Vor etwas \u00fcber zwei Jahren sass ich nicht in diesem, aber im Nationalratssaal im Bundeshaus und habe als Nationalr\u00e4tin mit Ihnen \u00fcber das Eintreten auf dieses Gesetz debattiert. Obschon zu diesem Zeitpunkt bereits weitgehend unbestritten war, dass es dieses Gesetz braucht, dass es Handlungsbedarf gibt, waren wir vom Entwurf des Bundesrates f\u00fcr ein Informationssicherheitsgesetz nicht \u00fcberzeugt. Daher sind wir damals, wie es die Sicherheitspolitische Kommission empfohlen hat, nicht auf das Gesetz eingetreten.
\nNachdem der St\u00e4nderat die Notwendigkeit des Gesetzes nochmals ohne Gegenstimme best\u00e4tigt hatte, eben aus der \u00dcberzeugung, dass es das Gesetz braucht, und nicht etwa einfach, um das Gesicht zu wahren, konnte die Sicherheitspolitische Kommission des Nationalrates mit neuen Argumenten, mit neuen Informationen und in intensiven Diskussionen von der Notwendigkeit des Gesetzes ebenfalls \u00fcberzeugt werden. Das Informationssicherheitsgesetz wird dem Bund einen modernen, wirksamen und entwicklungsf\u00e4higen Rahmen geben, einen Rechtsrahmen im Cyberbereich. Es wird zahlreiche wesentliche Sicherheitsl\u00fccken schliessen, Einheitlichkeit schaffen und gleichzeitig die Effizienz und Wirksamkeit der bestehenden Sicherheitsmassnahmen erh\u00f6hen. Die Erfahrung zeigt, dass eine Harmonisierung des Sicherheitsniveaus zwischen Bundesbeh\u00f6rden, Kantonen, Industrie und Wirtschaft notwendig ist. Mit diesem Gesetz haben wir das.
\nWichtig ist auch eine Harmonisierung mit den internationalen Partnern. Entsprechende Massnahmen brauchen aber eine gesetzliche Grundlage, die wir heute nicht haben.
\nDas Informationssicherheitsgesetz ist auf die Cyberstrategie des Bundes abgestimmt. Es schafft eine erste rechtliche Grundlage f\u00fcr bestimmte Massnahmen der Strategie und ist flexibel genug, weitere Entwicklungen aufzunehmen.
\nDie Kosten f\u00fcr die Umsetzung des Gesetzes sind im Verh\u00e4ltnis zu dessen Nutzen gering und gerechtfertigt. Das gilt insbesondere auch f\u00fcr die Wirtschaft. Die Cyberbedrohung ist Tatsache, weshalb ich die Cybersicherheit zu einer der Priorit\u00e4ten in meinem Departement erkl\u00e4rt habe.
\nIch bin \u00fcberzeugt, dass dieses Informationssicherheitsgesetz f\u00fcr die Sicherheit des Bundes und f\u00fcr unsere international t\u00e4tige Wirtschaft notwendig ist. Hierzu m\u00f6chte ich sagen, dass die international t\u00e4tige Wirtschaft im sicherheitsrelevanten Bereich auf dieses Gesetz explizit angewiesen ist. Wenn es abgelehnt wird, k\u00f6nnen sich diese Unternehmen nicht mehr zertifizieren lassen und verlieren damit internationale Auftr\u00e4ge in diesem wichtigen Bereich, in dem die Schweiz sehr stark ist. Das w\u00e4re dann der Schaden f\u00fcr die Wirtschaft, nicht die etwas vermehrten Kosten, die sich durch dieses Gesetz ergeben.
\nIch bitte Sie also, auch im Interesse der Wirtschaft, der SiK Ihres Rates zu folgen und auf die Vorlage einzutreten. Eine Ablehnung w\u00e4re in h\u00f6chstem Grade wirtschaftsfeindlich.
\nAbstimmung - Vote [GZ]
\n[NAM][GZ]
\nF\u00fcr den Antrag der Mehrheit ... 117 Stimmen[GZ]
\nF\u00fcr den Antrag der Minderheit ... 68 Stimmen[GZ]
\n(0 Enthaltungen)
\nEs wurde gesagt: Artikel 5 Buchstabe c des Gesetzes definiert, was unter dem Begriff \"kritische Infrastrukturen\" zu verstehen ist. Diese Definition muss mit Artikel 6 des Nachrichtendienstgesetzes und Artikel 1 des Milit\u00e4rgesetzes \u00fcbereinstimmen, die beide ebenfalls den Begriff der kritischen Infrastrukturen enthalten.
\nDie Nationale Strategie zum Schutz kritischer Infrastrukturen 2018-2022 unterscheidet neun kritische Sektoren, unterteilt in insgesamt 27 Teilsektoren. Artikel 5 des vorliegenden Entwurfs h\u00e4lt in \u00dcbereinstimmung mit Artikel 6 des Nachrichtendienstgesetzes eine allgemeine Definition der kritischen Infrastrukturen sowie beispielhaft vier der kritischen Sektoren fest. Es ist aber, wie bereits gesagt wurde, keine abschliessende Aufz\u00e4hlung.
\nDer St\u00e4nderat f\u00fcgt in seiner Variante zus\u00e4tzlich den Teilsektor Trinkwasserversorgung ein und passt die allgemeine Definition an die nationale Cyberstrategie an. Diese L\u00f6sung ist praktikabel. Die Kommissionsminderheit will erg\u00e4nzend zur Variante des St\u00e4nderates noch die grundlegenden Spitaleinrichtungen nennen, die weder ein Sektor noch ein Teilsektor sind, sondern dem Teilsektor medizinische Versorgung angeh\u00f6ren. Diese Aufz\u00e4hlung ist nicht n\u00f6tig und w\u00fcrde die in der Cyberstrategie enthaltene Ordnungsstruktur durchbrechen.
\nIch bitte Sie entsprechend, den Minderheitsantrag abzulehnen.
\nAbstimmung - Vote [GZ]
\n[NAM][GZ]
\nF\u00fcr den Antrag der Minderheit ... 78 Stimmen[GZ]
\nDagegen ... 106 Stimmen[GZ]
\n(0 Enthaltungen)
\nAbstimmung - Vote [GZ]
\n[NAM][GZ]
\nF\u00fcr den Antrag der Kommission ... 158 Stimmen[GZ]
\nF\u00fcr den Antrag des Bundesrates ... 22 Stimmen[GZ]
\n(6 Enthaltungen)
\nZu diesem Artikel gibt es zwar keinen Minderheitsantrag, ich m\u00f6chte mich aber trotzdem dazu \u00e4ussern. Das wurde auch von Herrn Nationalrat Hurter so gew\u00fcnscht. Leider werde ich mich wahrscheinlich nicht in dem Sinne \u00e4ussern, wie er sich das w\u00fcnschen w\u00fcrde.
\nAber trotzdem: Mit diesem Antrag soll der Bundesrat verpflichtet werden, den Sicherheitspolitischen Kommissionen seine Ziele und die Kosten f\u00fcr die Informationssicherheit zur Konsultation vorzulegen. Wir lehnen diesen Antrag ab, nicht weil wir nicht Rechenschaft ablegen wollen, sondern weil die Bestimmung \u00fcberfl\u00fcssig ist. Das Parlamentsgesetz gibt den Kommissionen umfassende Kontrollrechte \u00fcber den Bundesrat und die Verwaltung. So k\u00f6nnen Sie bereits heute jederzeit vom Bundesrat verlangen, dass er Sie \u00fcber seine Ziele und die Kosten der Cybersicherheit informiert und auch eine Konsultation dazu bei Ihnen macht.
\nZudem wird der Bundesrat gem\u00e4ss Artikel 89 des Gesetzentwurfes den zust\u00e4ndigen parlamentarischen Kommissionen regelm\u00e4ssig Bericht \u00fcber die Umsetzung, die Zweckm\u00e4ssigkeit, die Wirksamkeit und die Wirtschaftlichkeit dieses Gesetzes erstatten. Mit dieser Bestimmung wird sichergestellt, dass das Parlament fr\u00fchzeitig Einfluss auf Ziele, Risiken, Massnahmen und Kosten nehmen kann. Der Bundesrat sieht keinen Grund, f\u00fcr die Kosten der Informationssicherheit eine Sonderregelung einzuf\u00fchren, die es sonst in keinem Bereich gibt.
\nIch bitte Sie deshalb, den Antrag Ihrer Kommission abzulehnen, das heisst, der Variante Bundesrat zuzustimmen.
\nErste Abstimmung - Premier vote [GZ]
\n[NAM][GZ]
\nF\u00fcr den Antrag der Mehrheit ... 120 Stimmen[GZ]
\nF\u00fcr den Antrag der Minderheit I ... 68 Stimmen[GZ]
\n(0 Enthaltungen)
\nZweite Abstimmung - Deuxi\u00e8me vote [GZ]
\n[NAM][GZ]
\nF\u00fcr den Antrag der Mehrheit ... 137 Stimmen[GZ]
\nF\u00fcr den Antrag der Minderheit II ... 52 Stimmen[GZ]
\n(0 Enthaltungen)
\nApr\u00e8s une premi\u00e8re tentative manqu\u00e9e en mars 2018, notre conseil, second conseil sur cet objet, a enfin l'occasion d'entrer en mati\u00e8re sur cette loi sur la s\u00e9curit\u00e9 de l'information, un texte important comme en t\u00e9moigne le libell\u00e9 de son article 1 alin\u00e9a[NB]1: \"La pr\u00e9sente loi vise \u00e0 garantir la s\u00e9curit\u00e9 du traitement des informations relevant de la comp\u00e9tence de la Conf\u00e9d\u00e9ration et la s\u00e9curit\u00e9 de ses moyens informatiques.\" A l'alin\u00e9a[NB]2, il est pr\u00e9cis\u00e9 qu'elle vise ainsi \u00e0 prot\u00e9ger les int\u00e9r\u00eats publics suivants: la capacit\u00e9 de d\u00e9cision et d'action des autorit\u00e9s et organisations de la Conf\u00e9d\u00e9ration; la s\u00e9curit\u00e9 int\u00e9rieure et ext\u00e9rieure de la Suisse; les int\u00e9r\u00eats de la politique ext\u00e9rieure de la Suisse; les int\u00e9r\u00eats \u00e9conomiques, financiers et mon\u00e9taires de la Suisse; l'accomplissement des obligations l\u00e9gales et contractuelles des autorit\u00e9s et organisations de la Conf\u00e9d\u00e9ration en mati\u00e8re de protection des informations.
\nApr\u00e8s un premier passage au Conseil des Etats, qui a accept\u00e9 le projet du Conseil f\u00e9d\u00e9ral, sous r\u00e9serve de diff\u00e9rentes modifications, par 39 voix sans opposition et 4 abstentions, notre conseil a refus\u00e9 d'entrer en mati\u00e8re le 13 mars 2018, par 117 voix contre 68 et 8 abstentions. L'opposition de la majorit\u00e9 de la Commission de la politique de s\u00e9curit\u00e9 de notre conseil, puis de notre conseil, s'appuyait sur des arguments qui avaient trait \u00e0 la crainte d'un surcro\u00eet de bureaucratie et de cons\u00e9quences financi\u00e8res trop importantes.
\nLe Conseil des Etats a maintenu sa position d\u00e9termin\u00e9e et notre conseil est \u00e0 nouveau saisi de ce texte. Cette fois, cependant, l'approche de votre Commission de la politique de s\u00e9curit\u00e9 est tr\u00e8s diff\u00e9rente. Lors de sa s\u00e9ance des 8 et 9 octobre 2018, elle est entr\u00e9e en mati\u00e8re par 17 voix contre 8. Par la suite, elle a d\u00e9cid\u00e9 d'une interruption transitoire du traitement de l'objet jusqu'\u00e0 l'\u00e9t\u00e9 2019, le temps d'obtenir un rapport compl\u00e9mentaire permettant de r\u00e9pondre \u00e0 quelques interrogations et craintes portant en particulier sur l'ad\u00e9quation des mesures propos\u00e9es ainsi que les co\u00fbts suppl\u00e9mentaires [PAGE 680] susceptibles d'\u00eatre induits par la loi pour les entreprises priv\u00e9es qui obtiendraient un mandat de la Conf\u00e9d\u00e9ration.
\nRassur\u00e9e par l'ensemble des informations obtenues, la commission a proc\u00e9d\u00e9 \u00e0 la discussion par article lors de ses s\u00e9ances d'ao\u00fbt et octobre 2019.
\nLa loi sur la s\u00e9curit\u00e9 de l'information vise \u00e0 renforcer et \u00e0 s\u00e9curiser le fonctionnement de l'Etat \u00e0 un moment o\u00f9 nous prenons toutes et tous conscience de l'importance de la probl\u00e9matique cyber et o\u00f9 diff\u00e9rentes attaques contre les syst\u00e8mes d'information de la Conf\u00e9d\u00e9ration ont d\u00e9montr\u00e9 des lacunes dans nos syst\u00e8mes actuels de s\u00e9curisation, des syst\u00e8mes disparates et r\u00e9gis par diff\u00e9rentes bases l\u00e9gales.
\nCette loi vise \u00e0 regrouper dans un acte l\u00e9gislatif unique les bases l\u00e9gales r\u00e9gissant le traitement de la s\u00e9curit\u00e9 de l'information et des moyens informatiques de la Conf\u00e9d\u00e9ration. Il est appel\u00e9 \u00e0 devenir la base de r\u00e9f\u00e9rence unique pour l'ensemble des autorit\u00e9s et organismes de la Conf\u00e9d\u00e9ration pour \u00e9lever le standard de s\u00e9curit\u00e9. La liste de ces autorit\u00e9s et organismes est longue: l'Assembl\u00e9e f\u00e9d\u00e9rale, le Conseil f\u00e9d\u00e9ral, les tribunaux f\u00e9d\u00e9raux, le Minist\u00e8re public de la Conf\u00e9d\u00e9ration, la Banque nationale, les Services du Parlement, l'Administration f\u00e9d\u00e9rale ou encore l'Arm\u00e9e.
\nCette loi fixe le cadre de la r\u00e8glementation dans diff\u00e9rents domaines sensibles: la gestion des risques, la classification des informations, la s\u00e9curit\u00e9 des moyens informatiques, les[NB]contr\u00f4les de s\u00e9curit\u00e9 relatifs aux personnes - un domaine[NB]particuli\u00e8rement sensible qui se doit d'\u00eatre, vu les enjeux, suffisamment efficace, tout en respectant le droit des personnes -, ou encore la protection physique des informations et des moyens informatiques.
\nL'esprit de la loi vise \u00e0 assurer le niveau de protection des informations en fonction des imp\u00e9ratifs et des atteintes potentielles aux int\u00e9r\u00eats sup\u00e9rieurs des diff\u00e9rentes structures de l'Etat, sur la base de principes essentiels. Premi\u00e8rement, la confidentialit\u00e9: les informations ne doivent \u00eatre accessibles qu'aux personnes autoris\u00e9es selon les \u00e9chelons de classification \"interne\", puis \"confidentiel\" et ensuite \"secret\". Deuxi\u00e8mement, la disponibilit\u00e9: des donn\u00e9es accessibles en cas de besoin en tout temps. Troisi\u00e8mement, l'int\u00e9grit\u00e9: pas de modification possible sans droit ou par m\u00e9garde. Quatri\u00e8mement, la tra\u00e7abilit\u00e9.
\nSont \u00e9galement abord\u00e9es dans ce texte les proc\u00e9dures de s\u00e9curit\u00e9 de l'information lors de l'ex\u00e9cution de mandats publics par des entreprises ou des sous-contractants, dans la mesure o\u00f9 ces mandats impliquent l'exercice d'une activit\u00e9 sensible.
\nUn autre point sensible est celui des infrastructures critiques. Vu leur importance dans toute une s\u00e9rie de prestations essentielles offertes \u00e0 la population et permettant le bon fonctionnement de l'Etat, une des t\u00e2ches de la Conf\u00e9d\u00e9ration est de leur apporter un soutien pour assurer la poursuite en tout temps du service public. Ces moyens seraient les suivants: l'identification et l'\u00e9valuation pr\u00e9coces des dangers, des menaces, des vuln\u00e9rabilit\u00e9s et des failles de s\u00e9curit\u00e9; la gestion des situations extraordinaires par un service national d'alerte et un service d'assistance; l'appui des services comp\u00e9tents de la Conf\u00e9d\u00e9ration pour des conseils et des \u00e9changes d'informations avec les responsables des infrastructures critiques.
\nLa question des co\u00fbts a \u00e9t\u00e9 d\u00e9battue de fa\u00e7on approfondie au sein de la commission. Les co\u00fbts engendr\u00e9s par la r\u00e9forme et l'incidence sur le nombre de postes de travail ont \u00e9t\u00e9 des points longuement discut\u00e9s. Dans le message du Conseil f\u00e9d\u00e9ral, cette question est abord\u00e9e de mani\u00e8re pragmatique. Les co\u00fbts d\u00e9pendront de ce que l'on aura l'intention de faire en pratique. Des mesures minimales, la correction des lacunes essentielles, une certaine harmonisation des pratiques et des moyens, pourraient \u00eatre int\u00e9gr\u00e9s dans le budget normal, donc sans frais notables suppl\u00e9mentaires. En revanche, des mesures plus ambitieuses, par exemple obliger l'ensemble des autorit\u00e9s et organisations soumises \u00e0 la loi \u00e0 se conformer pour leur syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l'information \u00e0 la norme ISO 27 001 reviendrait \u00e0 8 \u00e0 12 millions de francs, essentiellement pour des charges de conseil.
\nAu niveau des postes de travail, on parle de 15 postes au maximum. Tant les co\u00fbts que les postes suppl\u00e9mentaires d\u00e9pendront de la mise en musique de cette loi par le Conseil f\u00e9d\u00e9ral, en particulier en fonction de la r\u00e9glementation de l'organisation interne. Ce sujet est essentiel pour notre pays en termes de s\u00e9curit\u00e9, dans le contexte des menaces \"cyber\", sujet r\u00e9current et prioritaire. Les moyens n\u00e9cessaires m\u00e9riteraient d'\u00eatre engag\u00e9s.
\nAutre point important: s\u00e9curit\u00e9 de l'information ne veut pas dire opacit\u00e9 de l'information. A l'article 4 de la loi, il est rappel\u00e9 que \"la loi du 17 d\u00e9cembre 2004 sur la transparence prime la pr\u00e9sente loi\".
\nLors de son traitement au Conseil des Etats, le projet du Conseil f\u00e9d\u00e9ral a \u00e9t\u00e9 largement amend\u00e9. Pour l'essentiel, notre commission s'est align\u00e9e sur le Conseil des Etats. Les d\u00e9bats ont port\u00e9 principalement sur la liste des infrastructures critiques concern\u00e9es, avec une proposition d'y ajouter les installations hospitali\u00e8res de base. Une proposition a \u00e9t\u00e9 faite de s'aligner sur des normes reconnues sur le plan international pour r\u00e9aliser les diff\u00e9rentes am\u00e9liorations au niveau de la s\u00e9curit\u00e9. La commission a examin\u00e9 le fait d'utiliser le num\u00e9ro AVS pour identifier les personnes dont les donn\u00e9es sont trait\u00e9es. Elle a statu\u00e9 sur le fait de savoir s'il faudrait que les responsables d'une infrastructure critique communiquent la survenue d'un \u00e9ventuel incident. Ces divers points seront d\u00e9battus lors de la discussion par article, puisqu'ils font l'objet de propositions de minorit\u00e9.
\nVotre commission a d\u00e9cid\u00e9, presque sans contestation, de modifier certaines dispositions, qui repr\u00e9sentent d\u00e8s lors autant de divergences avec le Conseil des Etats. Par exemple, \u00e0 l'article 7 alin\u00e9a 3, le Conseil f\u00e9d\u00e9ral devra consulter les Commissions de politique de s\u00e9curit\u00e9 sur ses objectifs en mati\u00e8re de s\u00e9curit\u00e9 de l'information et les co\u00fbts aff\u00e9rents. Cette proposition a \u00e9t\u00e9 accept\u00e9e par 20 voix contre 2.
\nA l'article 23 alin\u00e9a 2, il est propos\u00e9, dans les zones de s\u00e9curit\u00e9, d'interdire plut\u00f4t que de soumettre \u00e0 autorisation certains objets, en particulier les appareils de prises de vue et de son.
\nA l'article 30 alin\u00e9a 4 lettre g, relatif aux personnes soumises ou non \u00e0 un contr\u00f4le de s\u00e9curit\u00e9, il est propos\u00e9 de remplacer le texte initial \"membre d'un gouvernement cantonal et juge aupr\u00e8s d'un tribunal cantonal\" par \"magistrat cantonal \u00e9lu par le peuple ou par le parlement du canton concern\u00e9\". Cette proposition a \u00e9t\u00e9 accept\u00e9e \u00e0 l'unanimit\u00e9.
\nAu vote sur l'ensemble, la commission a approuv\u00e9 le projet par 16 voix contre 1 et 5 abstentions.
\nJe vous remercie de bien vouloir entrer en mati\u00e8re.
\nEs wurde begr\u00fcndet: Eine Kommissionsminderheit will im Gesetz eine explizite Pflicht zur Definition und zum Betrieb eines Systems zum Informationssicherheitsmanagement verankern.
\nInhaltlich-materiell haben wir keine Differenz dazu. Es ist f\u00fcr uns, f\u00fcr den Bundesrat, und auch f\u00fcr die Mehrheit der Kommission klar, dass ein solches System definiert und eingesetzt werden muss. Es muss aber aus unserer Sicht nicht explizit in einem speziellen Absatz eines Artikels erw\u00e4hnt werden, weil es bereits in Artikel 7 Absatz 1 enthalten ist. Dieser Artikel schreibt vor, dass die Informationssicherheit nach dem Stand der Wissenschaft und Technik organisiert, umgesetzt und \u00fcberpr\u00fcft wird. Stand der Wissenschaft und Technik ist eben, dass man ein solches Managementsystem f\u00fcr die Informationssicherheit hat. Deshalb ist es unn\u00f6tig, dies nochmals explizit festzuhalten.
\nIch bin gleicher Meinung: Das Gesetz muss sagen, was es meint. Man muss aber im Gesetz auch nicht wie in einem Kochrezept jedes Detail anf\u00fchren. Es ist hier enthalten, die Definition gen\u00fcgt. Der Betrieb und die Definition des Systems sind somit im heutigen Gesetzestext eingeschlossen. Im \u00dcbrigen k\u00f6nnen auch bei der Interpretation eines Gesetzes die Materialien zu Hilfe genommen werden. Aus den Materialien, die sich auch aus dem Amtlichen Bulletin und aus der Botschaft ergeben, ist klar ersichtlich, dass in Artikel 7 Absatz 1 ein Managementsystem f\u00fcr die Informationssicherheit mitgemeint ist.
\nIch bitte Sie deshalb, das Gesetz nicht durch noch mehr Artikel zu belasten und diesen Minderheitsantrag abzulehnen.
\nSie befassen sich zum zweiten Mal mit dem Informationssicherheitsgesetz. Mit diesem will der Bundesrat die Informationssicherheit beim Bund an die Herausforderungen der Informationsgesellschaft anpassen. F\u00fcr alle Bundesbeh\u00f6rden soll ein formell einheitlicher gesetzlicher Rahmen f\u00fcr den Schutz von Informationen und die Sicherheit beim Einsatz von Informatikmitteln geschaffen werden. Es geht haupts\u00e4chlich um die Themen Risikomanagement, Klassifizierung von Informationen, Informatiksicherheit, Personensicherheitspr\u00fcfungen, Sicherheit bei sensitiven Beschaffungen oder die Unterst\u00fctzung der Betreiber von kritischen Infrastrukturen im Bereich der Informationssicherheit durch den Bund.
\nDas Gesetz soll nach Inkrafttreten nicht nur die Bundesbeh\u00f6rden verpflichten, sondern auch, und das ist ganz wichtig, weite Teile der Wirtschaft. Alle Organisationen des \u00f6ffentlichen und privaten Rechts, die kritische Infrastrukturen betreiben, werden sich nach der neuen Rechtsnorm zu richten haben.
\nNachdem der St\u00e4nderat in der Wintersession 2017, obwohl es praktisch keine Wortmeldungen gab, auf das Gesch\u00e4ft eingetreten ist, hat der Nationalrat eine ganz andere Haltung eingenommen. Die grosse Kammer ist der vorberatenden Kommission gefolgt und hat damals Nichteintreten beschlossen. Als Argument wurde unter anderem angef\u00fchrt, dass mit dem Gesetz ein zu grosser und komplexer Informationsschutzapparat aufgebaut w\u00fcrde, der eine Eigendynamik entfalten und sich zunehmend der Kontrolle des Parlamentes entziehen k\u00f6nnte. Ausserdem war einer Ratsmehrheit nicht klar, welchen Mehrwert das neue Gesetz bringen sollte.
\nDen St\u00e4nderat liess dies k\u00fchl. Um sein Gesicht zu wahren, ist er nach dem Nichteintretensentscheid des Nationalrates wieder auf die Vorlage eingetreten. Den Rest kennen Sie: Nachdem unsere Sicherheitspolitische Kommission zus\u00e4tzliche Abkl\u00e4rungen in Auftrag gegeben hatte, ist auch sie mehrheitlich auf das Gesch\u00e4ft eingetreten und hat sich danach mit der Detailberatung auseinandergesetzt.
\nDen Grundauftrag zur nun vorliegenden komplizierten Vorlage des Bundesrates erteilte dieser \u00fcbrigens bereits am 12.[NB]Mai 2010. Die Umsetzung dauert somit bereits zehn Jahre. In Zeiten von Cyberwar mag es sich unheimlich gut anh\u00f6ren, wenn der Bundesrat die Informationssicherheit anpassen will. In Tat und Wahrheit wird mit dieser Vorlage aber ein umfangreiches und komplexes B\u00fcrokratiemonster erschaffen.
\nVonseiten des Bundesrates heisst es zwar, dass angesichts der zunehmenden Vernetzung eine Harmonisierung der Sicherheitsniveaus zwischen den Bundesbeh\u00f6rden, den Kantonen und den internationalen Partnern der Schweiz dringend sei. Zus\u00e4tzlich sei das Gesetz - auch wenn, mit Verlaub, in den letzten zehn Jahren nicht wirklich jemand danach geschrien hat - notwendig f\u00fcr die Schweiz und insbesondere auch f\u00fcr die Wirtschaft. Interessanterweise ist aber ausgerechnet die Wirtschaft gegen dieses Gesetz, weil unklar ist, was es \u00fcberhaupt will.
\nIn erster Linie will das Gesetz die Informationssicherheit beim Bund st\u00e4rken, doch es verspricht auch, die Informationssicherheit der Schweizer Wirtschaft zu erh\u00f6hen. Dabei l\u00e4sst das Gesetz aber offen, wie das geschehen soll. Interessant ist auch, dass die Botschaft einhellig zum Schluss kommt, dass es bereits viele, teilweise parallele Strukturen gibt und dass sehr viel Fachwissen vorhanden ist, dieses aber teilweise wenig genutzt wird. Auch erstaunt es nicht, dass die bundesr\u00e4tliche Botschaft rund ein Dutzend Mal von m\u00f6glichen Synergien spricht und diese mit diesem Gesetz auch realisieren will. Es erstaunt dann aber doch, dass man trotz Realisierung von Synergien insgesamt eben mehr Verwaltungsstellen schaffen will. Offenbar ist man sich bewusst, dass die Informationssicherheit des Bundes bereits heute erstens dem Stand der Technik entspricht, zweitens durch Fachleute des Bundes laufend koordiniert und drittens durch Experten laufend \u00fcberpr\u00fcft und angepasst wird.
\nIch komme zu den finanziellen Auswirkungen der Vorlage. Die Vorlage sieht drei sogenannte Ambitionsniveaus vor. Ambitionsniveau 1 m\u00f6chte die Sicherheit im Vergleich zu heute erh\u00f6hen. Ambitionsniveau 2 m\u00f6chte die Informationssicherheit in Bezug auf heute deutlich erh\u00f6hen, und Ambitionsniveau 3 m\u00f6chte eine sehr hohe Informationssicherheit. Die j\u00e4hrlich wiederkehrenden Kosten variieren je nach Ambitionsniveau zwischen 1,5 und 87 Millionen Franken. Die einmaligen Kosten f\u00fcr die Umsetzung des Projekts variieren innerhalb dieser Niveaus zwischen 5 und 20 Millionen Franken. Die zus\u00e4tzlich ben\u00f6tigten Vollzeitstellen variieren innerhalb der Niveaus zwischen 9,5 und 78,5 Stellen. Noch nicht ber\u00fccksichtigt wurden die Zusatzkosten f\u00fcr die Schweizer Wirtschaft, welche das Gesetz generiert.
\nDie Botschaft zum vorliegenden Gesetz enth\u00e4lt keine Einsch\u00e4tzung zu den durch das Gesetz generierten Regulierungskosten und beachtet gar nicht, was die Akkreditierungs- und Zertifizierungserfordernisse f\u00fcr die betroffenen Unternehmen bedeuten. Der Schweizerische Gewerbeverband rechnet, und diese Zahl l\u00e4sst doch aufhorchen, mit 500 Millionen Franken, welche die Schweizer Wirtschaft bei einer Annahme zus\u00e4tzlich zu tragen h\u00e4tte.
\nMit dem Informationssicherheitsgesetz soll nun konkret das Ambitionsniveau 1 angestrebt werden. Wenn dieses Ambitionsniveau sp\u00e4ter erh\u00f6ht werden soll, muss das Gesetz nicht ge\u00e4ndert werden. Dies w\u00fcrde in der Kompetenz des Bundesrates liegen, der lediglich die Verordnung anpassen m\u00fcsste. Das Parlament k\u00f6nnte seinen Einfluss praktisch nicht mehr geltend machen. Daran \u00e4ndert auch der neue Absatz 3 in Artikel 7 nichts, der den Bundesrat verpflichtet, seine Ziele und die Kosten f\u00fcr die Informationssicherheit den Sicherheitspolitischen Kommissionen zur Konsultation vorzulegen. Wenn Sie diesem Gesetz heute zustimmen, k\u00f6nnen Sie folglich mit gr\u00f6sstm\u00f6glicher Sicherheit davon ausgehen, dass die Kosten in Zukunft steigen werden.
\nDas vorliegende Gesetz tr\u00e4gt wohl kaum zur Effizienzsteigerung in Sachen Informationssicherheit bei. Es steigert auch nicht die Informationssicherheit selbst. Es erzeugt lediglich ein Gef\u00fchl von mehr Sicherheit - ein tr\u00fcgerisches Gef\u00fchl, das mit mehr Stellen bei der Bundesverwaltung bezahlt wird, die Sicherheit unseres Landes aber kaum voranbringt. Unter anderem auch deshalb sind der Schweizerische Gewerbeverband, welcher 230 Verb\u00e4nde und gegen 500[NB]000 Unternehmen vertritt, sowie auch Suisse Digital als Verband der betroffenen Unternehmen gegen die Vorlage.
\nAnl\u00e4sslich ihrer Fraktionssitzung hat die SVP-Fraktion aus all den erw\u00e4hnten Gr\u00fcnden beschlossen, dieses Gesetz abzulehnen. Es ist nach wie vor nicht sonnenklar, welchen Mehrwert dieses Gesetz bringen wird. Es ist v\u00f6llig unklar, wie hoch die Folgekosten sein werden, und die Schweizer Wirtschaft h\u00e4tte mit einer massiven finanziellen und regulatorischen Mehrbelastung zu rechnen. Zudem ist die SVP-Fraktion \u00fcberzeugt, dass mit einem neuen Bundesgesetz \u00fcber die Informationssicherheit wohl kaum ein massgebender Mehrwert geschaffen wird.
\nIch bitte Sie deshalb im Namen der SVP-Fraktion, dieses B\u00fcrokratiemonster abzulehnen.
\nAbstimmung - Vote [GZ]
\n[NAM][GZ]
\nF\u00fcr den Antrag der Mehrheit ... 116 Stimmen[GZ]
\nF\u00fcr den Antrag der Minderheit ... 68 Stimmen[GZ]
\n(0 Enthaltungen)
\nDas Informationssicherheitsgesetz zeigt eigentlich, wie man nicht mit Vorlagen umgehen sollte. Seit mehr als drei Jahren ist dieses Gesetz nun in den R\u00e4ten unterwegs. Damit wird der landl\u00e4ufigen Meinung, dass die M\u00fchlen in Bern langsam mahlen, entsprochen. Diese Botschaft wurde n\u00e4mlich schon am 22. Februar 2017 vom Bundesrat verabschiedet.
\nDer St\u00e4nderat ist auf die Vorlage eingetreten und hat ihr zugestimmt. Anschliessend ist der Nationalrat im M\u00e4rz 2018 nicht eingetreten. Im November 2019 haben wir die Vorlage in der Sicherheitspolitischen Kommission, nach einer erneuten Zustimmung im St\u00e4nderat, nochmals beraten; wir sind dann ebenfalls eingetreten und haben die Vorlage vorberaten.
\nIn den letzten Wochen und Monaten hat sich in unserer Wirtschaft einiges ver\u00e4ndert. Die Digitalisierung hat einen riesigen Schub erfahren. Wir alle haben im Parlament erlebt, dass die Informationssicherheit bei uns schlecht gew\u00e4hrleistet werden kann und ganz besonders nicht auf Gesetzen basiert, die der heutigen Zeit angepasst sind. Diese Vorlage gibt uns die M\u00f6glichkeit, die Informationssicherheit des Bundes und der Verwaltung anzupassen. Ich m\u00f6chte daher meinem Vorredner, Herrn Zuberb\u00fchler, widersprechen, der sagte, dass das gar nicht n\u00f6tig sei.
\nDer Bundesrat verfolgt mit dieser Vorlage zwei ambiti\u00f6se Ziele. Er will die Rechtsgrundlagen f\u00fcr die Sicherheit von Informationen und Informatikmitteln des Bundes in einen einzigen Erlass zusammenf\u00fchren. Dabei sollen L\u00fccken des geltenden Rechts geschlossen sowie zahlreiche Anliegen der parlamentarischen Aufsichtsbeh\u00f6rden ber\u00fccksichtigt werden. Die Regelung soll f\u00fcr Beh\u00f6rden und Organisationen des Bundes gelten. Damit soll ein m\u00f6glichst einheitliches Sicherheitsniveau erreicht werden. Die Vorlage basiert auf anerkannten, in der Praxis erprobten internationalen Standards. Sie schafft einen formell-gesetzlichen Rahmen, auf dessen Grundlage die jeweiligen Bundesbeh\u00f6rden auf Verordnungs- und Weisungsebene die Informationssicherheit konkretisieren k\u00f6nnen.
\nMit diesem Gesetz soll der Geltungsbereich des milit\u00e4rischen Betriebssicherheitsverfahrens auf zivile Beschaffungen erweitert werden. Und was ganz besonders jetzt f\u00fcr die Wirtschaft wichtig ist: Es soll eine Grundlage f\u00fcr die Abgabe von Sicherheitserkl\u00e4rungen zugunsten von Schweizer Unternehmen geschaffen werden, die sich um ausl\u00e4ndische Auftr\u00e4ge bewerben und daf\u00fcr eine nationale Sicherheitserkl\u00e4rung ben\u00f6tigen. Das betrifft zum Teil auch KMU, die ebenfalls und ganz besonders auf diese Sicherheitserkl\u00e4rung angewiesen sind. Im Umfeld der und ganz besonders im Nachgang zur Corona-Krise ist dies f\u00fcr unsere Firmen, die international t\u00e4tig sind, relevant.
\nEin nicht unwesentlicher Teil dieses Gesetzes befasst sich mit der Regelung der Personensicherheitspr\u00fcfung. Diese war bis jetzt im BWIS geregelt, sollte schon l\u00e4ngere Zeit \u00fcberarbeitet werden und wird jetzt in diesem Gesetz geregelt. Der Bundesrat will die Personensicherheitspr\u00fcfung reduzieren, aber trotzdem das Mindestmass, welches zur Identifizierung von erheblichen Risiken erforderlich ist, im Gesetz festhalten.
\nUmstritten waren das letzte Mal beim Nichteintreten des Nationalrates die Umsetzungskosten. Diese h\u00e4ngen weitgehend vom Sicherheitsniveau ab, das die Bundesbeh\u00f6rden erreichen wollen, und dann selbstverst\u00e4ndlich auch vom entsprechenden Ausf\u00fchrungsrecht. Der Mehraufwand soll unter anderem durch die Reduktion bei den Personensicherheitspr\u00fcfungen kompensiert werden.
\nF\u00fcr uns war die Beantwortung der Frage wichtig, ob das vorliegende Gesetz auf der nationalen Cyberstrategie basiert. Alles andere w\u00e4re unverst\u00e4ndlich. Zudem wird die Fachstelle des Bundes f\u00fcr Informationssicherheit ins Kompetenzzentrum f\u00fcr Cybersicherheit integriert.
\nDie Mitte-Fraktion CVP-EVP-BDP wird auf diese Vorlage eintreten, \u00fcberall der Mehrheit zustimmen, ausgenommen bei Artikel 20 Absatz 3, wo wir zusammen mit der Minderheit I (Flach) den Beschluss des St\u00e4nderates unterst\u00fctzen. Dazu werde ich mich dann gerne in der Detailberatung noch \u00e4ussern.
\nUnsere Fraktion stimmt f\u00fcr Eintreten auf dieses Gesetz und bef\u00fcrwortet die Behandlung dieser Vorlage.
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): Les rapporteurs renoncent \u00e0 reprendre la parole.
\n[VS]
\nEintreten wird ohne Gegenantrag beschlossen [GZ]
\nL'entr\u00e9e en mati\u00e8re est d\u00e9cid\u00e9e sans opposition
\n[VS]
\n[VS]
\nBundesgesetz \u00fcber die Informationssicherheit beim Bund[GZ]
\nLoi f\u00e9d\u00e9rale sur la s\u00e9curit\u00e9 de l'information au sein de la Conf\u00e9d\u00e9ration[GZ]
\n[VS][GZ]
\nDetailberatung - Discussion par article [GZ]
\n[VS][GZ]
\nTitel und Ingress, Art. 1-4[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nTitre et pr\u00e9ambule, art. 1-4[GZ]
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt. 5 [GZ]
\nAntrag der Mehrheit [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Sommaruga Carlo, Crottaz, Fridez, Gl\u00e4ttli, Mazzone, Seiler Graf)[GZ]
\nBst. c [GZ]
\nc. ... Informations-, Kommunikations- und Transportinfrastrukturen sowie grundlegende Spitaleinrichtungen und weitere Prozesse ...
\n[VS]
\nArt. 5 [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Sommaruga Carlo, Crottaz, Fridez, Gl\u00e4ttli, Mazzone, Seiler Graf)[GZ]
\nLet. c [GZ]
\nc. ... de communication et de transport ainsi que les installations hospitali\u00e8res de base et d'autres installations, processus[NB]...
\n[VS]
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): La proposition de la minorit\u00e9 Sommaruga Carlo sera pr\u00e9sent\u00e9e par Mme Seiler Graf.
\nVon Verweigerungshaltung des Parlamentes habe ich nichts gesagt. Ich habe gesagt, dass wir nicht eingetreten sind. Uns fehlte die Grundlage. Wir wussten zu wenig Bescheid \u00fcber die Finanzen. Diese Auskunft haben wir bei der letzten Detailberatung erhalten, und darum unterst\u00fctzen wir jetzt die Vorlage.
\nGesch\u00e4tzte Kollegin Glanzmann, Sie haben jetzt gesagt, das Parlament habe eine Verweigerungshaltung eingenommen, das haben Sie hier auch erw\u00e4hnt. Sie haben von Verz\u00f6gerungstaktik usw. gesprochen, der Bundesrat habe schnell gearbeitet, dabei war dieses Gesetz ein Jahrzehnt in der Verwaltung. Aber nun zu meiner Frage: War es nicht gerade ein Mitglied Ihrer Fraktion, welches den R\u00fcckweisungsantrag gestellt hat? Soweit ich mich erinnere, war das so.
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): Le groupe du centre PDC-PEV-PBD soutient la proposition de la majorit\u00e9.
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): Le vote vaut \u00e9galement pour le chiffre 2 article 6 alin\u00e9a 1 lettre a et chiffre 11 article 1 alin\u00e9a 2 lettre c.
\nLa loi sur la s\u00e9curit\u00e9 de l'information a une longue histoire derri\u00e8re elle. Le message du Conseil f\u00e9d\u00e9ral date du 22 f\u00e9vrier 2017, et compte tenu de la vitesse \u00e0 laquelle \u00e9volue la soci\u00e9t\u00e9 de l'information, on pourrait presque se demander si la loi n'est pas d\u00e9j\u00e0 compl\u00e8tement d\u00e9pass\u00e9e. Heureusement, le Conseil f\u00e9d\u00e9ral a r\u00e9sist\u00e9 \u00e0 la tentation d'inscrire certaines normes techniques dans la loi, mais s'est plut\u00f4t limit\u00e9 \u00e0 cr\u00e9er un cadre l\u00e9gal unique pour toutes les autorit\u00e9s f\u00e9d\u00e9rales, afin de garantir la protection de l'information et la s\u00e9curit\u00e9 des moyens informatiques.
\nL'id\u00e9e est d'utiliser des normes et des m\u00e9thodes reconnues dans le monde professionnel, qui correspondent \u00e0 l'\u00e9tat actuel des connaissances. Il ne s'agit donc pas pour la Conf\u00e9d\u00e9ration de r\u00e9inventer la roue. Il s'agit plut\u00f4t de s'engager \u00e0 donner \u00e0 la s\u00e9curit\u00e9 de l'information le poids n\u00e9cessaire, comme le font tous les grands acteurs \u00e9conomiques et aussi de nombreux petits.
\nLa minorit\u00e9 Gl\u00e4ttli qui propose un nouvel article 6a, il faut le souligner d\u00e8s maintenant, vise exactement ce but: que la Conf\u00e9d\u00e9ration ne fasse pas le long et inutile travail de r\u00e9inventer la roue, tout en garantissant que la gestion de la s\u00e9curit\u00e9 de l'information repose sur des normes et des standards internationalement reconnus.
\nCes derni\u00e8res semaines, nous avons vu \u00e0 quel point le fonctionnement de l'informatique, au niveau de l'infrastructure et au niveau des applications, est central, et \u00e0 quel point un syst\u00e8me informatique fonctionnel peut nous aider \u00e0 surmonter une crise. Inversement, il est difficile d'imaginer \u00e0 quel point non seulement les activit\u00e9s de l'administration elle-m\u00eame, mais aussi celles de la population et de l'\u00e9conomie, seraient affect\u00e9es si les autorit\u00e9s f\u00e9d\u00e9rales n'\u00e9taient plus en mesure de fonctionner, ou en tout cas pas correctement, en raison de probl\u00e8mes de s\u00e9curit\u00e9 dans le domaine de l'informatique.
\nC'est pourquoi les Verts se r\u00e9jouissent que cette loi semble aujourd'hui avoir une seconde chance dans notre conseil, apr\u00e8s la d\u00e9cision de ce dernier de ne pas entrer en mati\u00e8re en 2018.
\nLa raison du rejet lors du premier d\u00e9bat \u00e9tait d'abord la crainte que la loi ait des cons\u00e9quences financi\u00e8res incontr\u00f4lables.
\nFranchement, notre crainte \u00e9tait toute autre, et plut\u00f4t le contraire. Les co\u00fbts des incidents qui pourraient \u00eatre \u00e9vit\u00e9s avec un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l'information op\u00e9rationnel, et la gestion appropri\u00e9e des risques qui y est associ\u00e9e, sont autrement plus inqui\u00e9tants.
\nN\u00e9anmoins, nous nous rallions \u00e0 la commission qui demande que les Commissions de la politique de s\u00e9curit\u00e9 soient consult\u00e9es par le Conseil f\u00e9d\u00e9ral sur les objectifs concrets et les co\u00fbts. Bien qu'il soit assez inhabituel de consigner ainsi cela dans un texte l\u00e9gislatif, si cela sert \u00e0 cr\u00e9er la confiance n\u00e9cessaire et \u00e0 \u00e9viter un rejet d\u00e9finitif de la loi, nous nous y rallions volontiers.
\nJe ne veux pas conclure sans \u00e9voquer la minorit\u00e9 \u00e0 l'article 86 alin\u00e9a 3 que les Verts vous recommandent vivement d'accepter. Il n'est pas contest\u00e9 par la commission que la Conf\u00e9d\u00e9ration doit fixer des exigences de s\u00e9curit\u00e9 standardis\u00e9es. Mais le Conseil f\u00e9d\u00e9ral propose que ces exigences aient en principe purement valeur de recommandations. La crise du coronavirus a malheureusement prouv\u00e9 \u00e0 quel point les normes et plans de s\u00e9curit\u00e9 fonctionnent mal et ne sont pas respect\u00e9s s'ils ne sont pas contraignants.
\nNotre minorit\u00e9 propose donc que les exigences standard soient en principe contraignantes, tout en laissant une certaine flexibilit\u00e9, puisque notre proposition stipule que les autorit\u00e9s peuvent d\u00e9finir ces exigences comme non contraignantes pour leur propre domaine, en donnant des raisons sp\u00e9cifiques \u00e0 ce choix.
\nEn vous demandant de prendre en consid\u00e9ration ces remarques, le groupe des Verts vous recommande d'entrer en mati\u00e8re sur ce projet de loi.
\nAbstimmung - Vote [GZ]
\n[NAM][GZ]
\nF\u00fcr den Antrag der Mehrheit ... 122 Stimmen[GZ]
\nF\u00fcr den Antrag der Minderheit ... 66 Stimmen[GZ]
\n(0 Enthaltungen)
\nArt.[NB]6[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt.[NB]6a [GZ]
\nAntrag der Minderheit [GZ]
\n(Gl\u00e4ttli, Crottaz, Flach, Fridez, Mazzone, Sommaruga Carlo)[GZ]
\nTitel [GZ]
\nInformationssicherheitsmanagement
\nText [GZ]
\nDie verpflichteten Beh\u00f6rden und Organisationen definieren und betreiben ein System zum Informationssicherheitsmanagement, das auf international anerkannten Standards basiert.
\n[VS]
\nArt.[NB]6a [GZ]
\nProposition de la minorit\u00e9 [GZ]
\n(Gl\u00e4ttli, Crottaz, Flach, Fridez, Mazzone, Sommaruga Carlo)[GZ]
\nTitre [GZ]
\nGestion de la s\u00e9curit\u00e9 de l'information
\nTexte [GZ]
\nLes autorit\u00e9s et organisations soumises \u00e0 la pr\u00e9sente loi d\u00e9finissent et exploitent un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l'information fond\u00e9 sur des normes reconnues sur le plan international.
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): Le groupe socialiste et le groupe des Verts renoncent \u00e0 prendre la parole.
\nIhre Kommission befasst sich schon seit mehr als zwei Jahren mit dem Informationssicherheitsgesetz. Der St\u00e4nderat ist Erstrat und hat das Gesetz in der Wintersession 2017 beraten. Er hat damals dem Entwurf des Bundesrates mit nur wenigen \u00c4nderungen zugestimmt. In der Fr\u00fchjahrssession 2018 ist dieser Rat Ihrer Kommission gefolgt und damals nicht auf das Gesetz eingetreten. Der St\u00e4nderat hat das Gesetz dann in der Herbstsession 2018 ein zweites Mal traktandiert und an seinem Beschluss festgehalten. Infolgedessen liegt es jetzt an unserem Rat, das Gesch\u00e4ft wieder zu behandeln.
\nAn der Sitzung vom 8./9. Oktober 2018 entschied Ihre Kommission mit 17 zu 8 Stimmen bei 1 Enthaltung, auf das Gesch\u00e4ft einzutreten. An dieser Sitzung beschloss die Kommission dann aber mit 17 zu 9 Stimmen eine Sistierung und beauftragte das VBS, bis Mitte 2019 aufzuzeigen, wie die Vorlage verbessert werden kann. Die Kommission verlangte Verbesserungen unter anderem bez\u00fcglich der Kosten f\u00fcr die \u00f6ffentlichen und privaten Unternehmen bzw. wie die Bestimmungen zu \u00fcberarbeiten sind, damit diese Kosten f\u00fcr die Unternehmen keine Belastung darstellen. Weiter verlangte sie, das Gesetz zu konkretisieren, zu vereinfachen und zu straffen. Auch wollte die Kommission eine verst\u00e4rkte Kontrolle des Parlamentes bei der Anwendung und \u00dcberwachung des Gesetzes und eine Abkl\u00e4rung, ob der Bereich Personensicherheitspr\u00fcfung in einem vom ISG getrennten, separaten Erlass geregelt werden k\u00f6nnte. Es wurde auch gefordert, aufzuzeigen, inwieweit das ISG auf die Nationale Strategie zum Schutz der Schweiz vor Cyberrisiken abgestimmt ist. [PAGE 681]
\nFristgerecht wurde der Kommission vom VBS das entsprechende Zusatzdokument in Erf\u00fcllung des Auftrags zugestellt. Im August letzten Jahres diskutierte die Kommission die umfangreichen Zusatzinformationen. Im Lichte dieser Informationen nahm die Kommission die Detailberatung auf.
\nIm Namen der Kommissionsmehrheit bitte ich Sie deshalb, jetzt auf das Gesetz einzutreten und anschliessend die Detailberatung aufzunehmen.
\nGesamtabstimmung - Vote sur l'ensemble [GZ]
\n[NAM][GZ]
\nF\u00fcr Annahme des Entwurfes ... 131 Stimmen [GZ]
\nDagegen ... 53 Stimmen [GZ]
\n(1 Enthaltung)[GZ]
\n[VS][GZ]
\n[VS][GZ]
\n[VS][GZ]
\nSchluss der Sitzung um 17.50 Uhr [GZ]
\nLa s\u00e9ance est lev\u00e9e \u00e0 17 h 50 [PAGE 697]
\n[VS]
\n[VS]
\n[VS]
\n[VS]
\nArt.[NB]7 [GZ]
\nAntrag der Kommission [GZ]
\nAbs. 1, 2 [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nAbs. 3 [GZ]
\nDer Bundesrat legt seine Ziele und die Kosten f\u00fcr die Informationssicherheit den Sicherheitspolitischen Kommissionen zur Konsultation vor.
\n[VS]
\nArt.[NB]7 [GZ]
\nProposition de la commission [GZ]
\nAl. 1, 2 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\nAl. 3 [GZ]
\nLe Conseil f\u00e9d\u00e9ral consulte les Commissions de politique de s\u00e9curit\u00e9 sur ses objectifs en mati\u00e8re de s\u00e9curit\u00e9 de l'information et les co\u00fbts y aff\u00e9rents.
\n[VS]
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): Mme la conseill\u00e8re f\u00e9d\u00e9rale souhaite s'exprimer sur l'alin\u00e9a 3.
\nSie haben es geh\u00f6rt, es geht hier um die viel diskutierte Verwendung der AHV-Nummer. Die Kommissionsmehrheit will bez\u00fcglich der Verwendung der AHV-Nummer die Fassung des Bundesrates. Die Minderheit[NB]I will dem Beschluss des St\u00e4nderates folgen. Die Minderheit II ist grunds\u00e4tzlich gegen die Verwendung der AHV-Nummer.
\nWeit mehr als 100[NB]000 Angestellte von Bund, Kantonen und Wirtschaft sowie Angeh\u00f6rige der Armee ben\u00f6tigen aus verschiedenen Gr\u00fcnden ein Benutzerkonto beim Bund. Der Bund muss diese Personen klar identifizieren, bevor er ihnen einen Zugriff auf seine Informatiksysteme erteilt. Wird dies nicht gemacht, ist das Missbrauchspotenzial gross. Ohne einen eindeutigen Identifikator ist es sehr aufwendig, die Benutzerinnen und Benutzer fehlerfrei zu identifizieren. Entweder werden zus\u00e4tzliche Daten erhoben, oder der Kontrollvorgang erfolgt manuell. Beide Varianten sind fehleranf\u00e4llig.
\nGanz konkret: In der Schweiz leben Tausende von Personen, die Meier, M\u00fcller oder Schmid heissen. Ohne eindeutigen Identifikator m\u00fcssen deren Benutzerkonten alle manuell \u00fcberpr\u00fcft werden. Der beste Personenidentifikator f\u00fcr eine fehlerfreie Identifizierung ist die AHV-Nummer. Deshalb wollen sowohl der Bundesrat, in Artikel 26, als auch der St\u00e4nderat, in Artikel 20, den Bund erm\u00e4chtigen, die AHV-Nummer daf\u00fcr zu verwenden; beide Bestimmungen sehen im \u00dcbrigen eine Kann-Formulierung vor. Wird Artikel 20 im Sinne des Beschlusses des St\u00e4nderates angepasst, so kann der ganze Artikel 26 gestrichen werden. Es geht hier nicht darum, Personendaten von B\u00fcrgerinnen und B\u00fcrgern zu vernetzen oder Profile zu erstellen. Die AHV-Nummer dient lediglich der fehlerfreien Identifizierung der Informatikbenutzerinnen und -benutzer des Bundes.
\nDer Bundesrat hat in seiner Botschaft einen ziemlich restriktiven Vorschlag gemacht: Die AHV-Nummer soll nur in speziellen Systemen verwendet werden, die ausschliesslich der Kontrolle der Identit\u00e4ten dienen. Die Regelung des St\u00e4nderates geht leicht weiter: Die AHV-Nummer soll nicht nur f\u00fcr diese speziellen Kontrollsysteme verwendet werden, sondern allgemein f\u00fcr die Identit\u00e4tskontrolle beim Zugang zu den Systemen des Bundes. Bei beiden Varianten wird die AHV-Nummer sehr gut gesch\u00fctzt. Die etwas weiter gehende L\u00f6sung des St\u00e4nderates bietet dem Bund mehr Sicherheit gegen missbr\u00e4uchlichen Zugriff. Sie entspricht der Regelung, die heute f\u00fcr milit\u00e4rische Systeme bereits gilt.
\nDer Bundesrat hat am 30. Oktober letzten Jahres eine Botschaft zur \u00c4nderung des AHV-Gesetzes verabschiedet. Neu sollen Beh\u00f6rden generell die AHV-Nummer verwenden d\u00fcrfen. Strikte Regelungen stellen sicher, dass der Datenschutz und die Informationssicherheit gew\u00e4hrleistet sind. In der Vernehmlassung zu dieser Revision sprach sich eine deutliche Mehrheit f\u00fcr diese \u00c4nderung aus.
\nDie Formulierung des St\u00e4nderates \u00fcbernimmt die Absicht des Bundesrates bereits f\u00fcr das vorliegende Gesetz. Die Regelung im Informationssicherheitsgesetz ist n\u00f6tig, weil sie dem Bund f\u00fcr laufende und geplante Projekte bis zum Inkrafttreten der \u00c4nderung des AHV-Gesetzes klare Sicherheits- und Effizienzgewinne bietet.
\nIn diesem Sinne, weil dieses Gesetz - wir haben es geh\u00f6rt - ja schon seit zehn Jahren in Diskussion ist und weil man jetzt mit der Revision des AHV-Gesetzes in Richtung der L\u00f6sung des St\u00e4nderates gehen will, bitte ich Sie, dem Antrag der Minderheit I zuzustimmen.
\nDie Sicherheitsstandards des Bundesrates werden f\u00fcr alle Beh\u00f6rden, die ihm unterstellt sind, verpflichtend sein. Dies betrifft vor allem die Bundesverwaltung und auch die Armee. Vom Bundesrat unabh\u00e4ngige Beh\u00f6rden wie das Parlament oder die Bundesgerichte d\u00fcrfen hingegen nicht zur \u00dcbernahme des Standards verpflichtet werden, weil diese Beh\u00f6rden laut Verfassung eben unabh\u00e4ngig sind. Die Standards d\u00fcrfen hier lediglich empfehlenden Charakter haben. Das ist im Gesetz so vorgesehen. Dies hat nichts mit Biss und auch nichts mit h\u00f6heren oder tieferen Standards zu tun, sondern mit Verfassungsrecht, an das wir uns halten wollen und m\u00fcssen. Deshalb geht es hier tats\u00e4chlich um den Kern, n\u00e4mlich um den Kern der Gewaltentrennung.
\nIch bitte Sie, den Antrag der Minderheit abzulehnen.
\nJe ne reviendrai pas sur l'importance de cette loi qui contribue \u00e0 am\u00e9liorer la s\u00e9curit\u00e9 de l'information relevant de la comp\u00e9tence de la Conf\u00e9d\u00e9ration.
\nL'\u00e9volution de notre soci\u00e9t\u00e9 vers une hyperconnectivit\u00e9 conduit en effet \u00e0 des menaces diff\u00e9rentes de celles auxquelles nous \u00e9tions jusqu'alors confront\u00e9s. La digitalisation et l'interconnexion des syst\u00e8mes rendent n\u00e9cessaire une loi sur la s\u00e9curit\u00e9 de la cyberadministration.
\nL'utilisation abusive d'informations, le vol de donn\u00e9es ou la perturbation de syst\u00e8mes d'informations sensibles peuvent en effet nuire gravement aux int\u00e9r\u00eats essentiels de la Suisse, voire l\u00e9ser la s\u00e9curit\u00e9 d'entreprises ou de particuliers.
\nA son article 75, la loi pr\u00e9cise que: \"La Conf\u00e9d\u00e9ration apporte un soutien aux exploitants d'infrastructures critiques pour garantir que les interruptions de r\u00e9seau et de syst\u00e8me et les utilisations abusives soient rares, de courte dur\u00e9e, ma\u00eetrisables et peu dommageables.\"
\nL'article 5 lettre c d\u00e9finit quant \u00e0 lui les infrastructures critiques qui sont concern\u00e9es par cette loi. Dans sa strat\u00e9gie nationale de protection des infrastructures critiques 2018-2022, le Conseil f\u00e9d\u00e9ral d\u00e9finit neuf secteurs comme infrastructures critiques, dont celui de la sant\u00e9. Or celui-ci ne figure pas nomm\u00e9ment dans la liste d\u00e9finissant les infrastructures critiques \u00e0 cet article 5 lettre c. M\u00eame si M. Hurter pense qu'il n'est pas n\u00e9cessaire de tous les citer, il faut bien dire que la plupart des autres secteurs d\u00e9finis comme infrastructures critiques sont cit\u00e9s dans cet article.
\nLa minorit\u00e9 Sommaruga Carlo, reprise par Mme Seiler Graf, qui vous est soumise propose donc que les installations hospitali\u00e8res de base soient ajout\u00e9es \u00e0 cette liste d'infrastructures critiques. Rien de bien r\u00e9volutionnaire vous en conviendrez, et, de plus, dans les circonstances tr\u00e8s particuli\u00e8res que nous vivons depuis le d\u00e9but de l'ann\u00e9e, il n'\u00e9chappera \u00e0 personne que nos h\u00f4pitaux sont des infrastructures critiques, autant que celles concernant l'approvisionnement en eau potable ou en \u00e9nergie, les transports ou d'autres syst\u00e8me essentiels au fonctionnement de l'\u00e9conomie.
\nLes h\u00f4pitaux, sous forte tension \u00e0 cause de la pand\u00e9mie, en ce temps de crise mondiale, ont vu des pirates sans scrupules profiter de l'\u00e9pid\u00e9mie de coronavirus pour les attaquer et exiger des ran\u00e7ons ou voler des documents. Plusieurs cyberattaques viennent ainsi de se d\u00e9rouler \u00e0 l'\u00e9tranger.
\nLa menace num\u00e9ro un, ce sont les \"ransomwares\", ou \"ran\u00e7ongiciels\", ces programmes qui paralysent les syst\u00e8mes informatiques. Pour rendre l'acc\u00e8s aux ordinateurs, les pirates exigent une ran\u00e7on. En 2019, pour les seuls Etats-Unis, 764 \u00e9tablissements hospitaliers ont \u00e9t\u00e9 cibl\u00e9s par de telles attaques, avec comme cons\u00e9quences des patients redirig\u00e9s vers d'autres h\u00f4pitaux, des dossiers inaccessibles et parfois d\u00e9truits.
\nD'autres m\u00e9thodes sont employ\u00e9es par les pirates, comme l'attaque par d\u00e9ni de service constat\u00e9e au mois de mai de cette ann\u00e9e \u00e0 Paris. Ce sont des attaques qui saturent les serveurs. L'Assistance publique-H\u00f4pitaux de Paris a ainsi d\u00fb couper temporairement l'acc\u00e8s externe aux mails et \u00e0 des outils de t\u00e9l\u00e9travail en raison d'une surcharge du syst\u00e8me.
\nAvant la pand\u00e9mie, en octobre 2019, l'h\u00f4pital de Wetzikon, dans le canton de Zurich, avait \u00e9galement subi une attaque par \"ransomware\" et avait d\u00fb d\u00e9brancher du syst\u00e8me central plusieurs dispositifs m\u00e9dicaux. Ces quelques \u00e9l\u00e9ments vous convaincront, je l'esp\u00e8re, de la n\u00e9cessit\u00e9 de consid\u00e9rer les installations hospitali\u00e8res comme des infrastructures critiques et de les inscrire clairement, \u00e0 l'article 5 lettre c.
\nJe vous remercie donc de soutenir la proposition de la minorit\u00e9 Sommaruga Carlo, d\u00e9fendue par Mme Seiler Graf.
\nLa proposition de la minorit\u00e9 Gl\u00e4ttli \u00e0 l'article 6a pr\u00e9voit que \"les autorit\u00e9s et organisations soumises \u00e0 la pr\u00e9sente loi d\u00e9finissent et exploitent un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l'information fond\u00e9 sur des normes reconnues sur le plan international\".
\nDans le message du Conseil f\u00e9d\u00e9ral, il est question de respecter de tels standard, et on cite la possibilit\u00e9 de respecter la norme ISO 27 001. Cependant, leur mise en oeuvre pourrait g\u00e9n\u00e9rer des frais, comme cela a \u00e9t\u00e9 abord\u00e9 dans mon rapport lors du d\u00e9bat d'entr\u00e9e en mati\u00e8re.
\nLes r\u00e8glements d'application auront le dernier mot. Mais rappelons encore que, \u00e0 l'article 7 alin\u00e9a 1, il est demand\u00e9 aux autorit\u00e9s soumises \u00e0 la pr\u00e9sente loi de veiller \"\u00e0 ce que la s\u00e9curit\u00e9 de l'information soit organis\u00e9e, mise en oeuvre et contr\u00f4l\u00e9e conform\u00e9ment \u00e0 l'\u00e9tat des connaissances scientifiques et techniques\".
\nLa commission a refus\u00e9 la proposition d\u00e9fendue par la minorit\u00e9 Gl\u00e4ttli par 16 voix contre 7 et aucune abstention.
\nDieses Gesetz ist dringend notwendig, gerade in Zeiten von Cyberbedrohung, aber auch f\u00fcr alle unsere international t\u00e4tigen Firmen. Es fasst einerseits bestehende verstreute Bestimmungen zusammen und schafft ein einheitliches hohes Cybersicherheitsniveau im Bereich der Informationssicherheit. Andererseits bringt es aber auch echte Fortschritte, wie zum Beispiel mit der Schaffung einer beh\u00f6rden\u00fcbergreifenden Fachstelle des Bundes f\u00fcr die Steuerung der erforderlichen Massnahmen f\u00fcr die Informationssicherheit. Der vorliegende Entwurf des Bundesgesetzes tr\u00e4gt einer integralen Informationssicherheit und dem gesellschaftlichen und technischen Wandel im Umgang [PAGE 682] mit Informationen angemessen Rechnung; Stichworte sind Digitalisierung, Cyber, Big Data und Open Data.
\nCybersicherheit ist die grosse Herausforderung, und Informationssicherheit ist ein zentrales Element davon. Andere Staaten investieren \u00fcber 10 Prozent des IKT-Budgets in die Sicherheit, die Banken sogar 10 bis 12 Prozent. Aus SP-Sicht ist es sogar falsch, nur das absolute Minimum zu tun, wie wir das jetzt hier machen und wie das der Bundesrat auch vorgesehen hat. Wir w\u00e4ren hier auch f\u00fcr ein h\u00f6heres Ambitionsniveau zu haben gewesen, denn es handelt sich um Risiken mit sehr hoher Eintretenswahrscheinlichkeit und einem sehr grossen Schadensausmass bei gleichzeitig im Verh\u00e4ltnis \u00fcberblickbaren Kosten. Selbst bei einem hohen Ambitionsniveau werden sich die Kosten insgesamt bei verantwortbaren etwa 100 Millionen bewegen. Dass dies gar nichts n\u00fctzt, wie jetzt die SVP sagt, das ist einfach so behauptet.
\nDie Fragen nach den finanziellen Folgen dieses Gesetzes standen bei den Diskussionen in der SiK-N denn auch dermassen im Vordergrund, dass, wir haben es jetzt wieder gemerkt, ganz in Vergessenheit geriet, wof\u00fcr dieses Gesetz eigentlich ben\u00f6tigt wird und dass im Bereich[NB]Informationssicherheit tats\u00e4chlich dringender Handlungsbedarf besteht. Man k\u00f6nnte das Verhalten des Nationalrates und der SiK-N sogar als Arbeitsverweigerung bezeichnen. Zuerst wurde gar nicht erst auf das Gesetz eingetreten, obwohl man ja die M\u00f6glichkeit gehabt h\u00e4tte, das Gesetz zu konkretisieren und zu verbessern. Nachdem der St\u00e4nderat[NB]wieder auf das Gesetz eingetreten war, wurde es in der SiK-N einmal mehr mit einer Sistierung verschleppt. Nun kann ich es kaum glauben, dass ich jetzt wirklich hier stehe und wir dieses Gesetz nun endlich beraten.
\nF\u00fcr die SP-Fraktion war der akute Handlungsbedarf von Anfang an ausgewiesen. Ich hoffe sehr, dass wir durch all die diversen Pirouetten nicht allzu viel wertvolle Zeit verloren haben. Die SP-Fraktion wird ihre eigenen Minderheitsantr\u00e4ge in der Detailberatung begr\u00fcnden. Den beiden Minderheitsantr\u00e4gen Gl\u00e4ttli zu den Artikeln 6a und 86 werden wir zustimmen. Sie tragen dazu bei, dass die Standardanforderungen genug hoch sind und auf international anerkannten Standards beruhen. Die Antr\u00e4ge der Minderheit I (Flach) und der Minderheit II (Keller-Inhelder) zu den Artikeln 20 und 26 werden wir ablehnen. Wir sind der Ansicht, dass die vom Bundesrat vorgeschlagene Kann-Formulierung bei der Verwendung der AHV-Nummer als Personenidentifikator am vern\u00fcnftigsten ist. In der Detailberatung wird das noch genauer begr\u00fcndet werden.
\nInsgesamt wird die SP-Fraktion aber in der Gesamtabstimmung klar und \u00fcberzeugt dem Gesetz zustimmen.
\nEndlich biegen wir in die Zielgerade ein. Ich hoffe, dass wir den Einlauf auch schaffen. Sie haben die Geschichte geh\u00f6rt. Ich habe meinen Kollegen und Kolleginnen die Vorlage vereinfacht erkl\u00e4rt. Vermutlich hat der St\u00e4nderat von diesem Gesetz nicht wahnsinnig viel verstanden und in seiner staatsgl\u00e4ubigen Art einfach gesagt: Okay, wir stimmen dem Bundesrat zu. Beim Nationalrat ging es eigentlich gleich. Wir brauchten in der Kommission auch [PAGE 683] ein paar Anl\u00e4ufe, bis wir das Konzept verstanden hatten; nur lief es in der Eigendynamik des Nationalrates dann auf eine Ablehnung hinaus. Das ist das, was man auch bedauern muss, weil wir dadurch durchaus Zeit verloren haben. Wir haben aber hoffentlich auch ein wenig an Erkenntnis gewonnen, weshalb es dieses Gesetz \u00fcberhaupt braucht.
\nIch m\u00f6chte einleitend auch kurz sagen, dass es in diesem Gesetz ganz verschiedene Elemente gibt. Sie haben es geh\u00f6rt, ich muss es nicht noch einmal von der Personensicherheitspr\u00fcfung bis zur Informationssicherheit im IT-Bereich aufdr\u00f6seln. Wir haben uns in der Kommission \u00fcberlegt, ob man das nicht allenfalls in unterschiedliche Gesetze aufteilen k\u00f6nnte, und haben auch \u00fcber entsprechende Antr\u00e4ge debattiert. Wir sind dann aber zum Schluss gekommen, dass es von allen schlechten L\u00f6sungen die am wenigsten schlechte ist, das Gesetz als Ganzes zusammenzubehalten. Es ist jedoch nicht so, dass Sie das Gesetz als einheitliches Gesetz lesen k\u00f6nnen. Es sind wirklich ganz unterschiedliche Teile, die geregelt werden und im groben Ganzen die Informationssicherheit betreffen.
\nGanz wichtig scheint mir: Wenn Sie gewissen Minderheitsantr\u00e4gen noch zur Mehrheit verhelfen, haben Sie mit diesem Gesetz die M\u00f6glichkeit, zu verhindern, dass das passiert, was wir jetzt in einem anderen Bereich leidvoll erlebt haben, wo man versucht hat, mit Pl\u00e4nen f\u00fcr k\u00fcnftige Krisen vorzusorgen. Wir alle haben den Pandemieplan in den letzten Monaten vermutlich viel n\u00e4her kennengelernt, als uns allen lieb ist. Wir haben gemerkt, wie n\u00fctzlich oder nutzlos ein Plan ist, wenn er nur ein Plan bleibt und es keine verbindlichen Vorgaben gibt. Es ist gerade im Bereich der IT auch das Ziel, konkrete Vorgaben zu machen. Das soll, um den Vergleich zu bem\u00fchen, nicht im Sinne einer Vorgabe geschehen, welche Anzahl Masken in der Verantwortung von dieser oder jener Organisationseinheit vorzubereiten oder auf Vorrat zu halten seien, sondern vielmehr ist die Verantwortung klar festzuschreiben, dass es Informationssicherheits-Managementsysteme braucht.
\nEs macht keinen Sinn, ganz konkrete Sicherheitsanforderungen auf Gesetzes- oder meinetwegen Verordnungsstufe festzuschreiben. Das Wichtige ist, dass alle sicherheitsrelevanten Bereiche gezwungen sind, ein solches Informationssicherheits-Managementsystem einzuf\u00fchren. Das heisst, dass anerkannte Prozesse da sind, wo man die Risiken identifiziert, m\u00f6gliche Reaktionen abw\u00e4gt, das Gewicht definiert, mit wie viel Aufwand man auf welches Risiko vorbereitet sein will, und dann auch Pl\u00e4ne B in petto hat f\u00fcr den Fall, dass es wirklich mal s\u00fcdw\u00e4rts geht.
\nIch spreche dann in der Detailberatung nochmals kurz zum Minderheitsantrag, aber ich lege Ihnen schon jetzt wirklich ans Herz: Wenn Sie schon dieses Gesetz beschliessen, dann geben Sie ihm auch Z\u00e4hne, denn sonst riskieren wir tats\u00e4chlich, dass es sich nur um ein B\u00fcrokratiegebilde, um einen Papiertiger handelt.
\nJe vous dis juste que c'est \u00e0 une tr\u00e8s large majorit\u00e9, par 20 voix contre 2, que la commission a accept\u00e9 cette proposition.
\nA l'article 5 lettre c, une proposition de minorit\u00e9 vise \u00e0 ajouter \u00e0 la liste des infrastructures critiques les installations hospitali\u00e8res de base. Dans le projet du Conseil f\u00e9d\u00e9ral, ces installations sont implicitement comprises dans le libell\u00e9 \u00e0 la fin de l'article, o\u00f9 il est pr\u00e9cis\u00e9 \"ou autre indispensable au fonctionnement de la soci\u00e9t\u00e9 civile, de l'\u00e9conomie et de l'Etat.\"
\nSur cette base, la commission s'est oppos\u00e9e \u00e0 cette minorit\u00e9 par 18 voix contre[NB]6.
\nDie FDP-Liberale Fraktion empfiehlt Ihnen einstimmig, auf das heute unumstrittene Informationssicherheitsgesetz einzutreten. Ich werde mich jetzt in meinem Eintretensvotum auch gleich zur Detailberatung \u00e4ussern und nachher nicht mehr sprechen.
\nAufgrund von mehreren Angriffen auf Informationssysteme des Bundes hat sich gezeigt, dass der Schutz von Informationen beim Bund L\u00fccken aufweist. Daher sollen f\u00fcr die Bundesbeh\u00f6rden minimale Sicherheitsstandards gelten, die mit diesem Gesetz definiert werden. Das Gesetz soll die Sicherheit von Informationen in der Bundesverwaltung verbessern und einen Mindeststandard schaffen. Es regelt einheitlich die Personensicherheitspr\u00fcfungen, die f\u00fcr die Schweiz sicherheitsrelevanten Informationen und die Betriebssicherheitspr\u00fcfungen f\u00fcr kritische IKT-Beschaffungen.
\nWie Sie wissen, haben wir am 13. M\u00e4rz 2018 im Nationalrat Nichteintreten beschlossen. Die Ablehnung bei uns ist aus zwei Gr\u00fcnden erfolgt: Erstens beinhaltet das Gesetz drei verschiedene Ambitionsniveaus, das haben wir schon geh\u00f6rt. Diese verursachen sehr unterschiedliche Kosten. Das Ambitionsniveau 1, die tiefste Sicherheitsstufe, verursacht Kosten von gesch\u00e4tzten 5 bis 12 Millionen Franken, und das im Moment sicherste Ambitionsniveau verursacht Kosten von 87 Millionen Franken. Da die Verwaltung ungen\u00fcgend erkl\u00e4ren konnte, wie genau sich diese Kosten bei den Ambitionsniveaus 2 und 3 zusammensetzen, und auch noch selber [PAGE 684] das Ambitionsniveau wechseln konnte, blieb uns nichts anderes \u00fcbrig, als nicht auf dieses Gesetz einzutreten. Zweitens war zu diesem Zeitpunkt unklar, welche Kosten f\u00fcr die Wirtschaft aufgrund der Betriebssicherheitspr\u00fcfungen entstehen werden.
\nWas sind jetzt nun die Gr\u00fcnde, warum genau wir dieses Gesetz heute gutheissen?
\nDie Notwendigkeit des Gesetzes und die Einf\u00fchrung eines Mindeststandards bei den Informationssystemen des Bundes sind aus unserer Sicht unbestritten. Die Sicherheit und die Resilienz werden erh\u00f6ht. Auch waren das Ambitionsniveau 1 und die damit verbundenen Kosten und Massnahmen aus unserer Sicht nicht bestritten. Aufgrund dieser Situation hat sich der Bundesrat dann bereit erkl\u00e4rt, bei einem Wechsel des Ambitionsniveaus die Sicherheitspolitische Kommission erneut zu konsultieren. Weiter haben wir in der Beratung eine detaillierte Pr\u00fcfung der konkreten Kosten anhand praktischer F\u00e4lle seitens der Firmen bei den Betriebssicherheitspr\u00fcfungen vorgenommen. Diese Kosten sind verh\u00e4ltnism\u00e4ssig tief und zumutbar.
\nAus den genannten Gr\u00fcnden empfehlen wir, die FDP-Liberale Fraktion, einstimmig, auf dieses Gesetz einzutreten.
\nIch komme jetzt zur Detailberatung und zu den verbleibenden sechs Differenzen und den Minderheiten.
\nBei Artikel 5 Litera c geht es um die Definition der kritischen Infrastrukturen. Die Formulierung des St\u00e4nderates entspricht der Formulierung der Strategie der kritischen Infrastrukturen des Bundes. In dieser Formulierung ist es keine abschliessende Liste, und sie st\u00fctzt sich auf eine bestehende Definition ab. Die Minderheit Sommaruga Carlo f\u00fchrt als Unterschied lediglich die Spitaleinrichtungen explizit zus\u00e4tzlich auf. Diese sind aber auch bei der Formulierung des St\u00e4nderates nicht ausgeschlossen. Bitte folgen Sie der Mehrheit und f\u00fchren Sie nicht neue Definitionen bei den kritischen Infrastrukturen ein, die sich inhaltlich nicht unterscheiden.
\nBei Artikel 6a will die Minderheit Gl\u00e4ttli die Beh\u00f6rden und Organisationen dazu verpflichten, ein System zum Informationssicherheitsmanagement, das auf international anerkannten Standards basiert, zu definieren und zu betreiben. Dem ist bereits so, deshalb hat die Redaktionskommission bewusst darauf verzichtet. Aus unserer Sicht ist dieser Artikel somit unn\u00f6tig. Deshalb beantragen wir Ihnen, der Mehrheit zuzustimmen.
\nDie Minderheitsantr\u00e4ge zu Artikel 20 Absatz 3 und zu Artikel 26 sind die gr\u00f6sste Differenz, die in diesem Gesetzentwurf noch besteht. Dabei geht es um die Verwendung der AHV-Versichertennummer als Personenidentifikator. Es liegen uns sozusagen drei verschiedene Konzepte vor: Die Mehrheit der Kommission steht hinter dem Entwurf des Bundesrates und will, dass f\u00fcr die Personenidentifikation einmalig die AHV-Versichertennummer verwendet werden kann und dass diese AHV-Versichertennummer nach der Erzeugung einer nicht zur\u00fcckrechenbaren Personennummer zu l\u00f6schen ist. Die Minderheit I (Flach) folgt dem St\u00e4nderat und will, dass die AHV-Versichertennummer als systematischer Personenidentifikator verwendet werden kann. Die Minderheit II (Keller-Inhelder) will, dass die AHV-Versichertennummer gar nicht verwendet werden kann.
\nAus unserer Sicht ist die Einschr\u00e4nkung oder das Verwendungsverbot der AHV-Versichertennummer unverh\u00e4ltnism\u00e4ssig und nicht zielf\u00fchrend. In Artikel 20 ist streng geregelt, wer genau Zugang zu diesem System erh\u00e4lt; die Verwendung ist somit gesetzlich eingeschr\u00e4nkt, und es ist ein geschlossenes System. Bei diesem Gesetz geht es um die Sicherheit unseres Landes sowie darum, wer Zugriff auf geheime und streng geheime Informationen erhalten soll. Durch dieses Gesetz wird es erm\u00f6glicht, biometrische Daten der Personen zu erfassen und zum Beispiel Steuerunterlagen der zu pr\u00fcfenden Personen einzusehen. Das war in der Beratung nie bestritten, es geht ja schliesslich auch um die Sicherheit unseres Landes. Jetzt wollen einzelne Kreise eine effiziente Identifikation erschweren. Das Verbot der Verwendung der AHV-Versichertennummer als Ausnahme in diesem Gesetz ist in diesem Zusammenhang nicht nachvollziehbar. Der einzige Grund w\u00e4re, wenn man die Verwendung der AHV-Versichertennummer generell verbieten und keine Ausnahmen zulassen wollte, die jetzt aber schon bestehen.
\nIch beantrage Ihnen im Namen der FDP-Liberalen Fraktion, im Grundsatz der Mehrheit der Kommission wie auch dem Minderheitsantrag I (Flach) zuzustimmen.
\nArtikel 77 Absatz 3 und Artikel 81 h\u00e4ngen zusammen. Die Kommissionsmehrheit will die M\u00f6glichkeit schaffen, bei der Zusammenarbeit im Inland bei bestimmten Vorf\u00e4llen Daten weiterzugeben. Es ist eine Kann-Formulierung. Die Minderheit will eine Meldepflicht bei bestimmten erheblichen Vorf\u00e4llen einf\u00fchren. Bloss, was sind \"bestimmte erhebliche Vorf\u00e4lle\"? Die Definition ist unklar. Sie ist eine Ermessenssache der Betreiber von kritischen Infrastrukturen und schlussendlich des Bundesrates, an den die Definition delegiert wird. Das schafft neue Unklarheiten. Aus diesem Grund bitte ich Sie, bei Artikel 77 Absatz 3 und Artikel 81 der Mehrheit zu folgen.
\nIch komme zum letzten Artikel, Artikel 86. Es geht um die Standardanforderungen und Massnahmen. Die Mehrheit will, dass diese einen empfehlenden Charakter haben, sofern sie von den verpflichteten Beh\u00f6rden f\u00fcr nicht verbindlich erkl\u00e4rt werden. Die Minderheit Gl\u00e4ttli will, dass sie immer verpflichtend sind, ausser sie werden von den verpflichteten Beh\u00f6rden als nicht verpflichtend deklariert. Der Antrag der Mehrheit entspricht der Regelung in anderen Bereichen und stellt die Unabh\u00e4ngigkeit der Beh\u00f6rden sicher. Ich bitte Sie, auch in diesem Fall der Mehrheit zu folgen.
\nIch fasse nochmals kurz zusammen: Die FDP-Liberale Fraktion empfiehlt Ihnen einstimmig, immer der Mehrheit zu folgen, ausser bei den Artikeln 20 und 26, wo es um die AHV-Versichertennummer geht. Dort unterst\u00fctzen Sie bitte die Minderheit I (Flach).
\nA l'article 86 alin\u00e9a 1, il est \u00e9crit: \"Le Conseil f\u00e9d\u00e9ral fixe des exigences standard en mati\u00e8re de s\u00e9curit\u00e9 et d\u00e9finit des mesures standard en mati\u00e8re d'organisation, de personnel et de construction, de m\u00eame que sur le plan technique, pour assurer la s\u00e9curit\u00e9 de l'information; il suit \u00e0 cet effet l'avancement des connaissances et de la technique.\" A l'alin\u00e9a 3, il est pr\u00e9cis\u00e9: \"Les exigences et mesures standard du Conseil f\u00e9d\u00e9ral ont valeur de recommandations, sauf si les autorit\u00e9s soumises \u00e0 la pr\u00e9sente loi les d\u00e9clarent obligatoires.\" L'obligation n'est donc pas la r\u00e8gle, mais l'exception.
\nLa minorit\u00e9 Gl\u00e4ttli propose de r\u00e9diger l'alin\u00e9a 3 ainsi: \"Les autorit\u00e9s soumises \u00e0 la pr\u00e9sente loi peuvent d\u00e9clarer non contraignantes les exigences standards; elles motivent concr\u00e8tement leur d\u00e9cision.\" L'obligation devient la r\u00e8gle et la \"non-obligation\" l'exception.
\nCette proposition a \u00e9t\u00e9 rejet\u00e9e par 15 voix contre 6 et 1 abstention.
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): Mme la conseill\u00e8re f\u00e9d\u00e9rale propose de biffer l'alin\u00e9a 3. [PAGE 689]
\nIn Artikel 5 Buchstabe c auf Seite 5 der Fahne geht es darum, welche kritischen Infrastrukturen von diesem Gesetz betroffen sind. Eine Minderheit Sommaruga Carlo, \u00fcbernommen von Priska Seiler Graf, will, dass auch Spitaleinrichtungen als kritische Infrastruktur aufgef\u00fchrt werden. Die Mehrheit ist der Meinung, dass diese Liste fast endlos w\u00fcrde, wenn wir alle kritischen Infrastrukturen, die in unserem Land existieren, auff\u00fchren w\u00fcrden. Dies kann in der Verordnung geregelt werden. Der St\u00e4nderat lehnt sich mit seiner Aufz\u00e4hlung an die nationale Cyberstrategie an. Diese Aufz\u00e4hlung unterst\u00fctzt auch die Mehrheit der Kommission. Diese Regelung betrifft auch die Aufz\u00e4hlung in Artikel 6 des Nachrichtendienstgesetzes und in Artikel 1 des Milit\u00e4rgesetzes.
\nA l'article[NB]20, qui est en lien avec l'article 26, nous sommes saisis de trois concepts. Le premier concept est celui de la majorit\u00e9 [PAGE 691] de la commission, qui propose d'accepter le projet du Conseil f\u00e9d\u00e9ral, \u00e0 savoir une utilisation temporaire du num\u00e9ro AVS dans le syst\u00e8me de gestion des donn\u00e9es d'identification des personnes pour g\u00e9n\u00e9rer un num\u00e9ro personnel d\u00e9riv\u00e9 du num\u00e9ro AVS selon un processus unidirectionnel et irr\u00e9versible. Le num\u00e9ro AVS est effac\u00e9 d\u00e8s la cr\u00e9ation du num\u00e9ro personnel d\u00e9riv\u00e9. Le deuxi\u00e8me concept est celui de la minorit\u00e9[NB]I (Flach), qui correspond \u00e0 la version du Conseil des Etats. Il pr\u00e9voit l'utilisation du num\u00e9ro AVS comme identificateur de personnes. Le troisi\u00e8me concept est celui de la minorit\u00e9 II (Keller-Inhelder), qui ne pr\u00e9voit aucune utilisation du num\u00e9ro AVS.
\nLors du premier vote en commission, le projet du Conseil f\u00e9d\u00e9ral a \u00e9t\u00e9 oppos\u00e9 \u00e0 la version du Conseil des Etats et a \u00e9t\u00e9 accept\u00e9 par 17 voix contre 6 et aucune abstention. Lors du second vote, qui a oppos\u00e9 le projet du Conseil f\u00e9d\u00e9ral \u00e0 la proposition d\u00e9fendue par Mme Keller-Inhelder, la version du Conseil f\u00e9d\u00e9ral a \u00e9t\u00e9 accept\u00e9e par 14 voix contre 8 et 1 abstention.
\nEigentlich h\u00e4tte ich einfach mein Votum vom 13. M\u00e4rz 2018 noch einmal hervorholen und Ihnen noch einmal genau dasselbe vortragen k\u00f6nnen, denn an der Haltung der gr\u00fcnliberalen Fraktion hat sich nichts ge\u00e4ndert. Die R\u00fcckweisung damals war nicht gerechtfertigt. Auch die Begr\u00fcndung, mit der diese R\u00fcckweisung gemacht wurde und mit der sie nun als berechtigt dargestellt wird, ist einfach nicht richtig.
\nWenn Sie in den Protokollen nachlesen, dann sehen Sie, dass die Informationen, die wir zus\u00e4tzlich noch einmal bekommen haben, eigentlich schon da waren. Wir haben die Gr\u00f6ssenordnung gekannt. Es war uns auch bekannt, dass es um ein Gesetz geht, das aus verschiedenen anderen Gesetzen zusammengegossen wird und das in Bereiche hineingeht, die kompliziert nachzuvollziehen sind. Vielleicht ist es aber auch richtig, dass wir bei diesem Gesetz, das ein Rahmengesetz ist und einen ganz, ganz sensiblen Bereich unserer heutigen Staatsf\u00fchrungs-, Verwaltungs-, Justiz- und Sicherheitsstruktur beinhaltet, sehr genau vorgehen und versuchen, zu verstehen, wie Informationssicherheit in Zukunft gew\u00e4hrleistet werden muss.
\nEs ist eine integrale Aufgabe, und es ist auch nicht so, dass man einfach ein Gesetz mit Bestandteilen aus formalen Vorg\u00e4ngen schreiben kann, die wie fr\u00fcher Aktenschr\u00e4nke, Aktenk\u00e4rtchen, Ordner oder vielleicht Unterlagen, die in einem Tresor gelagert werden, Personenkontrollen, die Pr\u00fcfung von Personen, die Zutritt zu irgendwelchen Archiven haben, oder \u00c4hnliches beinhalten. Das neu auf einer digitalen Ebene zu organisieren, ist nicht einfach, und es ist eben auch nicht abschliessend. Es ist nicht so, dass wir heute umschreiben k\u00f6nnen, wie die Informationssicherheit zu gew\u00e4hrleisten ist, wer wann wo Zugriff hat und wie wir diese Strukturen, vor allen Dingen die Infrastruktur, auszubilden haben.
\nWir bewegen uns in einer technologischen Entwicklung, die rasant voranschreitet. Mit dem Gesetz heute ist dies nicht fertig, sondern es wird weitere Schritte brauchen. Darum ist es wichtig, dass wir den Rahmen schaffen, damit sich der Bund und die ihm nahestehende Verwaltung in Sachen Sicherheitsinfrastruktur bis hin zur Infrastruktur der Hardware usw. auf einem gemeinsamen Level befinden, und dies kontrollierbar, der f\u00fcr uns nachvollziehbar sicher ist. Wir brauchen die Sicherheit in den Systemen, nicht im Ausdeutschen dessen, was es denn genau ist, sondern in der Kontrolle und [PAGE 685] dem Management dieser Informationssicherheit. Informationen sind heute nicht nur ein Nervenstrang unserer Gesellschaft, unseres Staates, der Staatssicherheit und unserer gesamten Wirtschaft, sondern sie sind das R\u00fcckgrat. Ohne die Informationstechnologie und die Sicherheit dieser Informationen sind wir schlicht und ergreifend verloren. Darum ist es wichtig.
\nEs ist denn auch eine Gratwanderung. Es gibt einerseits Anspr\u00fcche auf Sicherheit, die dann auch teuer und einschr\u00e4nkend ist, bis in die Privatwirtschaft hinein. Wenn die Privatwirtschaft im Rahmen von Auftr\u00e4gen des Staates t\u00e4tig wird, muss sie selbstverst\u00e4ndlich dieselben Standards erf\u00fcllen, wie wenn der Staat selber diese T\u00e4tigkeit aus\u00fcben w\u00fcrde, ja vielleicht sogar noch ein bisschen mehr, weil man halt eben im privaten Bereich ist und nicht \u00fcberall ein staatliches Aufsichtsorgan mit dabei ist oder dahintersteht. Es ist deshalb wichtig, dass man diese Gratwanderung definiert und sagt, wo sie wie aussehen soll. Darum sind auch die Ambitionen, die dieses Gesetz vorgibt, richtig. Es ist sinnvoll, dass man die entsprechenden Ebenen vorgibt, aber noch nicht endg\u00fcltig definiert.
\nDer Geheimhaltung von Informationen steht auf der anderen Seite die \u00d6ffentlichkeit gegen\u00fcber, die einen Anspruch darauf hat, Informationen zu erhalten. Das ist dann das andere. Das ist schwierig zusammenzubringen, aber in diesem Gesetz hat man dies nun einigermassen versucht. Es ist jetzt seit mittlerweile zehn Jahren unterwegs, und wie gesagt, es ist vielleicht nicht der Weisheit letzter Schluss. Es ist tats\u00e4chlich sehr schwierig zu lesen. Einer meiner Vorredner hat gesagt, es sei sehr schwierig, sich in diesem Gesetz zurechtzufinden. Das ist tats\u00e4chlich so. Sie brauchen dazu noch etwa drei oder vier weitere Gesetze, damit Sie \u00fcberhaupt wissen, worauf sich die Referenzen beziehen. Aber es ist wichtig und richtig, dass wir jetzt eintreten. Ich bitte Sie, dies zu tun. Ich werde mich dann zu den Antr\u00e4gen der Minderheiten noch \u00e4ussern und hoffe, dass wir hier und jetzt auf dem richtigen Wege sind.
\nSie haben es geh\u00f6rt: Die Minderheit Gl\u00e4ttli will ein Informationssicherheitsmanagement einf\u00fchren, das auf internationalen Standards basiert. Die Mehrheit ist der Meinung, dass das Anliegen der Minderheit Gl\u00e4ttli mit Artikel 7 Absatz 1 erf\u00fcllt ist. Dort wird erw\u00e4hnt, dass die Informationssicherheit nach dem Stand von Wissenschaft und Technik organisiert, umgesetzt und \u00fcberpr\u00fcft wird. Mit 16 zu 6 Stimmen wurde der Antrag Gl\u00e4ttli abgelehnt.
\nCette minorit\u00e9 traite de la question de la transmission d'informations par les exploitants d'infrastructures critiques aux instances f\u00e9d\u00e9rales charg\u00e9es de les appuyer et de les conseiller, soit un service national d'alerte et un service d'assistance.
\nDans le texte du Conseil f\u00e9d\u00e9ral, il est pr\u00e9vu que les exploitants d'infrastructures critiques, de m\u00eame que les fournisseurs et les exploitants de services informatiques et de communication, peuvent communiquer des donn\u00e9es li\u00e9es \u00e0 des incidents. La minorit\u00e9 Seiler Graf propose une communication d'office pour des donn\u00e9es li\u00e9es \u00e0 des[NB]incidents[NB]consid\u00e9rables; cette minorit\u00e9 est accompagn\u00e9e d'un ajout \u00e0 l'article 81 lettre e qui donne mandat au Conseil f\u00e9d\u00e9ral d'\u00e9dicter les modalit\u00e9s de cette communication d'informations.
\nEn commission, la proposition d\u00e9fendue par la minorit\u00e9 Seiler Graf a \u00e9t\u00e9 rejet\u00e9e, \u00e0 l'article 77 alin\u00e9a 3 par 16 voix contre 6, et \u00e0 l'article 81 lettre e par 15 voix contre 6.
\nArtikel 77 Absatz 3 sieht vor, dass die Betreiberinnen von kritischen Infrastrukturen sowie die Anbieterinnen und Betreiberinnen von Informatik- und Kommunikationsdiensten auf freiwilliger Basis mit dem neuen Nationalen Zentrum f\u00fcr Cybersicherheit Informationen und Daten \u00fcber Bedrohungen und Vorf\u00e4lle austauschen k\u00f6nnen. Mit dem Minderheitsantrag zu den Artikeln 77 und 81 soll nun eine Meldepflicht bei erheblichen Cybervorf\u00e4llen eingef\u00fchrt werden. Ein \u00e4hnlicher Antrag wurde bereits im Rahmen der Beratung des Bev\u00f6lkerungs- und Zivilschutzgesetzes gestellt und in dieser Kammer abgelehnt.
\nDer Bundesrat pr\u00fcft zurzeit im Rahmen der Umsetzung der Nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken, ob er eine solche Meldepflicht einf\u00fchren will. Der Regelungsbedarf f\u00fcr die Umsetzung der neuen Strategie soll gesamtheitlich beurteilt und dann dem Parlament unterbreitet werden. Wenn man so etwas einf\u00fchren will, m\u00fcsste man sich dann auch noch n\u00e4her dar\u00fcber unterhalten, was ein \"erheblicher Cybervorfall\" ist. Auch das ist ein sehr unbestimmter Begriff, und es w\u00e4re schwierig, jetzt hier so etwas einzuf\u00fchren, zumal die Umsetzung unklar w\u00e4re.
\nIch bitte Sie deshalb, den Minderheitsantrag zu den Artikeln 77 und 81 abzulehnen, damit man das eben im Rahmen der Cyberstrategie genau anschauen und \u00fcberlegen kann, wie so etwas, wenn man es denn will, formuliert werden muss, damit es auch umsetzbar ist.
\nArt.[NB]8-19[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt.[NB]20 [GZ]
\nAntrag der Mehrheit [GZ]
\nAbs. 1, 2 [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nAbs. 3 [GZ]
\nStreichen
\n[VS]
\nAntrag der Minderheit I [GZ]
\n(Flach, Cattaneo, Dobler, Glanzmann, Gm\u00fcr Alois, Quadranti)[GZ]
\nAbs. 3 [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit II [GZ]
\n(Keller-Inhelder, Addor, Amstutz, Clottu, Golay, Umbricht Pieren, von Siebenthal, Zuberb\u00fchler)[GZ]
\nAbs. 3 [GZ]
\nStreichen
\n[VS]
\nArt.[NB]20 [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nAl. 1, 2 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\nAl. 3 [GZ]
\nBiffer
\n[VS]
\nProposition de la minorit\u00e9 I [GZ]
\n(Flach, Cattaneo, Dobler, Glanzmann, Gm\u00fcr Alois, Quadranti)[GZ]
\nAl. 3 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 II [GZ]
\n(Keller-Inhelder, Addor, Amstutz, Clottu, Golay, Umbricht Pieren, von Siebenthal, Zuberb\u00fchler)[GZ]
\nAl. 3 [GZ]
\nBiffer
\nBei diesem Artikel unterst\u00fctzt die Mitte-Fraktion CVP-EVP-BDP den Minderheitsantrag Flach und h\u00e4lt damit an der Version des St\u00e4nderates fest.
\nDer St\u00e4nderat hat hier festgehalten, dass die AHV-Versichertennummer als Personenidentifikator verwendet wird. Uns scheint dies richtig und sinnvoll zu sein. Die Verwendung der AHV-Versichertennummer in diesem Sinn ist aus unserer Sicht effizient und die Vereinheitlichung des Gebrauchs, wie dies der St\u00e4nderat mit der Aufnahme dieses Artikels vorsieht, angemessen. Wenn wir im Zusammenhang mit der Verwendung der AHV-Versichertennummer Angst haben, dass ein Datenschutzproblem vorliegt, dann sollten wir uns wohl alle in unserem pers\u00f6nlichen Umfeld und in einem riesig grossen Umfeld mit ganz vielen Daten auseinandersetzen, die wir heute auch so weitergeben. Die AHV-Versichertennummer ist ein klarer Identifikator und kann so gebraucht werden. Sie kann f\u00fcr alle sicher gehandhabt werden.
\nWie wir in der Kommission geh\u00f6rt haben, wird die AHV-Versichertennummer schon heute im Milit\u00e4rbereich zur Identifikation verwendet. Wir unterst\u00fctzen dies, wir unterst\u00fctzen auch, dass dies mit diesem Gesetz auch der Fall sein kann.
\nIch bitte Sie, die Minderheit I (Flach) und damit den St\u00e4nderat zu unterst\u00fctzen. Die Minderheit II (Keller-Inhelder) lehnen wir ab.
\nIn Artikel 20 Absatz 3 des Informationssicherheitsgesetzes, das wird Sie jetzt \u00fcberraschen, reden wir pl\u00f6tzlich \u00fcber die AHV-Nummer. In diesem Gesetz kommt wirklich einiges vor. Es ist wirklich ein Rahmengesetz und eine Umschreibung dessen, was der Bund, die Kantone und die Beh\u00f6rden tun k\u00f6nnen m\u00fcssen, um die Sicherheit der Informationen zu gew\u00e4hrleisten. Einer der Punkte, die hier vorkommen, ist, wie man eine Person genau identifiziert, also wie man feststellt, dass Beat Flach auch wirklich der Beat Flach ist und nicht einer, der vielleicht \u00e4hnlich oder gleich heisst oder nur vorgibt, dieser zu sein.
\nDas sicherste Mittel, das wir bei uns kennen, ist die Personenidentifikationsnummer der AHV. Die Nummer ist ganz genau auf die einzelne Person zugeschnitten. Die Mehrheit will hier, dass sie nicht verwendet wird, um Personen zu identifizieren, obwohl die Identifikation einer Person via AHV-Nummer gem\u00e4ss meiner Minderheit I nur so l\u00e4uft: Die Person wird identifiziert, und nachher wird die AHV-Nummer vernichtet, gel\u00f6scht, weggetan, das heisst, sie kann nicht weiterverwendet werden.
\nWie ist das \u00fcberhaupt in dieses Gesetz hineingekommen? Es ist so entstanden: Als man das Gesetz beraten hat, meldeten sich die kantonalen Datenschutzbeauftragten und haben ganz generell moniert, dass die Verwendung der AHV-Nummer als Identifikationsmittel f\u00fcr Personen mittlerweile sehr verbreitet sei und man da ein bisschen aufpassen sollte. Nat\u00fcrlich ist das tats\u00e4chlich so. Die AHV-Nummer ist als universelles Mittel auch einfach universell verwendbar, um Personen genau zu identifizieren, Verwechslungen zu vermeiden und festzustellen, wer jemand ist.
\nAber es geht dabei nicht um die Verwendung der AHV-Nummer selbst. Die Nummer selbst gibt auch nichts mehr preis; wir haben heute keine AHV-Nummer mehr, die einen R\u00fcckschluss auf den Geburtsort, den Namen, das Alter usw. zul\u00e4sst. Es ist eine anonymisierte Nummer. Wie gesagt: Die Nummer wird nur zur Identifikation verwendet, dann wird sie wieder gel\u00f6scht und nicht weiterverbreitet oder gebraucht. Wir schaffen damit keine L\u00fccken im Sicherheitssystem. Wir schaffen auch datenschutzrechtlich kein Problem, das ist mittlerweile ganz klar.
\nIch bitte Sie, hier der Minderheit I zu folgen.
\nIch spreche zu den Artikeln 20 und[NB]26. Grunds\u00e4tzlich geht es bei beiden Artikeln um die Regelung der Frage, wie sich Personen authentifizieren k\u00f6nnen, die berechtigt sind, sich in ein System des Bundes einzuloggen. Es geht also darum, ein System zu definieren, das eine eindeutige Identifikation der zugangsberechtigten Person erlaubt. Rein technisch gibt es mehrere M\u00f6glichkeiten, die Identit\u00e4t einer Person festzustellen. Die bei Weitem einfachste und - es ist so! - effizienteste L\u00f6sung ist hier wohl die Verwendung der AHV-Nummer. Sie erm\u00f6glicht auch eine effiziente Zusammenarbeit mit den Kantonen. Die AHV-Nummer ist aber entsprechend zu sch\u00fctzen. Sowohl in der Bundesverwaltung wie in der Armee bestehen hierzu Standards.
\nUmstritten ist namentlich die Anschlussfrage, ob die AHV-Nummer systematisch verwendet werden muss oder bei Bedarf verwendet werden kann. Der St\u00e4nderat hat bei Artikel 20 einen zus\u00e4tzlichen Absatz 3 eingef\u00fcgt, der erm\u00f6glicht, die AHV-Nummer als Personenidentifikator zu verwenden. Inhaltlich verlangen Bundesrat und St\u00e4nderat zwar dasselbe. [PAGE 690] Indem der St\u00e4nderat aber parallel die Streichung der Kann-Bestimmung in Artikel 26 fordert, bedeutet dies doch, dass die AHV-Nummer in der Fassung des St\u00e4nderates systematisch verwendet werden muss. Das lehnt die SP-Fraktion zusammen mit der Mehrheit der Kommission und dem Bundesrat ab.
\nDie SP-Fraktion findet es richtig, dass Artikel 26 eben nicht gestrichen wird. Die Verwendung der AHV-Nummer soll nicht \u00fcber Artikel 20 geregelt werden. Das System gem\u00e4ss Artikel 26 ist n\u00e4mlich absolut geschlossen. Die AHV-Nummer darf nur an Systeme weitergeleitet werden, die \u00fcber eine Rechtsgrundlage f\u00fcr die Bearbeitung der AHV-Nummern verf\u00fcgen. Lassen wir Artikel 26 stehen, so ist die Verwendung der AHV-Nummern also rechtlich eingeschr\u00e4nkt. Wir sind der Ansicht, dass die vom Bundesrat in Artikel 26 verwendete Kann-Formulierung bei der Verwendung der AHV-Nummer als Personenidentifikator am vern\u00fcnftigsten ist. Weder soll sie systematisch verwendet werden m\u00fcssen, noch soll die Verwendung grunds\u00e4tzlich ausgeschlossen werden.
\nDie Minderheit I (Flach) und die Minderheit II (Keller-Inhelder) zu den Artikeln 20 und 26 lehnen wir ab.
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): La proposition de la minorit\u00e9 II (Keller-Inhelder) ne sera pas pr\u00e9sent\u00e9e.
\nIn Artikel 20 Absatz 3 und in Artikel 26 geht es um die Verwendung der AHV-Nummer als Personenidentifikator. Der St\u00e4nderat hat eine systematische Verwendung der AHV-Nummer beschlossen. Der Bundesrat will biometrische Verifikationsmethoden verwenden und die AHV-Nummer allenfalls vor\u00fcbergehend zulassen.
\nEs gibt in dieser Angelegenheit zwei Minderheitsantr\u00e4ge. Die Minderheit I (Flach) will die AHV-Nummer systematisch verwenden, wie das der St\u00e4nderat will. Sie ist der Ansicht, dass das eine effiziente und g\u00fcnstige L\u00f6sung sei. Die Minderheit II (Keller-Inhelder) will die Verwendung der AHV-Nummer grunds\u00e4tzlich nicht erm\u00f6glichen.
\nMit 14 zu 8 Stimmen bei 1 Enthaltung wurde der Beschluss des St\u00e4nderates, der jetzige Antrag der Minderheit I, abgelehnt. Mit dem gleichen Stimmenverh\u00e4ltnis wurde auch der Antrag, der jetzt als Antrag der Minderheit II vorliegt, abgelehnt. Die Mehrheit der Kommission will damit die Wichtigkeit des Pers\u00f6nlichkeitsschutzes in den Vordergrund stellen und m\u00f6glichen Missbrauchsgefahren, namentlich bei einer allf\u00e4lligen Verkn\u00fcpfung von Datenbanken, vorbeugen. Die Mehrheit ist deshalb f\u00fcr die L\u00f6sung des Bundesrates.
\nIch erlaube mir, f\u00fcr die SVP-Fraktion zu den ersten beiden Minderheiten zu sprechen, weil es ja hier um die allgemeinen Bestimmungen und die allgemeinen Massnahmen geht.
\nMeine Vorrednerin hat es gesagt: Sie m\u00f6chte hier gerne die Spitaleinrichtungen als kritische Infrastrukturen aufnehmen. Ich glaube, das ist nicht sinnvoll. Auch wir finden, dass das tats\u00e4chlich kritische Infrastrukturen sind. Aber wenn Sie beginnen, hier eine Aufz\u00e4hlung zu machen, und eine bestimmte Gruppe explizit erw\u00e4hnen, machen Sie auch automatisch eine Priorisierung, und dann kann es durchaus sein, dass andere Dinge, die auch wichtig sind, vergessen gehen. Deshalb enth\u00e4lt der Entwurf des Bundesrates die absolut richtige Priorisierung: Er nennt n\u00e4mlich die Infrastrukturen, die f\u00fcr das Funktionieren von Gesellschaft, Wirtschaft und Staat unerl\u00e4sslich sind. Da sind auch die Spit\u00e4ler mit eingeschlossen, und deshalb braucht es hier keine explizite Erw\u00e4hnung. Deshalb werden wir diese Minderheit ablehnen.
\nIch nutze die Zeit auch gerade f\u00fcr die zweite Minderheit, dann muss ich das n\u00e4chste Mal nicht mehr sprechen. Die Minderheit Gl\u00e4ttli m\u00f6chte die internationalen Standards anwenden. Auch diese Erw\u00e4hnung ist nicht notwendig: Das hat der Bundesrat in seiner Vorlage bereits vorgesehen, n\u00e4mlich im folgenden Artikel 7. Dort wird gesagt, dass die Informationssicherheit auf dem neusten technologischen Wissen und den neusten Erkenntnissen der Wissenschaft beruht. Damit ist eigentlich klar, dass auch die internationalen Standards umgesetzt werden. Die SVP-Fraktion wird auch diese Minderheit ablehnen.
\nLassen Sie mich hier zum Schluss noch einen Hinweis machen, weil es vielleicht noch ein paar Stimmen der SVP-Fraktion geben wird, die f\u00fcr das Gesetz sind. Bei Artikel 7 hat es einen neuen Absatz 3 gegeben. Sie haben jetzt von allen Vorrednern von diesen Ambitionsniveaus geh\u00f6rt, und es wurden auch Ausf\u00fchrungen zu den Kosten und den ben\u00f6tigten Stellen f\u00fcr die Umsetzung dieses Gesetzes gemacht. Dieser Absatz 3 verlangt vom Bundesrat - ich hoffe, dass Bundesr\u00e4tin Amherd trotz allem auch noch dazu reden wird -, dass die Sicherheitspolitischen Kommissionen informiert und in die Diskussion mit einbezogen werden, wenn das Ambitionsniveau erh\u00f6ht werden m\u00fcsste oder dies verlangt w\u00fcrde. Damit kann verhindert werden, dass dieses Gesetz ausufert und schlussendlich sehr, sehr teuer wird. Das ist ein wesentliches Element, das neu in diese Vorlage eingebracht worden ist.
\nWenn Sie, Frau Seiler Graf, als Vertreterin der linken Seite uns sagen, es sei Arbeitsverweigerung gewesen, muss ich sagen: Genau aufgrund dieser \"Arbeitsverweigerung\" wurden diese Niveaus aufgezeigt, und genau deshalb konnte man eben hier eine Entsch\u00e4rfung, eine Verbesserung erreichen! Es war also \u00fcberhaupt keine Arbeitsverweigerung. Man k\u00f6nnte sich sowieso fragen, ob ein Gesetz, das \u00fcber Jahre vorbereitet werden muss, \u00fcberhaupt besser werden kann.
\nZusammenfassend bitte ich Sie also, die beiden ersten Minderheiten abzulehnen.
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): Le vote vaut \u00e9galement pour l'article 26.
\nIn der Botschaft zum Informationssicherheitsgesetz wurde immer wieder erw\u00e4hnt und bekr\u00e4ftigt: Man will das Rad nicht neu erfinden, sondern internationale Standards anwenden. Zu den wohl bekanntesten Standards in diesem Bereich geh\u00f6rt die Norm ISO/IEC 27001, und die verlangt eben gerade die Umsetzung eines Informationssicherheits-Managementsystems.
\nIn der Kommission wurde in der Diskussion meines Antrages erw\u00e4hnt, in Artikel 7 Absatz 1 sei eigentlich auch irgendwie mitgemeint, man solle ein solches Informationssicherheits-Managementsystem umsetzen. Die Begr\u00fcndung, weshalb man das nicht geschrieben hat, war, dass die Redaktionskommission dieses Wort etwas kompliziert findet. Jetzt muss ich Ihnen sagen: Ich habe mit verschiedensten Experten aus dem Bereich gesprochen, ich bin ja selbst keiner, zum Beispiel mit Experten verschiedener Computer Emergency Response Teams. Niemand hat das in diesen Text hineingelesen! Es gilt eben auch in jeder Fachsprache: Ein Apfel ist ein Apfel. Wenn man einfach sagt: \"Gib mir eine runde Frucht, die mal rot, mal gr\u00fcn und mal gelb ist\", dann versteht man das nicht. Wenn man aber einen Apfel einen Apfel nennt, dann versteht man es. Ich finde, dass wir als Gesetzgeber es uns doch schuldig sind, wenn wir meinen, es brauche ein Informationssicherheits-Managementsystem, [PAGE 688] auch zu schreiben, dass es ein Informationssicherheits-Managementsystem braucht. Es ist nicht das komplizierteste Wort.
\nZum Ort, wo das festgelegt werden soll: Die Auskunft der Verwaltung war, man habe das in Artikel 7 aufgenommen. Dort geht es aber um die F\u00fchrung und die F\u00fchrungsverantwortung. Innerhalb eines Informationssicherheits-Managementsystems sind die F\u00fchrung einerseits und das Risikomanagement andererseits zwei systematisch klar getrennte Bereiche. F\u00fcr Leute, die sich mit diesen Systemen auskennen, leuchtet das eine gr\u00fcn und das andere rot, weil es unterschiedliche Rollen sind. Deshalb ist es falsch, wenn man das nur in Artikel 7 erw\u00e4hnt. Man muss die Verpflichtung zum Betrieb eines solchen Informationssicherheits-Managementsystems als grunds\u00e4tzlichen Auftrag in Artikel 6a schreiben.
\nSie k\u00f6nnten jetzt sagen, das sei \"l'art pour l'art\". Es ist insofern \"l'art pour l'art\", als ich in den Debatten in der Kommission zum Schluss gelangt bin, dass die Bundesverwaltung effektiv das meint, was ich beantrage. Das Problem ist einfach, dass ich finde, dass Gesetze so formuliert sein sollten, dass das geschrieben steht, was man meint.
\nIn diesem Sinne empfehle ich Ihnen, immer noch \u00fcberzeugt, bei Artikel 6a dem Antrag meiner Minderheit zuzustimmen.
\nIch spreche zu meinem Minderheitsantrag zu Artikel 77 und auch gleich zu meinem Minderheitsantrag zu Artikel 81, da die beiden Antr\u00e4ge inhaltlich zusammengeh\u00f6ren und auch voneinander abh\u00e4ngig sind.
\nDer SP-Fraktion war es immer wieder ein wichtiges Anliegen, dass die Meldepflicht f\u00fcr kritische Infrastrukturen endlich einmal gesetzlich verankert wird. Wir haben schon versucht, sie ins Bev\u00f6lkerungs- und Zivilschutzgesetz aufzunehmen. Da wurde wahrscheinlich zu Recht moniert, dass das nicht der richtige Ort sei. Ich bin nun aber klar der Ansicht, dass eine Meldepflicht f\u00fcr kritische Infrastrukturen sicher in ein zweckm\u00e4ssiges Informationssicherheitsgesetz geh\u00f6rt. In Artikel 77 Absatz 3 ist ja bereits ein Melderecht aufgef\u00fchrt, das aber unserer Meinung nach zu defensiv ist und das Sicherheitsniveau darum nicht wirklich erh\u00f6ht.
\nFrau Bundesr\u00e4tin Amherd erw\u00e4hnte in der Kommission, dass im Rahmen der Umsetzung der Nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken gepr\u00fcft wird, ob eine Meldepflicht f\u00fcr Betreiber von kritischen Infrastrukturen eingef\u00fchrt werden soll. Das eine schliesst aber das andere unserer Meinung nach nicht aus. Eine Meldepflicht muss jetzt endlich einmal gesetzlich festgelegt werden, und ich denke, in diesem Gesetz w\u00e4re der richtige Ort, hier sollte es erw\u00e4hnt sein.
\nIch bitte Sie darum, unserem Minderheitsantrag zuzustimmen.
\nIn Artikel 77 Absatz 3 und Artikel 81 Buchstabe e m\u00f6chte die Minderheit Seiler Graf eine Meldepflicht f\u00fcr Betreiberinnen von kritischen Infrastrukturen sowie f\u00fcr Anbieterinnen und Betreiberinnen von Informatik- und Kommunikationsdiensten einf\u00fchren. Die Mehrheit der Kommission l\u00e4sst hier eine Abw\u00e4gung mit entsprechender Freiwilligkeit der Meldung zu.
\nMit 16 zu 6 Stimmen bei Artikel 77 Absatz 3 und mit 15 zu 6 Stimmen bei Artikel 81 Buchstabe e wurden die entsprechenden Antr\u00e4ge Seiler Graf in der Kommission abgelehnt.
\nBei Artikel 5 Buchstabe c beantragt die SP-Fraktion, dass grundlegende Spitaleinrichtungen unbedingt als Teil der kritischen Infrastrukturen betrachtet werden m\u00fcssen und darum in dieser Aufz\u00e4hlung auch explizit erw\u00e4hnt werden sollen. Das h\u00e4tte dann auch Konsequenzen f\u00fcr Artikel 6 des Nachrichtendienstgesetzes und [PAGE 686] Artikel 1 des Milit\u00e4rgesetzes. Dort werde ich nicht mehr dazu sprechen.
\nWie vom Bundesrat und nachher auch noch vom St\u00e4nderat weiter ausgef\u00fchrt, enth\u00e4lt der Artikel in der ge\u00e4nderten Fassung eine konkrete Auflistung mit einem allgemeinen Aspekt. Diese Auflistung im ersten Teil befasst sich mit den Themen Trinkwasser, Energie, Information, Kommunikation und Verkehrsinfrastruktur. In einem zweiten Teil des Artikels ist von zus\u00e4tzlichen anderen Einrichtungen die Rede. Wir schlagen deshalb vor, dass wir hier auch die grundlegende Gesundheitsinfrastruktur, n\u00e4mlich die Krankenh\u00e4user, erw\u00e4hnen sollten. Wir haben w\u00e4hrend des Angriffs durch das \"Wanna Cry\"-Virus gesehen, dass auch Krankenh\u00e4user gerne angegriffen werden. Das ist gef\u00e4hrlich, da durch die m\u00f6gliche Blockierung von medizinischen Ger\u00e4ten Leben gef\u00e4hrdet sein k\u00f6nnten. Eine sehr schnelle Reaktion ist also erforderlich. Ich denke, es w\u00e4re angebracht, dem Verkehr, der Kommunikation und dem Trinkwasser auch die grundlegende Krankenhausausstattung hinzuzuf\u00fcgen.
\nDie Liste kann wahrscheinlich niemals wirklich abschliessend gef\u00fchrt werden, aber Spit\u00e4ler als grundlegende Gesundheitsinfrastruktur m\u00fcssen hier eindeutig speziell erw\u00e4hnt werden. Nach der Corona-Krise erh\u00e4lt dieser Punkt eine noch gr\u00f6ssere Dringlichkeit und ist noch offensichtlicher.
\nIch bitte Sie darum, diesem Minderheitsantrag zuzustimmen.
\nKollege Flach, Sie haben jetzt gesagt, man m\u00fcsse dann, wenn man sich mit Begr\u00fcndung nicht an diese Minimalstandards halten wolle, eine Bewilligung abwarten. K\u00f6nnen Sie best\u00e4tigen, dass das nicht Gegenstand meines Minderheitsantrages ist, mit dem der verpflichteten Beh\u00f6rde bloss eine Begr\u00fcndungspflicht auferlegt werden soll, aber keine Pflicht, eine Bewilligung einzuholen?
\nWie es die Pr\u00e4sidentin ausgef\u00fchrt hat, begr\u00fcnden wir hier den Minderheitsantrag nicht direkt. Ich \u00fcbernehme das gerade als Vertreter der Fraktion.
\nWie Sie alle wissen, kommen wir hier zu einem heiklen Punkt, n\u00e4mlich zur Verwendung der AHV-Nummer. Sie kennen auch die Diskussionen, die wir immer wieder haben, auch im Zusammenhang mit Datenschutzbeauftragten. \u00dcbrigens sind auch der Hauseigent\u00fcmerverband und der Gewerbeverband sehr kritisch. Deshalb ist das eigentlich eines der Kernelemente dieser Gesetzesvorlage. Wichtig sind also nicht nur der Nutzen und die Kosten, sondern auch die Frage, wie man auf diese Daten zugreifen kann. Hier geht es um Artikel 20, aber auch um Artikel 26.
\nHinter den Minderheiten stehen eigentlich drei Konzepte. Jene Minderheit, die ich Sie zu unterst\u00fctzen bitte und die die SVP unterst\u00fctzen wird, ist die Minderheit II (Keller-Inhelder). Sie will eine komplette Streichung, das heisst keine Verwendung. Weiter gibt es die Variante des Bundesrates, die mit den Worten \"kann\" und \"vor\u00fcbergehend\" formuliert ist. Dann gibt es die noch etwas st\u00e4rkere Verwendung des St\u00e4nderates. Ich bitte Sie wirklich, unsere Minderheit zu unterst\u00fctzen. Wenn Sie dann halt zwischen der Variante des St\u00e4nderates und jener des Bundesrates w\u00e4hlen m\u00fcssen, bitte ich Sie, auf die Variante des Bundesrates einzuschwenken.
\nHier eine kleine Anmerkung, und das vielleicht auch an die Adresse des Bundesrates: Bei diesem Gesetz wollte der Bundesrat urspr\u00fcnglich keine Verwendung der AHV-Nummer vorsehen, weil er genau wusste, dass es ein sehr kritisches Thema betrifft. Jetzt ist er aber eingeschwenkt und will die Verwendung trotzdem. Ich finde, das ist ziemlich brisant, aber man sieht hier, wie schwierig und heikel dieses Thema ist.
\nDeshalb bitte ich Sie, unbedingt die Minderheit II (Keller-Inhelder) zu unterst\u00fctzen, die die Verwendung der AHV-Nummer nicht will.
\nVorab: Ich geh\u00f6re nicht zu jenen, die aus der AHV-Nummer einen heiligen Gral machen. Manchmal hat man ein wenig das Gef\u00fchl, der Schutz der AHV-Nummer k\u00e4me gewissermassen dem Schutz der Seele des Schweizers gleich und alles andere sei dann unproblematisch. Nur um ein Beispiel zu nennen: In diesem Gesetz wird auch die Personensicherheitspr\u00fcfung geregelt. Da werden Informationen von Leuten gespeichert, die sehr, sehr tief in die Pers\u00f6nlichkeitssph\u00e4re, in die Intimsph\u00e4re hineingehen, weil man eben schauen muss, ob jemand eine Flanke aufweist, die allenfalls missbraucht werden kann. Wenn man von Risiken spricht, sind diese also an einem anderen Ort zu suchen.
\nDennoch empfehlen wir Gr\u00fcnen Ihnen, mit der Mehrheit zu gehen, dies aus dem folgenden Grund: Wir sollten die AHV-Nummer nur dort verwenden, wo sie wirklich n\u00f6tig ist, dort, wo es darum geht, aus unterschiedlichen Systemen Daten miteinander abzugleichen - und zwar je Daten, die gem\u00e4ss diesen Systemen gespeichert werden d\u00fcrfen - und sicherzustellen, dass man von derselben nat\u00fcrlichen Person spricht. Auf der anderen Seite aber sollte man es so machen, wie es grundlegend Standard ist: Man soll nicht die AHV-Nummer selbst speichern, sondern einen von ihr unumkehrbar abgeleiteten Code. Das heisst, es gibt eine mathematische Operation, die aus der AHV-Nummer etwas anderes macht, was zwingend einmalig ist und von dem man zwingend nicht mehr auf die AHV-Nummer zur\u00fcckschliessen kann. Das ist meines Erachtens die richtige technische Antwort auf das Problem.
\nDer St\u00e4nderat ist auch etwas weltfremd, indem er die AHV-Nummer quasi im Plaintext als das Hauptidentifikationsmerkmal schafft. Ich w\u00fcrde mich dann schon lieber mit einem Login einloggen, statt mich jeweils mit meiner AHV-Nummer einloggen zu m\u00fcssen. Das ist etwas weltfremd.
\nZur Minderheit II: F\u00fcr uns ist es klar - wenn die Mehrheit nicht durchkommt, werden wir trotz allem, obwohl es technische Erschwerungen gibt, eher mit der Minderheit II (Keller-Inhelder) gehen als mit der Minderheit I (Flach).
\nBei Artikel 86 Absatz 3 sieht der Bundesrat die Standardanforderungen und Standardmassnahmen in erster Linie als Empfehlung an, die aber von den verpflichteten Beh\u00f6rden f\u00fcr nicht verbindlich erkl\u00e4rt werden k\u00f6nnen. Die Minderheit Gl\u00e4ttli will, dass diese Anforderungen und Massnahmen grunds\u00e4tzlich verbindlich sein sollen und nur mit einer konkreten Begr\u00fcndung als nicht verpflichtend erkl\u00e4rt werden k\u00f6nnen.
\nMit 15 zu 6 Stimmen bei 1 Enthaltung hat die Kommission der Fassung des bundesr\u00e4tlichen Entwurfes zugestimmt.
\nIch komme zum Schluss: In der Gesamtabstimmung wurde mit 16 zu 1 Stimmen bei 5 Enthaltungen dem Informationssicherheitsgesetz zugestimmt. Die Kommission will die Umsetzung des Gesetzes und namentlich die Entwicklung der Kosten weiterhin aufmerksam verfolgen und sich zu den Verordnungsanpassungen, die sich in der Folge der jetzt behandelten Gesetzesvorlage ergeben, konsultieren lassen.
\nIm Namen der Kommissionsmehrheit bitte ich Sie, dem Gesetz zuzustimmen.
\nEs ist wirklich nicht zentral - das ist das Wichtigste, das man auch zuhanden des Amtlichen [PAGE 687] Bulletins festhalten muss: Es ist nicht zentral, wie Sie hier entscheiden. Was zentral ist, und das war das, was f\u00fcr uns auch etwas schwierig war, ist, dass man in der ganzen Verwendung des Begriffs der kritischen Infrastruktur \u00fcber die Bundesverwaltung und \u00fcber die verschiedenen Gesetze hinweg ein wenig eine einheitliche Formulierung findet.
\nDas schaffen, mit Verlaub gesagt, weder die erste noch die zweite, noch die dritte M\u00f6glichkeit, die heute zur Debatte stehen. Der Bundesrat selbst schafft es nicht. Die Variante des St\u00e4nderates lehnt sich zwar an die Formulierung der Nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken an, aber ich finde, dass dort zum Beispiel die wesentlichen staatlichen Organe nicht als kritische Infrastruktur festgehalten sind. Es ist eigentlich eine schlechte Definition. Deshalb ist es eher Ihrem politischen Ermessen \u00fcberlassen, ob Sie die Spit\u00e4ler jetzt noch hineinnehmen wollen oder nicht.
\nWir empfehlen Ihnen, das zu tun. Wir haben in den letzten Wochen und Monaten erlebt, wie stark die Spit\u00e4ler leider auch kritische Infrastrukturen sind. Wir wissen auch, und das ist vielleicht ein zweiter Grund, weshalb es sinnvoll ist, die Spit\u00e4ler explizit zu nennen, dass gerade im Bereich der Spit\u00e4ler sehr oft unheimlich veraltete Systeme im Einsatz sind, auch Betriebssysteme, die Sie schon lange nicht mehr auf Ihren Computern haben. Damit werden Systeme, die f\u00fcr den Bereich der Gesundheit ganz wichtig sind, gesteuert. Dass man sich dort die n\u00f6tige M\u00fche nimmt, eben auch gewisse Sicherheitsstandards einzuf\u00fchren, und zwar nicht nur im Ausnahme-, sondern auch im Normalzustand, ist doch sehr wichtig.
\nSie wissen auch, dass Spit\u00e4ler im Ausland, aber auch in der Schweiz immer wieder Zielscheibe von Cyberattacken sind. Deshalb ist es aus meiner Sicht, bei aller Imperfektion einer nicht geschlossenen Aufz\u00e4hlung, sinnvoll, die Spit\u00e4ler im Sinne des Minderheitsantrages auch explizit anzuf\u00fchren. Aber es ist klar, wenn dieser Antrag keine Mehrheit findet, bleiben die Spit\u00e4ler mitgemeint.
\nDas ist prinzipiell richtig, Herr Kollege Gl\u00e4ttli. De facto ist es nat\u00fcrlich aber so, dass der Systembetreiber jeweils nachfragen muss, ob er etwas anderes unternehmen k\u00f6nne, denn er hat keine konkrete vorausschauende Beurteilung, in der es heisst, da k\u00f6nne er etwas anderes machen. Vielleicht muss sich der St\u00e4nderat noch einmal \u00fcber diese Frage beugen, ich habe es eben nicht Wortklauberei genannt, und das noch einmal genauer anschauen. Ich bin aber nach wie vor der \u00dcberzeugung, dass wir mit Ihrem Minderheitsantrag nicht mehr Sicherheit schaffen.
\nWir haben es extra schon in den einleitenden Voten unserer Fraktion erw\u00e4hnt, L\u00e9onore Porchet und ich: Hier geht es aus Sicht der Minderheit tats\u00e4chlich um noch mehr als nur um eine \u00e4sthetische Konkurrenz. Hier geht es darum, ob diese ganze Geschichte mit den Mindeststandards auch Biss hat oder nicht.
\nEs macht wenig Sinn, zwar m\u00fchsam grundlegende Sicherheitsstandards festzulegen, die dann auch fl\u00e4chendeckend gelten sollen, diese aber gleichzeitig f\u00fcr vollkommen freiwillig zu erkl\u00e4ren. Die Formulierung des Bundesrates hat nichts anderes zur Folge als das. Es heisst n\u00e4mlich: \"Die Standardanforderungen und -massnahmen haben empfehlenden Charakter, sofern sie von den verpflichteten Beh\u00f6rden nicht f\u00fcr verbindlich erkl\u00e4rt werden.\" Normalerweise werden die, die den Auftrag haben, doch nicht gefragt, ob sie diese Empfehlungen umsetzen wollen oder nicht, sondern die Empfehlungen gelten und m\u00fcssen \u00fcberall umgesetzt werden. Wir wollen das umdrehen, dass es so ist, wie es normalerweise sein muss: Standards sind Standards, sie m\u00fcssen nicht hoch sein, aber sie m\u00fcssen gelten - und sie m\u00fcssen verbindlich gelten. Da wir uns auch bewusst sind, dass es Einzelf\u00e4lle geben kann, bei denen dann selbst diese minimalen Standards vielleicht doch zu hoch oder zu aufwendig sind, m\u00f6chten wir mit unserer Minderheit den verpflichteten Beh\u00f6rden, welche die Grundstandards eigentlich umsetzen m\u00fcssen, die M\u00f6glichkeit eines Opt-out geben. Das Opt-out kann aber nur dann gemacht werden, wenn es mit einer konkreten Begr\u00fcndung versehen ist. Das heisst, ich kann immer noch unter die Minimalstandards gehen, dann muss ich aber begr\u00fcnden, dass das kein Risiko ist.
\nDer Bundesrat sagt: Wir geben euch Empfehlungen f\u00fcr Minimalstandards, wenn ihr wollt, k\u00f6nnt ihr Opt-in machen.
\nWenn Sie wirklich mehr Sicherheit wollen, dann folgen Sie in Artikel 86 Absatz 3 der Minderheit Gl\u00e4ttli. Es geht wirklich nicht um die Frage, welchen Begriff man jetzt hier mit oder ohne Segen der Redaktionskommission ins Gesetz schreibt, hier geht es um den Kern, dass nur verbindliche Mindeststandards auch brauchbare Mindeststandards sind.
\nIch verwende nochmals das Beispiel aus dem Eintretensvotum: Wir w\u00e4ren sehr froh gewesen, wenn wir in unserem Pandemieplan keine Verantwortungsdiffusion gehabt h\u00e4tten, wenn gewisse Zust\u00e4ndigkeiten nicht einfach empfohlen, sondern vorgeschrieben gewesen w\u00e4ren. Machen wir hier nicht den gleichen Fehler.
\nIch bitte Sie, diesen Minderheitsantrag abzulehnen. Es geht ja hier um die Frage, ob die sogenannt verpflichteten Beh\u00f6rden, also z. B. die Armee, die Parlamentsdienste oder das Parlament, diese Regelung und diese Standardanforderungen \u00fcbernehmen sollten oder nicht. Es ist doch v\u00f6llig richtig, dass der Bundesrat definiert, welche zu \u00fcbernehmen sind und welche nicht. Es kann ja nicht sein, dass dann diese Beh\u00f6rden eigentlich im Nachhinein sagen m\u00fcssen, warum sie welche nicht \u00fcbernehmen. Das ist, glaube ich, der falsche Weg. Deshalb m\u00fcssen wir hier bei der Mehrheit bleiben.
\nErlauben Sie mir zum Abschluss, wir sind ja am Ende dieser Beratung, noch eine Bemerkung: Dieses Gesetz ist kein grosser Wurf. Es ist zehn Jahre her, dass man mit dem Gesetz begonnen hat. Man hat eine Vernehmlassung gemacht, \u00fcber 500 Antworten sind eingetroffen, und wir haben uns an mehreren Sitzungen dar\u00fcber unterhalten. Das Gesetz wurde zur\u00fcckgewiesen, unter anderem aufgrund eines Antrages aus der CVP. Wir haben dann die Sicherheitsniveaus definieren k\u00f6nnen, und dann wurde endlich klar, um welche Kosten es geht. Es geht zun\u00e4chst um mehrere Millionen bis zu fast 100 Millionen Franken, je nachdem, was man da alles einrechnet.
\nDeshalb ist nat\u00fcrlich auch dieser Artikel 7 Absatz 3 ganz wichtig. Ich m\u00f6chte hier noch einmal darauf hinweisen: Es ging eigentlich die ganze Zeit auch um die Frage, was der wirkliche Mehrwert dieses Gesetzes ist. Hier ist auch bei uns in der Fraktion noch etwas Unzufriedenheit da. Man sp\u00fcrt es auch in der Industrie: Es sind nicht alle so gl\u00fccklich, wie Sie, Frau Bundesr\u00e4tin, sagen. Vor allem dann, wenn Sie dann bez\u00fcglich h\u00f6herer Kosten oder h\u00f6herer Sicherheitsniveaus die Konsultation nicht wollen, l\u00e4uten schon etwas die Alarmglocken, wenn wir das so sagen d\u00fcrfen.
\nDas Gesetz ist also ganz klar kein grosser Wurf. Es enth\u00e4lt sehr viele Inputs, deren Nutzen teilweise sehr fraglich ist. Die Kosten hat man zwar dank diesem Artikel 7 etwas besser in den Griff gekriegt. Ich sage nicht, dass ich hier warnen will. Wenn aber der St\u00e4nderat bei Artikel 7 diesen Absatz 3 bez\u00fcglich Konsultation herausnimmt, dann bin ich \u00fcberzeugt, dass dieses Gesetz keine Chance haben wird.
\nWir sind hier bei der letzten Minderheit, die noch verblieben ist, und ich bitte Sie, diese abzulehnen.
\nHerr Gl\u00e4ttli hat vorhin ausgef\u00fchrt, dass er eigentlich das System umkehren will. Er will, dass der Bund die Minimalstandards, die er festlegt, immer als verbindlich betitelt, das heisst, sie m\u00fcssen eingehalten werden, es sei denn, es bestehen konkrete Anhaltspunkte, dass das nicht notwendig w\u00e4re. Das ist einfach systematisch falsch, wenn es in diesem Sinne um Minimalstandards geht, weil man in einem Bereich t\u00e4tig ist, in dem wir verschiedene Sicherheitslevels haben, verschiedene Techniken, verschiedene [PAGE 694] Infrastrukturen, verschiedene EDV-Systeme; das alles ist im Wandel, das wird alles st\u00e4ndig von Neuerungen umgew\u00e4lzt. Wenn wir jetzt darauf vertrauen, dass der Bund bei allen Systemen jeweils sagt: \"Das ist der Standard, und es darf nichts anderes sein\", und alles andere verboten ist, dann f\u00fchrt das nicht zu mehr Sicherheit, sondern h\u00f6chstens zu einer Verkn\u00f6cherung der Systeme, weil man dann immer sagen muss: \"Wir m\u00fcssen warten, bis der Bund sagt, dass wir hier auch etwas anderes machen k\u00f6nnen\", obwohl die Sicherheit vielleicht sogar besser gew\u00e4hrleistet ist, als wenn man es macht.
\nIch glaube, letztlich ist es mehr als Wortklauberei, was man hier tut, da hat Herr Gl\u00e4ttli vollkommen recht, aber es ist wichtig, dass wir es als Rahmengesetz und auch als Managementsystem der Infrastrukturen f\u00fcr die Sicherheit bei den Informationen verstehen.
\nVielleicht noch ein letztes Wort: Herr Hurter hat zum Abschluss gesagt, dass es quasi der Tod des Gesetzes sei, wenn die Konsultation fehle. Ich glaube, wir m\u00fcssen uns einfach im Klaren sein, dass wir jederzeit \u00fcber das Budget steuern k\u00f6nnen, wie viel wir f\u00fcr was ausgeben. Das brauchen wir nicht in jedes Gesetz hineinzuschreiben. Wir haben im Rahmen der Budgetberatungen alle diese M\u00f6glichkeiten. Ich glaube, das ist dann wirklich das Falsche.
\nEs ist eine komplizierte Geschichte, die wir hier zusammengenommen haben. Ich bitte Sie aber, letztlich dem Gesetz zuzustimmen, damit wir etwas haben, womit wir weiterarbeiten k\u00f6nnen.
\nArt.[NB]21,[NB]22[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt. 23 [GZ]
\nAntrag der Kommission [GZ]
\nAbs. 1, 3, 4[GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nAbs. 2 [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates[GZ]
\n(die \u00c4nderung betrifft nur den franz\u00f6sischen Text)
\n[VS]
\nArt. 23 [GZ]
\nProposition de la commission [GZ]
\nAl. 1, 3, 4[GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\nAl. 2 [GZ]
\n... [GZ]
\na. interdire certains objets, en particulier les appareils de prises de vue et de son; [GZ]
\n... [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt. 24, 25[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt. 26 [GZ]
\nAntrag der Mehrheit [GZ]
\nZustimmung zum Entwurf des Bundesrates
\n[VS]
\nAntrag der Minderheit I [GZ]
\n(Flach, Cattaneo, Dobler, Glanzmann, Gm\u00fcr Alois, Quadranti)[GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit II [GZ]
\n(Keller-Inhelder, Addor, Amstutz, Clottu, Golay, Umbricht Pieren, von Siebenthal, Zuberb\u00fchler)[GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nArt. 26 [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nAdh\u00e9rer au projet du Conseil f\u00e9d\u00e9ral
\n[VS]
\nProposition de la minorit\u00e9 I [GZ]
\n(Flach, Cattaneo, Dobler, Glanzmann, Gm\u00fcr Alois, Quadranti)[GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 II [GZ]
\n(Keller-Inhelder, Addor, Amstutz, Clottu, Golay, Umbricht Pieren, von Siebenthal, Zuberb\u00fchler)[GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): Nous nous sommes d\u00e9j\u00e0 prononc\u00e9s sur les propositions des minorit\u00e9s \u00e0 l'article 20.[GZ]
\n[VS][GZ]
\nAngenommen gem\u00e4ss Antrag der Mehrheit [GZ]
\nAdopt\u00e9 selon la proposition de la majorit\u00e9
\n[VS]
\nArt. 27-29[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt. 30 [GZ]
\nAntrag der Kommission [GZ]
\nAbs. 1-3 [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nAbs. 4 [GZ]
\n... [GZ]
\ng. Kantonale Magistratsperson, die vom Volk oder vom kantonalen Parlament gew\u00e4hlt wird.
\n[VS]
\nArt. 30 [GZ]
\nProposition de la commission [GZ]
\nAl. 1-3 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [PAGE 692]
\nAl. 4 [GZ]
\nLes candidats aux fonctions suivantes ne sont pas soumis \u00e0 un contr\u00f4le de s\u00e9curit\u00e9:
\n... [GZ]
\ng. magistrat cantonal \u00e9lu par le peuple ou par le parlement du canton concern\u00e9. [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt. 31-76[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt. 77 [GZ]
\nAntrag der Mehrheit [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Seiler Graf, Arslan, Crottaz, Fridez, Gl\u00e4ttli, Masshardt)[GZ]
\nAbs. 3 [GZ]
\nDie Betreiberinnen von kritischen Infrastrukturen sowie die Anbieterinnen und Betreiberinnen von Informatik- und Kommunikationsdiensten geben den Stellen nach Artikel 75 Absatz 5 Daten, einschliesslich Personendaten, die sich auf einen bestimmten erheblichen Vorfall beziehen, bekannt.[NB]...
\n[VS]
\nArt. 77 [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Seiler Graf, Arslan, Crottaz, Fridez, Gl\u00e4ttli, Masshardt)[GZ]
\nAl. 3 [GZ]
\nLes exploitants d'infrastructures critiques, de m\u00eame que les fournisseurs et les exploitants de services informatiques et de communication, communiquent aux services vis\u00e9s \u00e0 l'article 75 alin\u00e9a 5 des donn\u00e9es li\u00e9es \u00e0 des incidents consid\u00e9rables, y compris des donn\u00e9es personnelles.[NB]...
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): Le groupe UDC, le groupe socialiste et le groupe des Verts renoncent \u00e0 prendre la parole.
\nArt.[NB]78-80[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt. 81 [GZ]
\nAntrag der Mehrheit [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates [PAGE 693]
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Seiler Graf, Arslan, Crottaz, Fridez, Gl\u00e4ttli, Masshardt)[GZ]
\nBst. e [GZ]
\ne. die Bekanntgabe von Informationen an die Stellen nach Artikel 75 Absatz 5 durch die Betreiberinnen von kritischen Infrastrukturen nach Artikel 77 Absatz 3.
\n[VS]
\nArt. 81 [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Seiler Graf, Arslan, Crottaz, Fridez, Gl\u00e4ttli, Masshardt)[GZ]
\nLet. e[GZ]
\ne. les modalit\u00e9s de la communication d'informations aux services vis\u00e9s \u00e0 l'article 75 alin\u00e9a 5, par les exploitants d'infrastructures critiques conform\u00e9ment \u00e0 l'article 77 alin\u00e9a 3.
\n[VS]
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): La proposition de la minorit\u00e9 Seiler Graf a d\u00e9j\u00e0 \u00e9t\u00e9 rejet\u00e9e \u00e0 l'article 77.[GZ]
\n[VS][GZ]
\nAngenommen gem\u00e4ss Antrag der Mehrheit [GZ]
\nAdopt\u00e9 selon la proposition de la majorit\u00e9
\n[VS]
\nArt. 82-85[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt. 86 [GZ]
\nAntrag der Mehrheit [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Gl\u00e4ttli, Arslan, Crottaz, Fridez, Masshardt, Seiler Graf)[GZ]
\nAbs. 3 [GZ]
\nDie verpflichteten Beh\u00f6rden k\u00f6nnen mit einer konkreten Begr\u00fcndung die Standardanforderungen als nicht verpflichtend deklarieren.
\n[VS]
\nArt. 86 [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Gl\u00e4ttli, Arslan, Crottaz, Fridez, Masshardt, Seiler Graf)[GZ]
\nAl. 3 [GZ]
\nLes autorit\u00e9s soumises \u00e0 la pr\u00e9sente loi peuvent d\u00e9clarer non contraignantes les exigences standards; elles motivent concr\u00e8tement leur d\u00e9cision.
\nArt.[NB]87-91[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt. 91a [GZ]
\nAntrag der Kommission [GZ]
\nTitel [GZ]
\nKoordination mit dem Strafregistergesetz
\nText [GZ]
\n1.[NB]Tritt das Strafregistergesetz vom 17. Juni 2016 (StReG) vor dem vorliegenden Gesetz in Kraft, entfallen die im vorliegenden Gesetz enthaltenen \u00c4nderungen von Artikel 365 Absatz 2 Buchstabe d sowie 367 Abs\u00e4tze 2 Buchstabe i, 2bis Buchstabe b und 4 StGB. Stattdessen sind Artikel 46 Absatz 6 Buchstabe a ISG, Artikel 46 Buchstabe e, Artikel 51 Buchstabe f StReG und Artikel 59 StReG mit Inkrafttreten des vorliegenden Gesetzes wie folgt zu \u00e4ndern:
\nArt. 46 Abs. 6 Einleitung ISG[GZ]
\nDie Daten nach Absatz 4 k\u00f6nnen automatisch und systematisch durch Abfrage der folgenden Informationssysteme erhoben werden:
\nArt. 46 Abs. 6 Bst. a ISG[GZ]
\na.[NB]Strafregister-Informationssystem Vostra nach dem Strafregistergesetz vom 17. Juni 2016;
\nArt. 46 Einleitung StReG[GZ]
\nFolgende angeschlossene Beh\u00f6rden k\u00f6nnen durch ein Abrufverfahren in alle im Beh\u00f6rdenauszug 2 erscheinenden Daten (Art. 38) Einsicht nehmen, soweit dies f\u00fcr die Erf\u00fcllung der nachstehend genannten Aufgaben notwendig ist:
\nArt. 46 Bst. e StReG[GZ]
\ne.[NB]die Fachstellen f\u00fcr Personensicherheitspr\u00fcfungen nach Artikel 32 Absatz 2 des Informationssicherheitsgesetzes vom ... (ISG):
\n1.[NB]f\u00fcr die Beurteilung des Risikos im Rahmen von Personensicherheitspr\u00fcfungen nach dem ISG,
\n2.[NB]f\u00fcr Beurteilungen des Gef\u00e4hrdungs- und Missbrauchspotenzials nach dem Milit\u00e4rgesetz vom 3. Februar 1995,
\n3.[NB]f\u00fcr weitere Beurteilungen des Risikos im Rahmen der in der Spezialgesetzgebung vorgesehenen Pr\u00fcfungen; [PAGE 695]
\nArt. 51 Bst. f StReG [GZ]
\nAufheben
\nArt. 59 Titel StReG [GZ]
\nMeldungen an die Gruppe Verteidigung
\nArt. 59 Abs. 1 StReG [GZ]
\nDie registerf\u00fchrende Stelle meldet der Gruppe Verteidigung zu den in Absatz 2 erw\u00e4hnten Zwecken unverz\u00fcglich folgende neu in Vostra eingetragenen Daten von Stellungspflichtigen und Angeh\u00f6rigen der Armee:
\na.[NB]schweizerische Grundurteile wegen eines Verbrechens oder Vergehens;
\nb.[NB]ausl\u00e4ndische Grundurteile;
\nc.[NB]freiheitsentziehende Massnahmen;
\nd.[NB]Entscheide betreffend Nichtbew\u00e4hrung.
\nArt. 59 Abs. 2 StReG [GZ]
\nDie Gruppe Verteidigung darf die gemeldeten Daten f\u00fcr folgende Zwecke verwenden:
\na.[NB]Pr\u00fcfung einer Nichtrekrutierung, einer Zulassung zur Rekrutierung, eines Ausschlusses aus der Armee, einer Wiederzulassung zur Armee, einer Degradation oder der Eignung f\u00fcr eine Bef\u00f6rderung oder Ernennung nach dem MG;
\nb.[NB]Pr\u00fcfung von Hinderungsgr\u00fcnden f\u00fcr die \u00dcberlassung der pers\u00f6nlichen Waffe nach dem MG.
\nArt. 59 Abs. 3 StReG [GZ]
\nDie Meldung erfolgt \u00fcber eine elektronische Schnittstelle zwischen dem Personalinformationssystem der Armee und des Zivilschutzes (PISA) und Vostra. Die Aufbereitung der Daten nach Absatz 1 erfolgt automatisiert und unter Verwendung der Versichertennummer.
\n2.[NB]Tritt das Strafregistergesetz nach dem vorliegenden Gesetz in Kraft, so sind Artikel 46 Absatz 6 Buchstabe a ISG, Artikel 46 Buchstabe e StReG, Artikel 51 Buchstabe f StReG und Artikel 59 StReG gem\u00e4ss oben stehendem Wortlaut zu \u00e4ndern. Hingegen entf\u00e4llt die im Strafregistergesetz vorgesehene \u00c4nderung von Artikel 20a BPG; die nach dem vorliegenden Gesetz vorgesehene \u00c4nderung von Artikel 20a BPG bleibt also in Kraft.
\n[VS]
\nArt. 91a [GZ]
\nProposition de la commission [GZ]
\nTitre [GZ]
\nCoordination avec la loi sur le casier judiciaire
\nTexte [GZ]
\n1.[NB]Si la loi sur le casier judiciaire (LCJ) entre en vigueur avant la pr\u00e9sente loi, les modifications des articles 365 alin\u00e9a 2 lettre d et 367 alin\u00e9a 2 lettre i, 2bis lettre b et 4 CP pr\u00e9vues par le pr\u00e9sent projet seront caduques. L'article 46 alin\u00e9a 6 lettre a LSI, l'article 46 lettre e LCJ, l'article 51 lettre f LCJ et l'article 59 LCJ devront alors \u00eatre modifi\u00e9s comme suit:
\nArt. 46 al. 6 introduction LSI[GZ]
\nLes donn\u00e9es vis\u00e9es \u00e0 l'alin\u00e9a 4 peuvent \u00eatre collect\u00e9es automatiquement et syst\u00e9matiquement en ligne dans les syst\u00e8mes d'information suivants:
\nArt. 46 al. 6 let. a LSI[GZ]
\na.[NB]casier judiciaire informatique au sens de la loi du 17 juin 2016 sur le casier judiciaire;
\nArt. 46 introduction LSI[GZ]
\nLes autorit\u00e9s raccord\u00e9es suivantes peuvent consulter en ligne toutes les donn\u00e9es figurant sur l'extrait 2 destin\u00e9 aux autorit\u00e9s (art. 38), lorsqu'elles leur sont n\u00e9cessaires pour accomplir les t\u00e2ches mentionn\u00e9es ci-apr\u00e8s:
\nArt. 46 let. e LSI[GZ]
\ne.[NB]les services sp\u00e9cialis\u00e9s qui m\u00e8nent les contr\u00f4les de s\u00e9curit\u00e9 relatifs aux personnes au sens de l'article 32 alin\u00e9a 2, de la loi du ... sur la s\u00e9curit\u00e9 de l'information (LSI):
\n1.[NB]pour \u00e9valuer le risque dans le cadre de contr\u00f4les de s\u00e9curit\u00e9 relatifs aux personnes au sens de la LSI,
\n2.[NB]pour \u00e9valuer le potentiel d'abus ou de dangerosit\u00e9 au sens de la loi du 3 f\u00e9vrier 1995 sur l'arm\u00e9e,
\n3.[NB]pour \u00e9valuer le risque dans le cadre d'autres contr\u00f4les pr\u00e9vus dans la l\u00e9gislation sp\u00e9ciale;
\nArt. 51 let. f LCJ [GZ]
\nAbroger
\nArt. 59 titre LCJ[GZ]
\nCommunication au Groupement D\u00e9fense
\nArt. 59 al. 1 LCJ[GZ]
\nLe Service du casier judiciaire communique sans d\u00e9lai au Groupement D\u00e9fense, aux fins \u00e9num\u00e9r\u00e9es \u00e0 l'alin\u00e9a 2, les donn\u00e9es suivantes concernant des conscrits et des militaires, d\u00e8s leur saisie dans Vostra:
\na.[NB]les jugements suisses pour crime ou d\u00e9lit;
\nb.[NB]les jugements \u00e9trangers;
\nc.[NB]les mesures entra\u00eenant une privation de libert\u00e9;
\nd.[NB]les d\u00e9cisions relatives \u00e0 l'\u00e9chec de la mise \u00e0 l'\u00e9preuve.
\nArt. 59 al. 2 LCJ[GZ]
\nLe Groupement D\u00e9fense peut utiliser les donn\u00e9es communiqu\u00e9es:
\na.[NB]pour prendre les d\u00e9cisions de non-recrutement, d'admission au recrutement, d'exclusion de l'arm\u00e9e ou de r\u00e9int\u00e9gration dans l'arm\u00e9e, de d\u00e9gradation, et pour examiner l'aptitude \u00e0 une promotion ou une nomination, en application de la LAAM;
\nb.[NB]pour examiner les motifs emp\u00eachant la remise de l'arme personnelle, en application de la LAAM.
\nArt. 59 al. 3 LCJ[GZ]
\nLa communication a lieu par une interface \u00e9lectronique entre le syst\u00e8me d'information sur le personnel de l'arm\u00e9e et de la protection civile (SIPA) et Vostra. Les donn\u00e9es vis\u00e9es \u00e0 l'alin\u00e9a 1 sont s\u00e9lectionn\u00e9es et transmises de mani\u00e8re automatis\u00e9e sur la base du num\u00e9ro AVS de la personne concern\u00e9e.
\n2.[NB]Si la LCJ entre en vigueur apr\u00e8s la pr\u00e9sente loi, l'article 46 alin\u00e9a 6 lettre a, LSI et les articles 46 lettre e, 51 lettre[NB]f, et 59 LCJ seront modifi\u00e9s comme ci-dessus. En revanche, la modification de l'article 20a LPers pr\u00e9vue par la LCJ sera caduque; en d'autres termes, la modification de l'article 20a LPers pr\u00e9vue par le pr\u00e9sent projet restera en vigueur.[GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nArt. 92[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\n[VS]
\n\u00c4nderung anderer Erlasse [GZ]
\nModification d'autres actes
\n[VS]
\nZiff. 1[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nCh. 1[GZ]
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nZiff. 2 [GZ]
\nAntrag der Mehrheit [GZ]
\nArt. 6 Abs. 1 Bst. a Ziff. 4; 51 Abs. 4 Bst. d [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Sommaruga Carlo, Crottaz, Fridez, Gl\u00e4ttli, Mazzone, Seiler Graf)[GZ]
\nArt. 6 Abs. 1 Bst. a Ziff. 4 [GZ]
\n4. ... Informations-, Kommunikations- und Transportinfrastrukturen sowie grundlegende Spitaleinrichtungen und weitere Prozesse ...
\n[VS]
\nCh. 2 [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nArt. 6 al. 1 let. a ch. 4; 51 al. 4 let. d [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [PAGE 696]
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Sommaruga Carlo, Crottaz, Fridez, Gl\u00e4ttli, Mazzone, Seiler Graf)[GZ]
\nArt. 6 al. 1 let. a ch. 4 [GZ]
\n4. ... de communication et de transport ainsi que les installations hospitali\u00e8res de base et d'autres installations, processus[NB]...
\n[VS]
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): La proposition de la minorit\u00e9 Sommaruga Carlo a d\u00e9j\u00e0 \u00e9t\u00e9 rejet\u00e9e \u00e0 l'article 5 de la loi sur la s\u00e9curit\u00e9 de l'information.[GZ]
\n[VS][GZ]
\nAngenommen gem\u00e4ss Antrag der Mehrheit [GZ]
\nAdopt\u00e9 selon la proposition de la majorit\u00e9
\n[VS]
\nZiff. 3-10[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nCh. 3-10[GZ]
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nZiff. 11 [GZ]
\nAntrag der Mehrheit [GZ]
\nArt. 1 Abs. 2 Bst. c; 14; 113 Abs. 6; 150 Abs. 4 [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Sommaruga Carlo, Crottaz, Fridez, Gl\u00e4ttli, Mazzone, Seiler Graf)[GZ]
\nArt. 1 Abs. 2 Bst. c [GZ]
\nc. ... Informations-, Kommunikations- und Transportinfrastrukturen sowie grundlegende Spitaleinrichtungen und weitere Prozesse ...
\n[VS]
\nCh. 11 [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nArt. 1 al. 2 let. c; 14; 113 al. 6; 150 al. 4 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Sommaruga Carlo, Crottaz, Fridez, Gl\u00e4ttli, Mazzone, Seiler Graf)[GZ]
\nArt. 1 al. 2 let. c [GZ]
\nc. ... de communication et de transport ainsi que les installations hospitali\u00e8res de base et d'autres installations, processus ...
\n[VS]
\nLa pr\u00e9sidente (Moret Isabelle, pr\u00e9sidente): La proposition de la minorit\u00e9 Sommaruga Carlo a d\u00e9j\u00e0 \u00e9t\u00e9 rejet\u00e9e \u00e0 l'article 5 de la loi sur la s\u00e9curit\u00e9 de l'information.[GZ]
\n[VS][GZ]
\nAngenommen gem\u00e4ss Antrag der Mehrheit [GZ]
\nAdopt\u00e9 selon la proposition de la majorit\u00e9
\n[VS]
\nZiff. 12, 13[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nCh. 12, 13[GZ]
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nZiff. 14[GZ]
\nAntrag der Kommission [GZ]
\nArt. 20a Abs. 1 [GZ]
\nPersonen, die von der nationalen Netzgesellschaft in kritischen oder h\u00f6chstkritischen Funktionen eingesetzt werden, werden zur Beurteilung des Sicherheitsrisikos periodisch auf ihre Vertrauensw\u00fcrdigkeit hin gepr\u00fcft.
\nArt. 20a Abs. 2, 3 [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\nArt. 20a Abs. 4 [GZ]
\nDie nationale Netzgesellschaft ersucht um Durchf\u00fchrung der Pr\u00fcfung. Das Ergebnis ist ihr mitzuteilen und kurz zu begr\u00fcnden.
\n[VS]
\nCh. 14[GZ]
\nProposition de la commission [GZ]
\nArt. 20a al. 1 [GZ]
\nLes personnes auxquelles la soci\u00e9t\u00e9 nationale du r\u00e9seau de transport attribue des fonctions critiques ou extr\u00eamement critiques sont p\u00e9riodiquement soumises \u00e0 un contr\u00f4le de loyaut\u00e9 visant \u00e0 \u00e9valuer le risque pour la s\u00e9curit\u00e9.
\nArt. 20a al. 2, 3 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\nArt. 20a al. 4 [GZ]
\nLa soci\u00e9t\u00e9 nationale du r\u00e9seau de transport demande que le contr\u00f4le soit effectu\u00e9. Le r\u00e9sultat du contr\u00f4le lui est communiqu\u00e9 et bri\u00e8vement expliqu\u00e9.[GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nZiff. 15, 16[GZ]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nCh. 15, 16[GZ]
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n[VS][GZ]
\nAngenommen - Adopt\u00e9
\n[VS]
\nAntrag der Kommission [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates [GZ]
\n(= Eintreten)
\n[VS]
\nProposition de la commission [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [GZ]
\n(= Entrer en mati\u00e8re)
\n