Der Bundesrat ist über den Fortschritt bei der Umsetzung der Massnahmen informiert worden, die er am 1. Mai 2024 zur Vermeidung von künftigen Datenabflüssen bei IT-Lieferanten der Bundesverwaltung beschlossen hatte. Die Umsetzung der Massnahmen ist auf Kurs. Dabei geht es namentlich um die Stärkung der Sicherheit bei der Zusammenarbeit mit Lieferanten, die verbesserte Ausbildung der Mitarbeitenden im Bereich der Cybersicherheit sowie den Schutz von klassifizierten Informationen und Personendaten.

Das Massnahmenpaket, das umgesetzt werden soll

Im Frühjahr 2023 wurden bei der Xplain AG, ein Lieferant von Software für den Sicherheitsbereich, bei einem Ransomware-Angriff Daten gestohlen. Darunter waren auch produktive Daten der Bundesverwaltung, namentlich vertrauliche Informationen und besonders schützenswerte Personendaten. Aufgrund von Untersuchungen und Abklärungen beschloss der Bundesrat am 1. Mai 2024 ein Massnahmenpaket, mit dem die Risiken von Datenabflüssen künftig wesentlich gesenkt werden sollen. Das sind die drei Hauptpunkte des Massnahmenpakets:

• Erstens die Stärkung des Sicherheitsmanagements, unter anderem durch die Umsetzung zusätzlicher Sicherheitsvorgaben bei der Zusammenarbeit mit Lieferanten, sowie die Stärkung der Kontroll- und Auditfähigkeit.

• Zweitens die Erarbeitung eines Ausbildungskonzepts für die Schulung und Sensibilisierung der Mitarbeitenden in Bezug auf bestehende Sicherheitsvorgaben.

• Drittens das Erstellen einer Übersicht über die vorhandenen Kommunikationsmittel der Bundesbehörden und den damit verbundenen Datenschutz.

Stärkung der Sicherheit bei der Zusammenarbeit mit Lieferanten

Zur Stärkung der Sicherheit bei der Zusammenarbeit mit Lieferanten hat das Staatssekretariat für Sicherheitspolitik SEPOS ein neues Konzept zur Kontroll- und Auditfähigkeit bei Lieferanten erarbeitet. Dieses wurde von einer interdepartementalen Expertengruppe des Bundes validiert. Das Konzept soll im Laufe des Jahres 2025 innerhalb des Bundes umgesetzt werden. Die Auditfähigkeit von Lieferanten umfasst deren Bereitschaft und Kapazität, alle notwendigen Informationen bereitzustellen, Prozesse transparent zu gestalten und die Einhaltung von Standards und Vorschriften sicherzustellen.

Neue standardisierte Vertragsklauseln mit den Lieferanten

Das Staatssekretariats für Sicherheitspolitik SEPOS hat für die künftige Zusammenarbeit mit den Lieferanten neue standardisierte Vertragsklauseln erarbeitet, zu denen allerdings noch eine Konsultation bei den Branchenverbänden durchzuführen ist. Die Bekanntgabe der Vertragsklauseln soll bis Ende 2025 erfolgen.

Notwendige Vertragsklauseln für die Cybersicherheit

Die Prüfung der bestehenden Verträge zwischen dem Bund und dessen Lieferanten auf das Vorhandensein der notwendigen Klauseln im Bereich des Cyberschutzes durch das Eidgenössische Finanzdepartement EFD in Zusammenarbeit mit den Departementen ist abgeschlossen. Wo eine Änderung oder Ergänzung der Verträge notwendig oder zweckdienlich war, wurden die entsprechenden Anpassungen vorgenommen. Alle neuen Verträge enthalten jetzt die notwendigen Cybersicherheitsklauseln.

Ausbildungskonzept für die Mitarbeitenden ist auf guten Wegen

Das verlangte Ausbildungskonzept für die Schulung und Sensibilisierung der Mitarbeitenden im Bereich der Cybersicherheit soll bis Ende 2025 in Kraft treten. Derzeit bedarf es noch einiger Anpassungen in Zusammenarbeit mit den Departementen und insbesondere mit dem Eidgenössischen Personalamt.

Schutz der klassifizierten Informationen und der Personendaten

Die Bundeskanzlei hat eine Übersicht über die vorhandenen Kommunikationsmittel der Bundesbehörden erstellt und mit den Departementen besprochen. Die Übersicht zeigt, dass es beim Bund sowohl für klassifizierte Informationen wie auch für Personendaten Lösungen für den bestmöglichen Datenschutz gibt.

Lesen Sie zum Thema «Informationssicherheit in der Bundesverwaltung» auch den «Bericht InfoGuard AG: IT-Grundschutz des Bundes: Überprüfung der Vorgaben des Bundes für den IT-Grundschutz»