Minder Thomas · Ständerat · 2017-12-04

Wortprotokoll

So unbestritten, wie es anhand der Gesamtabstimmung in der Kommission zum Ausdruck gekommen ist, war diese Vorlage nun auch wieder nicht. In der SiK wurden durchaus einige kritische Stimmen laut, darunter auch meine. Wir können schon glauben, mit einem neuen Informationssicherheitsgesetz, einem einheitlichen Rahmengesetz, sei fortan sicherheitstechnisch alles in Butter und es würden keine Cyberattacken mehr passieren, keine vertraulichen Daten mehr in falsche Hände gelangen, keine Indiskretionen mehr nach aussen durchsickern, keine Zutritte für dubiose Drittpersonen mehr gewährt, keine fraglichen Personalentscheide gefällt.

Es ist eher überraschend, dass die Vorlage aus dem VBS kommt. Gerade das VBS war aber in Sachen Indiskretionen und Verfehlungen in den letzten Jahren im Dauerfokus: Unzählige vertrauliche Informationen fanden ihren Weg zu den Medien, und personensicherheitsgeprüfte VBS-Mitarbeiter sorgten für Aufsehen - und das, obschon es dazu schon heute Gesetze und Weisungen gibt. In Sachen Sicherheit, ob bei der Information, bei Daten oder bei der IT, ist der Schwachpunkt oftmals der Mensch, der Mitarbeiter. Das ändert sich auch mit dem neuen Informationssicherheitsgesetz nicht. Da kann man alles Mögliche definieren und regeln: Der Mitarbeiter wird mit seinem persönlichen Verhalten immer im Fokus bleiben. Die grosse Frage ist doch, ob bei all diesen Cyberattacken, welche tagtäglich unsere Arbeitsplätze erreichen, ein neues Gesetz die notwendige Sensibilität vermittelt. Oder wären arbeitsinterne Weisungen der Chefs und Vorgesetzten sowie Schulungen nicht zielführender?

Der Bundesrat schreibt zwar in seiner Botschaft, warum es dieses Gesetz brauche: "Mehrere Angriffe auf Informationen und Informationssysteme des Bundes haben aufgezeigt, dass der Schutz von Informationen beim Bund Lücken aufweist. Diese Lücken sind auch auf unzeitgemässe Rechtsgrundlagen zurückzuführen." Es ist bald Weihnachten, und Wünsche sind erlaubt. Zu glauben, mit einem neuen Einheitsgesetz würden keine Informationslecks mehr entstehen und alle Cyberattacken seien nun abgewehrt, ist jedoch ziemlich optimistisch. Zu glauben, mit dem neuen Informationssicherheitsgesetz würden bei jährlich 70 000 Sicherheitsprüfungen keine schwarzen Schafe mehr rekrutiert und zugelassen, braucht viel Fantasie. [PAGE 845]

Ich habe mich in der Kommission der Stimme enthalten. Ich werde es auch heute machen: Ich bin mir schlicht nicht sicher, ob diese grosse Bürokratieübung - die Vorlage hat bekanntlich fast hundert Seiten -, die wir mit diesem Rahmengesetz anstreben, die anvisierte Wirkung im Ziel überhaupt erreicht.