4.4.3 Sicherheitskonzepte für die Informatiksysteme des NDB

2. Februar 2016

In Empfehlung 3 forderte die GPDel, dass der Informatiksicherheitsbeauftragte des VBS bis Ende 2014 alle Informatikanwendungen des NDB darauf überprüft, ob sie durch ein gültiges Informationssicherheits- und Datenschutzkonzept (ISDS-Konzept) abgedeckt sind. Das Resultat der Überprüfung wurde der GPDel am 21. Januar 2015 präsentiert. Drei Informationssysteme blieben noch ohne gültiges Sicherheitskonzept, darunter das System P4 für das Fahndungsprogramm «Fotopass». Für ihren Betrieb hatte die Informations- und Objektsicherheit des VBS (IOS) gestützt auf die Informationssicherheitsweisungen des VBS (Art. 18 Abs. 6 ISIW VBS) eine Ausnahmebewilligung erteilt.

Die Anhörung des ISB vom 23. Februar 2015 ergab, dass die Vorschriften des Bundes für den Betrieb eines Systems der Sicherheitsstufe, wie sie vom NDB zu gewährleisten ist, ein abgenommenes ISDS-Konzept voraussetzen. Laut dem ISB sehen die Vorschriften des Bundes keine Ausnahmen vor - auch keine temporären.

In der Folge machte die GPDel den Vorsteher des VBS mit Schreiben vom 13. Mai 2015 darauf aufmerksam, dass die Weisungen des VBS im Widerspruch zu den Vorgaben des Bundes stehen, solange sie den Betrieb von Informationssystemen mit vertraulichen und geheimen Daten ohne genehmigtes ISDS-Konzept erlauben. Die Delegation bat das VBS, die bestehende Möglichkeit zur Erteilung von Ausnahmebewilligungen in den departementseigenen Weisungen zu streichen und die GPDel in geeigneter Form darüber zu informieren.

Am 11. Juni 2015 antwortete der Vorsteher des VBS, dass die kritisierte Bestimmung mit der Ausnahmemöglichkeit per 1. Januar 2016 aus den ISIW VBS gestrichen werde. Zudem könne die IOS die letzten ISDS-Konzepte für die Systeme des NDB noch im Juni 2015 freigegeben.

Die ISIW VBS wurden am 9. Dezember 2015 entsprechend angepasst. Sie traten am 1. Januar 2016 in Kraft.