Kritische Infrastrukturen - also Prozesse, Systeme und Einrichtungen, die essenziell f\u00fcr das Funktionieren der Wirtschaft bzw. das Wohlergehen der Bev\u00f6lkerung sind - stehen immer st\u00e4rker unter Druck, wie der aktuelle Krieg in der Ukraine deutlich zeigt. Deren Sicherheit entlang des ganzen Lebenszyklus ist f\u00fcr die Schweiz entsprechend von enormer Wichtigkeit. Dies gilt insbesondere f\u00fcr den Bereich der Informations- und Kommunikationstechnik (IKT), weil sich in diesem eine rasante Innovationsf\u00e4higkeit und die langj\u00e4hrigen Verpflichtungen bei IKT-Beschaffungen diametral gegen\u00fcberstehen. Dieser Umstand f\u00fchrt zu sicherheitsrelevanten Diskrepanzen zwischen der Momentaufnahme beim Beschaffungsentscheid und dem langj\u00e4hrigen Betrieb von kritischen Infrastrukturen im IKT-Bereich. Die Erstellung von offiziellen Guidelines bei der Beschaffung im Zusammenhang mit kritischen Infrastrukturen im IKT-Bereich w\u00fcrde f\u00fcr dringend ben\u00f6tigte Abhilfe sorgen.
Fragen an den Bundesrat
a. Teil der Bundesrat die Ansicht, dass eine sicherheitsrelevante Diskrepanz zwischen der Momentaufnahme beim Beschaffungsentscheid und dem langj\u00e4hrigen Betrieb von kritischen Infrastrukturen im IKT-Bereich gibt?
b. Ist der Bundesrat der Auffassung, dass Guidelines bei der Beschaffung im Zusammenhang mit kritischen Infrastrukturen im IKT-Bereich die Resilienz erh\u00f6hen?
c. W\u00e4re der Bundesrat bereit, Guidelines f\u00fcr die Beschaffung im Zusammenhang mit kritischen Infrastrukturen im IKT-Bereich zu erstellen?
d. Ist der Bundesrat der Meinung, dass ein runder Tisch mit Vertretern von Bund, Kantonen, Wissenschaften, IT-Industrie sowie Betreibern von kritischen Infrastrukturen einen Mehrwert f\u00fcr die Beschaffung im Zusammenhang mit kritischen Infrastrukturen im IKT-Bereich bringen k\u00f6nnte?
e. Ist der Bundesrat bereit, das Themengebiet \"Beschaffung\" in die Nationale Strategie zum Schutz kritischer Infrastrukturen 2023-2027 aufzunehmen?
","ReasonText":"Die nationale Strategie zum Schutz kritischer Infrastrukturen des Bundesamtes f\u00fcr Bev\u00f6lkerungs-schutz (BABS) von 2017 zielt auf die Verbesserung der Resilienz von kritischen Infrastrukturen ab. In dieser Strategie - die per Ende 2022 \u00fcberarbeitet werden soll - spielt der Beschaffungsprozess im Zusammenhang mit kritischen Infrastrukturen keine Rolle. Die Beschaffungsentscheide stellen jedoch die Grundlage der Resilienz von kritischen Infrastruktur, definiert als \"Widerstands-, Anpassungs- und Regenerationsf\u00e4higkeit\", dar. Guidelines bei der Beschaffung im Zusammenhang mit kritischen Infrastrukturen im IKT-Bereich w\u00fcrden deshalb einen Beitrag leisten, eine integralere und langfristigere sicherheitspolitische Betrachtung das Gesamtsystems zu erm\u00f6glichen und so die Sicherheit der Systeme entlang des gesamten Lebenszyklus zu erh\u00f6hen.
","DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"a. Bei Beschaffungen von Komponenten, welche \u00fcber l\u00e4ngere Zeitr\u00e4ume verwendet werden, stellt sich stets die Herausforderung, wie m\u00f6gliche k\u00fcnftige Entwicklungen in die Beschaffungsentscheidung einbezogen werden k\u00f6nnen. Dies gilt nicht nur f\u00fcr Fragen der Sicherheit, sondern generell f\u00fcr technologische und wirtschaftliche Entwicklungen. Entsprechend sind sorgf\u00e4ltig und vorausschauend durchgef\u00fchrte Beschaffungsprozesse von grosser Bedeutung. Bei IKT-Beschaffungen muss beispielsweise abgekl\u00e4rt werden, wer mittel- und langfristig den technischen Support der Systeme sicherstellt, welche Sicherheitsanforderungen dabei zu erf\u00fcllen sind oder welche Pflichten den Anbietern in Bezug auf die Bew\u00e4ltigung von Sicherheitsvorf\u00e4llen und beim Umgang mit Schwachstellen auferlegt werden sollen. Werden solche Elemente im Beschaffungsprozess ber\u00fccksichtigt, kann das Risiko einer sicherheitsrelevanten Diskrepanz zwischen dem Beschaffungszeitpunkt und dem sp\u00e4teren Betrieb verringert werden.
b. Ja, Guidelines helfen den Verantwortlichen, bei der Identifizierung der zentralen Faktoren f\u00fcr den Beschaffungsprozess methodisch vorzugehen - auch im IKT- Bereich. Dabei sind stets die spezifischen Anforderungen jeder Beschaffung zu ber\u00fccksichtigen. Es gibt kein abschliessend bestes Vorgehen f\u00fcr Beschaffungen.
c. F\u00fcr das Risikomanagement von Lieferketten bestehen gut etablierte internationale Normen und Standards (in Bezug auf die Sicherheit von IKT-Beschaffungen z.B. ISO 27036-3 und NIST 800-161). Schon heute werden Elemente solcher Standards bei Ausschreibungen durch den Bund fallweise als \"Muss-Kriterien\" definiert. Der Bundesrat h\u00e4lt die Erarbeitung zus\u00e4tzlicher Guidelines deshalb nicht f\u00fcr hilfreich, sondern empfiehlt den Betreiberinnen kritischer Infrastrukturen bestehende internationale Normen und Standards zu nutzen.
d. Der Bundesrat h\u00e4lt die Schaffung eines zus\u00e4tzlichen Gremiums nicht f\u00fcr notwendig, da bereits heute ein regelm\u00e4ssiger Austausch zwischen Bund, Kantonen, Wissenschaft und der Wirtschaft zum Thema Beschaffungen stattfindet (z.B. im Rahmen der j\u00e4hrlichen IT-Beschaffungskonferenz). Zudem wird der Austausch zu Fragen der Sicherheit entlang des ganzen Lebenszyklus von Beschaffungen in den bestehenden Gremien noch weiter intensiviert.
e. Der Bundesrat hat in seiner nationalen Strategie zum Schutz kritischer Infrastrukturen 2018-2022 bekr\u00e4ftigt, dass ein integrales Vorgehen in Sicherheitsfragen notwendig ist. Dementsprechend sollten die Betreiberinnen kritischer Infrastrukturen bei allen relevanten Beschaffungsvorhaben die Risiken ihrer Lieferantenketten kennen und ber\u00fccksichtigen. Eine zus\u00e4tzliche Vertiefung in der neuen Strategie erachtet er nicht als notwendig.
Antwort des Bundesrates.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1676419200000)\/","SubmittedBy":"Gugger Niklaus-Samuel","BusinessStatus":229,"BusinessStatusText":"Erledigt","BusinessStatusDate":"\/Date(1734683913000)\/","ResponsibleDepartment":6,"ResponsibleDepartmentName":"Departement f\u00fcr Verteidigung, Bev\u00f6lkerungsschutz und Sport","ResponsibleDepartmentAbbreviation":"VBS","IsLeadingDepartment":true,"Tags":"8|9|15|34","Category":null,"Modified":"\/Date(1745522457230)\/","SubmissionDate":"\/Date(1671148800000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Nationalrat","SubmissionCouncilAbbreviation":"NR","SubmissionSession":5117,"SubmissionLegislativePeriod":51,"FirstCouncil1":1,"FirstCouncil1Name":"Nationalrat","FirstCouncil1Abbreviation":"NR","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Internationale Politik|Sicherheitspolitik|Wirtschaft|Medien und Kommunikation"}}