Die Gesch\u00e4ftspr\u00fcfungsdelegation (GPDel) hat am 30. August 2013 einen Kurzbericht zur Untersuchung der Informatiksicherheit im Nachrichtendienst des Bundes (NDB) ver\u00f6ffentlicht. Dieser basiert auf einer formellen Inspektion und m\u00fcndet in 11 Empfehlungen an den Bundesrat.
F\u00fcr die GPDel steht allerdings nicht nur das VBS und der NDB in der Kritik, sondern auch der Bundesrat als Gesamtbeh\u00f6rde: \"F\u00fcr die GPDel war dies das Resultat einer ungen\u00fcgenden Planung, die mit dem Beschluss des Bundesrates \u00fcber den Transfer des DAP ins VBS im Mai 2008 ihren Anfang genommen hat\" (S. 2).
Ich bitte den Bundesrat deshalb, folgende Fragen zu beantworten:
1. Waren ihm die durch die Inspektion der GPDel eruierten Risiken und L\u00fccken in der Informatiksicherheit des NDB bereits in den Jahren 2011 und 2012 bekannt (unter anderem die Personalengp\u00e4sse in der Informatik und im PSP, der Verzicht auf die umfassende Pr\u00fcfung von externen Fachpersonen sowie der Verzicht auf die Umsetzung von minimalen Datenschutzvorschriften des Bundes)?
2. Auf Antrag des VBS 2009 sollte die Zusammenf\u00fchrung von DAP und SND zu einem einzigen Bundesamt \"ohne zus\u00e4tzliche Ressourcen\" erfolgen. Warum hat er diesem Antrag damals zugestimmt? Wie wird das f\u00fcr Informatik zust\u00e4ndige Personal des DAP im Justizdepartement heute eingesetzt?
3. Ein Jahr nach dem Datendiebstahl hat der Bundesrat am 1. Mai 2013 eine Aufstockung der Informatiksicherheit im NDB ab 2014/15 beschlossen. Weshalb wurde der Schutz der hochsensiblen Daten des NDB im Mai nicht als oberste Priorit\u00e4t definiert und so rasch als m\u00f6glich mit zus\u00e4tzlichem Personal verst\u00e4rkt?
4. Am 12. Mai 2010 beauftragte der Bundesrat das VBS, ein Normkonzept sowie eine formell-gesetzliche Grundlage f\u00fcr den Informationsschutz des Bundes zu erarbeitet. Damit hat der Bundesrat ein Departement mit dieser wichtigen Aufgabe betraut, das selbst die geltenden Vorschriften des Bundes nicht l\u00fcckenlos anwendet. Ist er bereit, anstelle des VBS ein anderes Departement oder den Gesamtbundesrat mit der Federf\u00fchrung f\u00fcr diese Aufgabe zu betrauen?
5. Das VBS ist nicht nur f\u00fcr den NDB, sondern auch f\u00fcr andere Aufgaben mit Sicherheitsrelevanz zust\u00e4ndig. Geht er davon aus, dass die von der GPDel festgestellten L\u00fccken im Riskmanagement, in der Ressourcenplanung und in der Aufsicht auch in anderen VBS-\u00c4mtern zu Problemen f\u00fchren k\u00f6nnten?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Der Bundesrat hat zum Bericht der Gesch\u00e4ftspr\u00fcfungsdelegation \u00fcber die Informatiksicherheit im Nachrichtendienst des Bundes (NDB) am 30. Oktober 2013 Stellung genommen.
Der Bundesrat beantwortet die konkreten Fragen wie folgt:
1. Sowohl beim Beschluss zum Transfer der nachrichtendienstlichen Teile des Dienstes f\u00fcr Analyse und Pr\u00e4vention (DAP) in das VBS wie auch beim Beschluss zur Zusammenf\u00fchrung des Strategischen Nachrichtendienstes (SND) und des DAP zum Nachrichtendienst des Bundes (NDB) war die generelle personelle und finanzielle Situation bekannt. Im Zusammenhang mit der Aufgaben\u00fcberpr\u00fcfung des Bundes wurde der NDB 2011 beauftragt, einen Bericht zur Erschliessung von Synergiepotenzialen bei den Nachrichtendiensten zu verfassen. In diesem Bericht wurde festgehalten, dass aufgrund limitierter Personalkredite der NDB den Aufbau der ben\u00f6tigten Supportfunktionen in den Bereichen Informatik, Sicherheit usw. nur zulasten der Kernbereiche vornehmen kann und die Informatik seit der Fusion mit unver\u00e4nderten Ressourcen nun die doppelte Anzahl Benutzer zu betreuen hat. Aufgrund dieses Berichtes hat der Bundesrat den NDB von der \u00dcberpr\u00fcfung der Aufgaben des Bundes ausgenommen.
2. Der Bundesrat ist 2009 der parlamentarischen Initiative Hofmann Hans 07.404, \"\u00dcbertragung der Aufgaben der zivilen Nachrichtendienste an ein Departement\", gefolgt, welche vor allem die Erh\u00f6hung der nachrichtendienstlichen Leistung zum Ziel hatte. Entsprechend stand auch in der Stellungnahme des Bundesrates vom 23. April 2008 zum Bericht vom 29. Februar 2008 der Gesch\u00e4ftspr\u00fcfungskommission des St\u00e4nderates der optimierte Einsatz der vorhandenen Ressourcen im Zentrum (vgl. BBl 2008 4038f.). Die Informatik des DAP beruhte auf dem Informatik-Leistungserbringer des EJPD (ISC EJPD), welcher bis heute die Inland-Datenbank Isis des NDB betreut.
3. Unmittelbar nach dem Sicherheitsvorfall im Mai 2012 waren mehrere verwaltungsinterne und -externe Dienststellen mit der Situationsanalyse und dem Aufzeigen des Handlungsbedarfs beauftragt worden. In eigener Kompetenz hat der NDB rund 40 Massnahmen identifiziert und eingeleitet. Es handelte sich dabei um technische und organisatorische Massnahmen sowie um die Einschr\u00e4nkungen von Zugriffen und Zutritten. Der Schutz der NDB-Daten hatte immer h\u00f6chste Priorit\u00e4t. Der Bundesrat hat am 1. Mai 2013 vom zus\u00e4tzlichen Personalbedarf von elf Stellen des NDB zur notwendigen Erh\u00f6hung der Sicherheit und Informatiksicherheit Kenntnis genommen. Die acht Stellen erster Priorit\u00e4t wurden vom Bundesrat am 26. Juni 2013 bewilligt, die verbleibenden drei Stellen werden in die Gesamtbeurteilung Ressourcen im Personalbereich 2014 aufgenommen. Das VBS hat dem NDB bereits f\u00fcr 2013 die Mittel f\u00fcr die acht Stellen erster Priorit\u00e4t freigegeben.
4. Angesichts der zunehmenden politischen Bedeutung und der Komplexit\u00e4t des Projekts setzte das VBS am 14. Januar 2011 eine Expertengruppe ein und betraute Prof. Dr. Markus M\u00fcller (Universit\u00e4t Bern) mit deren Leitung. Nachdem der Bundesrat am 30. November 2011 \u00fcber die Eckpunkte des Normkonzepts informiert wurde, dehnte er den Regelungsbereich vom Informationsschutz auf die Informationssicherheit aus. Die Expertengruppe wurde erweitert und setzt sich wie folgt zusammen: Parlamentsdienste, eidgen\u00f6ssische Gerichte, Konferenz der Kantone (Schweiz. Informatikkonferenz), BK, Ed\u00f6b, EDA, EJPD, VBS und EFD sowie BJ, ISB, BIT, IOS und Bakom. Diese Gruppe erarbeitet gest\u00fctzt auf das Normkonzept den Entwurf des Informationssicherheitsgesetzes. Die Vernehmlassung soll im ersten Quartal 2014 er\u00f6ffnet werden. Der Bundesrat hat keine Veranlassung, die Federf\u00fchrung f\u00fcr das Projekt einem anderen Departement zu \u00fcbertragen.
5. Die GPDel empfiehlt dem Bundesrat, Vorschl\u00e4ge zu erarbeiten, um das Verfahren zur \u00dcberpr\u00fcfung des Standes der Informatiksicherheit im Bund zu verbessern. Die Massnahmen sollen den Bundesrat bef\u00e4higen, im Rahmen eines institutionalisierten Verfahrens Risiken in der Informatiksicherheit rechtzeitig zu erkennen, die notwendigen risikomindernden Massnahmen zu beschliessen und ihre Umsetzung zu verfolgen. Der Bundesrat folgt dieser Empfehlung.
Antwort des Bundesrates.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1384905600000)\/","SubmittedBy":"Rytz Regula","BusinessStatus":229,"BusinessStatusText":"Erledigt","BusinessStatusDate":"\/Date(1386892800000)\/","ResponsibleDepartment":6,"ResponsibleDepartmentName":"Departement f\u00fcr Verteidigung, Bev\u00f6lkerungsschutz und Sport","ResponsibleDepartmentAbbreviation":"VBS","IsLeadingDepartment":true,"Tags":"9","Category":null,"Modified":"\/Date(1690529393493)\/","SubmissionDate":"\/Date(1380153600000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Nationalrat","SubmissionCouncilAbbreviation":"NR","SubmissionSession":4910,"SubmissionLegislativePeriod":49,"FirstCouncil1":1,"FirstCouncil1Name":"Nationalrat","FirstCouncil1Abbreviation":"NR","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Sicherheitspolitik"}}