vorgesehene Funktion nicht an oder lehnt sie den Auftrag ab, so werden alle mit der Personensicherheitsprüfung zusammenhängenden Daten und Akten spätestens nach drei Monaten vernichtet.

Art. 48

Der Bundesrat regelt: a. das Verfahren der Personensicherheitsprüfung; b. die Organisation der Fachstellen PSP; c. die Sicherheitsbescheinigung für Personen im internationalen Verhältnis; d. die Verantwortung für den Datenschutz in Zusammenhang mit dem Informationssystem nach Artikel 45 sowie die Datensicherheit; e. die periodische Kontrolle der Bearbeitung von Personendaten durch eine externe Stelle.

Art. 49 Verfahrenszweck

Das Betriebssicherheitsverfahren dient zur Gewährleistung der Informationssicherheit bei der Erfüllung von öffentlichen Aufträgen durch Unternehmen und Subunternehmen oder Teile davon (Betriebe), sofern die Aufträge die Ausübung einer sicherheitsempfindlichen Tätigkeit einschliessen (sicherheitsempfindliche Aufträge).

Art. 50 Betroffene Betriebe

1 Das Betriebssicherheitsverfahren kann durchgeführt werden bei Betrieben: a. die einen sicherheitsempfindlichen Auftrag einer verpflichteten Behörde oder Organisation ausführen sollen; b. mit Sitz in der Schweiz, die sich um einen Auftrag bewerben, für den sie eine Betriebssicherheitsbescheinigung nach Artikel 66 benötigen. 2 Das Verfahren darf nur mit Einwilligung des Betriebs durchgeführt werden. 3 Die Betriebe nach Absatz 1 Buchstabe b tragen die Kosten des Verfahrens.

Art. 51 Einstellung des Verfahrens

1 Das Betriebssicherheitsverfahren wird eingestellt, wenn der Betrieb: a. seine Einwilligung zurückzieht oder am Verfahren nicht mitwirkt; b. sein Angebot zurückzieht; c. für den Auftrag nicht mehr in Frage kommt. 2 Die für die Durchführung des Betriebssicherheitsverfahrens zuständige Fachstelle (Fachstelle BS) teilt dem Betrieb und der den Auftrag vergebenden Behörde oder Organisation (Auftraggeberin) die Einstellung des Verfahrens mit.

Art. 52 Antrag auf Einleitung

1 Verpflichtete Behörden und Organisationen beantragen der Fachstelle BS die Einleitung des Verfahrens, wenn sie beabsichtigen, einen sicherheitsempfindlichen Auftrag zu vergeben. 2 Die verpflichteten Behörden legen fest, welche Stellen für die Antragstellung zuständig sind. 3 Für Betriebe nach Artikel 50 Absatz 1 Buchstabe b stellt die zuständige ausländische Behörde oder internationale Organisation den Antrag.

Art. 53 Prüfung des Antrags

1 Die Fachstelle BS prüft den Antrag und leitet das Verfahren ein. 2 Sie kann im Einvernehmen mit der Auftraggeberin auf die Einleitung verzichten, wenn das Sicherheitsrisiko mit anderen Massnahmen auf ein tragbares Mass reduziert werden kann. Sie empfiehlt entsprechende Massnahmen.

Art. 54 Festlegung der Sicherheitsanforderungen

Die Fachstelle BS legt in Absprache mit der Auftraggeberin die Anforderungen an die Informationssicherheit für das Vergabeverfahren und die Auftragserfüllung fest.

Art. 55 Eignung

1 Die Auftraggeberin teilt der Fachstelle BS mit, welche Betriebe für die Ausführung des sicherheitsempfindlichen Auftrags in Frage kommen. 2 Die Fachstelle BS beurteilt, ob diese Betriebe zur Ausführung des sicherheitsempfindlichen Auftrags geeignet sind oder ob ein Sicherheitsrisiko besteht. 3 Sie ist in ihrer Beurteilung weisungsungebunden.

Art. 56 Datenerhebung

1 Die Fachstelle BS kann zur Beurteilung der Eignung Daten erheben: a. beim Betrieb; b. beim NDB; c. aus öffentlich zugänglichen Quellen. 2 Sie kann ausländische und internationale Dienststellen um die Zustellung entsprechender Daten ersuchen. Anfragen an ausländische Nachrichtendienste erfolgen über den NDB.

Art. 57 Sicherheitsrisiko

1 Ein Sicherheitsrisiko besteht, wenn aufgrund der erhobenen Daten konkrete Anhaltspunkte vorliegen, dass der Betrieb den sicherheitsempfindlichen Auftrag mit hoher Wahrscheinlichkeit vorschriftswidrig oder unsachgemäss ausführen wird. 2 Die Wahrscheinlichkeit einer vorschriftswidrigen oder unsachgemässen Ausführung des sicherheitsempfindlichen Auftrags kann insbesondere dann als hoch gelten, wenn: a. der Betrieb mangelnde Integrität oder Vertrauenswürdigkeit aufweist; b. der Betrieb von ausländischen Staaten oder Organisationen des öffentlichen oder privaten Rechts kontrolliert oder beeinflusst wird und diese Kontrolle oder dieser Einfluss nicht mit dem Schutz der Interessen nach Artikel 1 Absatz 2 vereinbar ist; c. für Personen des Betriebs, die für die Ausführung des sicherheitsempfindlichen Auftrags unentbehrlich sind, eine Risikoerklärung ausgestellt wurde. 3 Das Sicherheitsrisiko muss ungeachtet eines Verschuldens aufgrund der tatsächlichen Umstände und Verhältnisse des betroffenen Betriebs festgestellt werden.

Art. 58 Eröffnung der Beurteilung und Ausschluss aus dem Vergabeverfahren

1 Die Fachstelle BS teilt ihre Beurteilung der Auftraggeberin mit und eröffnet sie dem Betrieb durch Verfügung. 2 Kommt die Fachstelle BS zum Schluss, dass die Ausführung des sicherheitsempfindlichen Auftrags mit einem Sicherheitsrisiko verbunden ist, so schliesst die Auftraggeberin den Betrieb vom Vergabeverfahren aus. 3 Ist die Ausführung des sicherheitsempfindlichen Auftrags bei allen in Frage kommenden Betrieben mit einem Sicherheitsrisiko verbunden, so kann die Auftraggeberin trotzdem einem dieser Betriebe den Auftrag erteilen. Die Fachstelle BS stellt das Betriebssicherheitsverfahren ein. Die Auftraggeberin wendet die Massnahmen nach den Artikeln 59, 60, 63 und 64 sinngemäss an.

Art. 59 Zuschlag und Sicherheitskonzept

1 Die Auftraggeberin teilt der Fachstelle BS mit, welcher Betrieb den Zuschlag erhält. 2 Der Betrieb erstellt nach den Vorgaben der Fachstelle BS ein Sicherheitskonzept. 3 Die Fachstelle BS prüft das Sicherheitskonzept. Sie kann die dazu erforderlichen Daten schriftlich erheben oder den Betrieb inspizieren.

Art. 60 Personensicherheitsprüfungen

1 Personen des Betriebs, die für eine sicherheitsempfindliche Tätigkeit vorgesehen sind, werden einer Personensicherheitsprüfung unterzogen. 2 Die Fachstelle BS ist für den Entscheid nach Artikel 41 Absatz 2 zuständig. Wird das Verfahren eingestellt, weil sich kein Betrieb für die Ausführung des Auftrags eignet (Art. 58 Abs. 3), so ist die Auftraggeberin für den Entscheid zuständig.

Art. 61 Ausstellung der Betriebssicherheitserklärung

1 Die Fachstelle BS stellt dem Betrieb eine Betriebssicherheitserklärung in Form einer Verfügung aus, sobald dieser das Sicherheitskonzept nachweislich umgesetzt hat. 2 Sie verweigert dem Betrieb die Betriebssicherheitserklärung und stellt das Betriebssicherheitsverfahren ein, wenn er das Sicherheitskonzept nicht umsetzt. Sie erlässt eine entsprechende Verfügung. 3 Die Verfügungen nach den Absätzen 1 und 2 werden der Auftraggeberin mitgeteilt. 4 Die Auftraggeberin ist an die Verfügung der Fachstelle BS gebunden; vorbehalten bleibt Artikel 58 Absatz 3. 5 Die Gültigkeit der Betriebssicherheitserklärung beträgt fünf Jahre.

Art. 62 Ausführung des sicherheitsempfindlichen Auftrags

Die Auftraggeberin darf den sicherheitsempfindlichen Auftrag erst ausführen lassen, wenn die Fachstelle BS die Betriebssicherheitserklärung ausgestellt hat.

Art. 63 Pflichten des Betriebs

1 Betriebe, die über eine Betriebssicherheitserklärung verfügen, müssen die Massnahmen des Sicherheitskonzepts laufend umsetzen. 2 Sie melden der Fachstelle BS und der Auftraggeberin unverzüglich alle sicherheitsrelevanten Änderungen und Vorfälle.

Art. 64 Kontrollen und Schutzmassnahmen

1 Die Fachstelle BS ist befugt: a. Bereiche, in denen der sicherheitsempfindliche Auftrag ausgeführt wird, ohne Vorankündigung zu inspizieren; b. auftragsrelevante Unterlagen einzusehen. 2 Liegen konkrete Anhaltspunkte vor, dass die Informationssicherheit in einem Betrieb gefährdet ist, so kann die Fachstelle BS umgehend die erforderlichen Schutzmassnahmen treffen und insbesondere Unterlagen und Material sicherstellen.

Art. 65 Vereinfachtes Verfahren bei der Vergabe weiterer sicherheitsempfindlicher Aufträge

Betriebe, die über eine Betriebssicherheitserklärung verfügen, gelten für weitere sicherheitsempfindliche Aufträge als geeignet. Die Fachstelle BS prüft, ob das Sicherheitskonzept angepasst werden muss.

Art. 66 Internationale Betriebssicherheitsbescheinigung

Die Fachstelle BS stellt dem Betrieb auf dessen Antrag hin eine internationale Betriebssicherheitsbescheinigung aus.

Art. 67 Widerruf der Betriebssicherheitserklärung

1 Die Fachstelle BS widerruft die Betriebssicherheitserklärung, wenn: a. der Betrieb seine Pflichten nach Artikel 63 nicht erfüllt; b. sich im Rahmen einer Wiederholung des Verfahrens ein Sicherheitsrisiko ergibt. 2 Sie teilt den Widerruf mittels Verfügung dem Betrieb und der Auftraggeberin mit. 3 Wird die Betriebssicherheitserklärung widerrufen, so zieht die Auftraggeberin den Auftrag umgehend zurück; vorbehalten bleibt Artikel 58 Absatz 3. Der Betrieb hat keinen Anspruch auf Entschädigung.

Art. 68 Wiederholung des Verfahrens

Das Betriebssicherheitsverfahren wird wiederholt, wenn: a. im Zeitpunkt des Ablaufs der Gültigkeit der Betriebssicherheitserklärung ein sicherheitsempfindlicher Auftrag hängig ist; b. konkrete Anhaltspunkte vorliegen, dass in Folge wesentlicher Änderungen im Betrieb neue Sicherheitsrisiken entstanden sind.

Art. 69 Rechtsschutz

1 Der Betrieb hat nach Eröffnung einer Verfügung der Fachstelle BS 30 Tage Zeit, um: a. Einsicht in die Unterlagen zu nehmen; b. die Berichtigung falscher Daten oder die Vernichtung nicht mehr aktueller Daten zu verlangen; c. einen Bestreitungsvermerk anbringen zu lassen; d. beim Bundesverwaltungsgericht Beschwerde zu führen. 2 Die Einschränkung des Auskunftsrechts richtet sich nach Artikel 26 DSG. SR 235.1 Fassung gemäss Anhang 2 Ziff. 5, in Kraft seit 1. Jan. 2024 (AS 2022 232; 2023 650; BBl 2017 2953).

Art. 70 Informationssystem zum Betriebssicherheitsverfahren

1 Die Fachstelle BS betreibt zur Durchführung und Bewirtschaftung des Betriebssicherheitsverfahrens ein Informationssystem. 2 Im Informationssystem können besonders schützenswerte Personendaten nach Artikel 5 Buchstabe c DSG bearbeitet werden, sofern dies zur Durchführung des Betriebssicherheitsverfahrens erforderlich ist. 3 Das Informationssystem enthält folgende Daten: a. die Daten nach den Artikeln 56 und 59 Absatz 3; b. das Ergebnis der Beurteilung nach Artikel 55 Absatz 2; c. die Ergebnisse der für das Betriebssicherheitsverfahren erforderlichen Personensicherheitsprüfungen nach Artikel 60 Absatz 1; d. den Entscheid der Fachstelle BS nach Artikel 60 Absatz 2; e. die Namen aller Betriebe mit einer Betriebssicherheitserklärung; f. die Massnahmen allfälliger Kontrollen nach Artikel 64; g. Daten und Akten aus Beschwerdeverfahren. 4 Die Fachstelle BS ist für die Sicherheit des Informationssystems sowie die rechtmässige Bearbeitung der Personendaten verantwortlich. SR 235.1 Fassung gemäss Anhang 2 Ziff. 5, in Kraft seit 1. Jan. 2024 (AS 2022 232; 2023 650; BBl 2017 2953).

Art. 71 Zugriffsrechte und Datenbekanntgabe

1 Die folgenden Stellen haben im Abrufverfahren Zugriff auf die nachstehenden Daten: a. Auftraggeberinnen: auf die Daten nach Artikel 70 Absatz 3 Buchstaben b und d–g; b. betroffene Betriebe, sofern sie vom Bundesrat gestützt auf Artikel 31 Absatz 1 Buchstabe a ermächtigt worden sind, in ihrem Zuständigkeitsbereich Personensicherheitsprüfungen einzuleiten: auf die Daten nach Artikel 70 Absatz 3 Buchstabe d. 2 Die Fachstelle BS kann zudem Daten nach Artikel 70 Absatz 3 Buchstaben b–d weiteren Stellen des Bundes bekanntgeben, sofern dies zur Gewährleistung der Informationssicherheit erforderlich ist.

Art. 72 Datenaufbewahrung, -archivierung und -vernichtung

1 Die Fachstelle BS bewahrt die Daten so lange auf, wie der betroffene Betrieb im Besitz einer Betriebssicherheitserklärung ist, längstens jedoch zehn Jahre. 2 Die Archivierung der Daten richtet sich nach den Vorschriften der Archivierungsgesetzgebung. 3 Wird das Betriebssicherheitsverfahren eingestellt, so werden alle damit zusammenhängenden Daten und Akten spätestens nach drei Monaten vernichtet.

Art. 73

Der Bundesrat regelt: a. das Betriebssicherheitsverfahren im Einzelnen; b. die Anwendung des Betriebssicherheitsverfahrens auf Subunternehmen; c. die Organisation der Fachstelle BS; d. die Datensicherheit im Informationssystem nach Artikel 70; e. die periodische Kontrolle der Bearbeitung von Personendaten durch eine externe Stelle.

Art. 73a Grundsatz

1 Zum Schutz der Schweiz vor Cyberbedrohungen erstellt das BACS technische Analysen zur Bewertung und Abwehr von Cybervorfällen und Cyberbedrohungen sowie zur Identifikation und Behebung von Schwachstellen. 2 Gestützt auf die Analysen nimmt das BACS insbesondere folgende Aufgaben wahr: a. Sensibilisierung und Warnung der Öffentlichkeit in Bezug auf Cyberbedrohungen; b. Warnung von betroffenen Behörden, Organisationen und Personen bei unmittelbaren Cyberbedrohungen oder laufenden Cyberangriffen; c. Veröffentlichung von Informationen zur Cybersicherheit sowie von Empfehlungen für präventive und reaktive Massnahmen gegen Cybervorfälle; d. Entgegennahme und Bearbeitung von Meldungen zu Cybervorfällen und Cyberbedrohungen; e. Unterstützung von Betreiberinnen kritischer Infrastrukturen. Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84).

Art. 73b Meldungen

1 Das BACS nimmt Meldungen zu Cybervorfällen und Cyberbedrohungen entgegen. Die Meldungen können anonym erfolgen. 2 Das BACS analysiert die Meldungen bezüglich ihrer Bedeutung für den Schutz der Schweiz vor Cyberbedrohungen. Es gibt auf Antrag eine Empfehlung zum weiteren Vorgehen ab, sofern dafür keine weiteren Analysen und Abklärungen erforderlich sind. 3 Erhält das BACS Kenntnis von einer Schwachstelle, so informiert es umgehend die Herstellerin der betroffenen Hard- oder Software und setzt ihr zur Behebung der Schwachstelle eine angemessene Frist. Es weist sie darauf hin, dass eine Missachtung beschaffungsrechtlich sanktioniert werden kann (Art. 44 Abs. 1 Bst. fbis des Bundesgesetzes vom 21. Juni 2019 über das öffentliche Beschaffungswesen) und dass das BACS nach Fristablauf Informationen zur Schwachstelle nach Artikel 73c Absatz 2 veröffentlichen kann. Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84). SR 172.056.1

Art. 73c Veröffentlichung von Informationen aus Meldungen

1 Das BACS kann Informationen zu Cybervorfällen veröffentlichen, sofern dies dem Schutz vor Cyberbedrohungen dient. Diese Informationen dürfen nur dann Aufschluss über die betroffene natürliche oder juristische Person geben, sofern diese einwilligt und es sich um missbräuchlich verwendete Identifikationsmerkmale und Adressierungselemente handelt. 2 Das BACS kann Informationen zu Schwachstellen unter Angabe der betroffenen Hard- oder Software veröffentlichen, sofern die Herstellerin einwilligt oder die Schwachstelle nicht innert der Frist nach Artikel 73b Absatz 3 behoben hat. Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84).

Art. 73d Weiterleitung von Informationen

1 Das BACS kann Informationen aus Meldungen an Behörden und Organisationen weiterleiten, die im Bereich der Cybersicherheit tätig sind. Diese Informationen dürfen nur dann Personendaten umfassen, wenn die betroffene Person einwilligt. 2 Ergeben sich aus der Meldung eines Cybervorfalls oder dessen Analyse Informationen, die für das frühzeitige Erkennen und Verhindern von Bedrohungen der inneren oder äusseren Sicherheit, für die Beurteilung der Bedrohungslage oder für die nachrichtendienstliche Frühwarnung zum Schutz kritischer Infrastrukturen nach Artikel 6 Absätze 1 Buchstabe a, 2 und 5 des Nachrichtendienstgesetzes vom 25. September 2015 (NDG) erforderlich sind, so leitet das BACS diese Informationen an den NDB weiter. 3 Erhalten Mitarbeiterinnen und Mitarbeiter des BACS im Zusammenhang mit einer Meldung oder deren Analyse Hinweise auf eine mögliche Straftat, so zeigen sie diese abweichend von Artikel 22a Absatz 1 des Bundespersonalgesetzes vom 24. März 2000 ausschliesslich der Leiterin oder dem Leiter des BACS an. Diese oder dieser kann Anzeige bei den Strafverfolgungsbehörden erstatten, sofern dies aufgrund der Schwere der möglichen Straftat geboten scheint. 4 Strafrechtlich geschützte Geheimnisse darf das BACS nur nach den Vorgaben von Artikel 320 des Strafgesetzbuches weiterleiten. Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84). SR 121 SR 172.220.1 SR 311.0

Art. 74 Unterstützung von Betreiberinnen kritischer Infrastrukturen

1 Das BACS unterstützt die Betreiberinnen kritischer Infrastrukturen beim Schutz vor Cyberbedrohungen. 2 Es stellt ihnen insbesondere folgende Hilfsmittel unentgeltlich und zur freiwilligen Nutzung zur Verfügung: a. ein Kommunikationssystem für den sicheren Informationsaustausch; b. technische Informationen zu aktuellen Cyberbedrohungen sowie Empfehlungen für präventive und reaktive Massnahmen gegen Cybervorfälle; c. technische Instrumente und Anleitungen zur Erkennung von Cybervorfällen, die auf den erhöhten Schutzbedarf kritischer Infrastrukturen ausgerichtet sind. 3 Es kann sie bei der Bewältigung von Cybervorfällen und der Behebung von Schwachstellen beraten und unterstützen, wenn die Funktionsfähigkeit der betroffenen kritischen Infrastruktur gefährdet ist und, sofern es sich um private Betreiberinnen handelt, die Beschaffung gleichwertiger Unterstützung auf dem Markt nicht rechtzeitig möglich ist. 4 Es kann zur Analyse eines Cybervorfalls mit dem Einverständnis der betroffenen Betreiberin auf deren Informationen und Informatikmittel zugreifen. Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (AS 2024 257; 2025 173; BBl 2023 84).

Art. 74a Grundsätze

1 Behörden und Organisationen nach Artikel 74b müssen dafür sorgen, dass dem BACS Cyberangriffe auf ihre Informatikmittel gemeldet werden. 2 Das BACS erteilt interessierten Behörden und Organisationen Auskunft darüber, ob sie der Meldepflicht unterstellt sind und erlässt auf Antrag eine entsprechende Verfügung. 3 Durch die Meldung eines Cyberangriffs haben die meldepflichtigen Behörden und Organisationen Anspruch auf die Unterstützung des BACS bei der Vorfallbewältigung nach Artikel 74 Absatz 3. 4 Die Meldepflicht dient ausschliesslich dazu, dass das BACS Angriffsmuster auf kritische Infrastrukturen frühzeitig erkennen und dadurch mögliche Betroffene warnen und ihnen geeignete Präventions- und Abwehrmassnahmen empfehlen kann.

← Find another law