2023 wurden gleich mehrere IKT-Zulieferer der Bundesverwaltung Opfer von Cyberangriffen und es wurden teils sensible Daten der Beh\u00f6rden entwendet. Im Sommer 2023 fiel zuerst die Firma Xplain einer Cyberattacke zum Opfer und in der Zwischenzeit wurde auch bei der Firma Concevis eine verheerender Ransomware-Angriff gemeldet. Der Vorwurf wurde laut, die Beh\u00f6rden h\u00e4tten die Informationssicherheit der IKT-Zulieferer w\u00e4hrend Jahren nicht \u00fcberpr\u00fcft und damit von ihrem vertraglichen Auditrecht nicht Gebrauch gemacht.
In diesem Zusammenhang ersuche ich den Bundesrat um die Beantwortung folgender Fragen:
Gerade die Bundesbeh\u00f6rden verf\u00fcgen potenziell \u00fcber sensible Daten \u00fcber die Schweizer B\u00fcrgerinnen und B\u00fcrger. Der Staat ist daher verpflichtet, seine Daten besonders sorgf\u00e4ltig zu sch\u00fctzen.
","DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Zu Frage 1: Der Bundesrat hat im Juni 2023 den Auftrag erteilt, die Vertr\u00e4ge der Departemente und der Bundeskanzlei zu IKT-Leistungen punkto Cybersicherheit zu \u00fcberpr\u00fcfen. Zudem erteilte er den Auftrag, die Mustervertragsklausel der Beschaffungskonferenz des Bundes betreffend Cyberbedrohungen und die Allgemeinen Gesch\u00e4ftsbedingungen des Bundes zu erg\u00e4nzen und bis Ende 2023 an das neue Bundesgesetz \u00fcber die Informationssicherheit beim Bund (ISG; SR 128) anzupassen. Ebenfalls im Juni hat das EJPD ein Schreiben an seine wichtigsten externen IKT-Leistungserbringer gesandt, diese an ihre Pflichten zur Wahrung des IT-Grundschutzes erinnert und diesbez\u00fcgliche Ausk\u00fcnfte verlangt. Das Bundesamt f\u00fcr Bauten und Logistik (BBL) und das Bundesamt f\u00fcr R\u00fcstung (ar) haben in Erg\u00e4nzung dazu s\u00e4mtlichen relevanten IKT-Leistungserbringern der Bundesverwaltung ein Schreiben zukommen lassen, in dem diese zus\u00e4tzlich \u00fcber die vom Bundesrat beauftragte Vertrags\u00fcberpr\u00fcfung informiert wurden.
Bis Ende 2023 wurden rund 7'000 bestehende Vertr\u00e4ge mit IKT-Leistungserbringern \u00fcberpr\u00fcft. Dabei wurden gut 2\u2019200 Vertr\u00e4ge als sicherheitsrelevant eingestuft. Bei der H\u00e4lfte dieser Vertr\u00e4ge konnte festgestellt werden, dass diese punkto Cybersicherheit angemessene Bestimmungen enthalten. Bei der zweiten H\u00e4lfte dieser Vertr\u00e4ge, m\u00fcssen rund 600 Vertr\u00e4ge, die nicht in den n\u00e4chsten Monaten auslaufen, vertieft gepr\u00fcft und allenfalls angepasst werden.
Zu Frage 2: Die Arbeiten des politisch-strategischen Krisenstabs \"Datenabfluss\" (PSK-D) und der Administrativuntersuchung durch die Kanzlei OBERSON ABELS SA laufen derzeit. Bis Ende M\u00e4rz 2024 wird von OBERSON ABELS SA zu Handen des Bundesrats einen Bericht erarbeitet. Der Bundesrat wird auf Basis der Ergebnisse dieses Berichts \u00fcber das weitere Vorgehen entscheiden.
Zu Frage 3: Das neue Informationssicherheitsgesetz (ISG; SR 128), das seit dem 1. Januar 2024 in Kraft ist, bietet dem Bund neue M\u00f6glichkeiten, um die Einhaltung der Vorgaben zur Informationssicherheit und die Durchf\u00fchrung von Audits sicherzustellen.
Gem\u00e4ss Artikel 9 ISG und Artikel 10 Absatz 3 der Informationssicherheitsverordnung (ISV; SR 128.1) m\u00fcssen in Vertr\u00e4gen mit IKT-Anbietern klare Anforderungen an die Informationssicherheit und deren \u00dcberpr\u00fcfung bzw. ein Auditrecht f\u00fcr den Bund festgehalten werden. Entsprechende Musterklauseln werden derzeit im Staatssekretariat f\u00fcr Sicherheitspolitik (SEPOS) erarbeitet. Diese umfassen Mindestanforderungen, die in s\u00e4mtlichen Vertr\u00e4gen ber\u00fccksichtigt werden m\u00fcssen, sowie risikobasierte Zusatzanforderungen, die sich nach dem jeweiligen Auftrag und den zu bearbeitenden Daten richten.
Bei sicherheitsempfindlichen Auftr\u00e4gen m\u00fcssen die Unternehmen bereits bei der Vergabe ein Betriebssicherheitsverfahren durchlaufen und k\u00f6nnen diesen nach Art. 62 ISG erst ausf\u00fchren, wenn die Fachstelle Betriebssicherheit des SEPOS die Betriebssicherheitserkl\u00e4rung ausgestellt hat. In Anwendung von Artikel 64 ISG f\u00fchrt die Fachstelle Betriebssicherheit regelm\u00e4ssige Kontrollen bei diesen Firmen durch. Sie kann auch Audits verlangen oder diese selber durchf\u00fchren.
Zu Frage 4: Die Einf\u00fchrung einer allgemeinen Auditpflicht f\u00fcr Organisationseinheiten der Bundesverwaltung, welche externe IKT-Dienstleistungen beziehen, w\u00e4re unverh\u00e4ltnism\u00e4ssig und ist gesetzlich nicht vorgesehen. Nicht alle IKT-Dienstleistungen beinhalten sicherheitsempflindliche Auftr\u00e4ge. IKT-Dienstleister, die sicherheitsempflindliche Auftr\u00e4ge ausf\u00fchren, werden aber periodisch durch die Fachstelle Betriebssicherheit im SEPOS \u00fcberpr\u00fcft.
Zu Frage 5: Der Bundesrat hat keine einheitlichen Kriterien definiert, nach denen die Zusammenarbeit mit fehlbaren IKT-Zulieferern beendet werden kann. Grunds\u00e4tzlich obliegt es der Verwaltungseinheit in eigener Zust\u00e4ndigkeit, die Risiken abzuw\u00e4gen und die entsprechenden Konsequenzen zu ziehen. Konnte eine Anbieterin aber bereits in der Vergangenheit ihren Pflichten betreffend die Informationssicherheit nicht nachkommen, riskiert sie, f\u00fcr zuk\u00fcnftige Auftr\u00e4ge nicht ber\u00fccksichtigt zu werden (Art. 44 Absatz 1 Buchstabe h des Bundesgesetzes \u00fcber das \u00f6ffentliche Beschaffungswesen [B\u00f6B; SR 172.056.1]). Im Falle der Nichteinhaltung von Verpflichtungen bei sicherheitsempfindlichen Auftr\u00e4gen kann dem Dienstleister die zuvor durch die Fachstelle Betriebssicherheit erteilte Betriebssicherheitserkl\u00e4rung entzogen werden.