Verordnung
über die Informatik und Telekommunikation
in der Bundesverwaltung
(Bundesinformatikverordnung, BinfV)

Diese Verordnung gilt für die Verwaltungseinheiten der zentralen Bundesverwaltung nach Artikel 2 Absätze¹ und 2 RVOG.

Folgende Behörden und Stellen können sich, unter Vorbehalt anders lautender Organisationsbestimmungen des Bundesrechts, durch Vereinbarung verpflichten, diese Verordnung und die darauf gestützten Vorgaben einzuhalten:

1. dezentralisierte Einheiten der Bundesverwaltung (Art. 2 Abs. 3 RVOG);

2. andere Bundesbehörden;

3. Organisationen und Personen des öffentlichen oder privaten Rechts, die nicht der Bundesverwaltung angehören, aber mit Verwaltungsaufgaben betraut sind (Art. 2 Abs. 4 RVOG);

4. bundesnahe Institutionen mit öffentlicher Zweckbestimmung, die Dienstleistungen von internen Leistungserbringern nach Artikel 20 beziehen wollen.

Die Informatikvorgaben nach dieser Verordnung gelten nicht für die Informatik der Waffensysteme und nicht für die Führungs- und Einsatzsysteme der Armee.

Die Informatikvorgaben der Bundesverwaltung umfassen:

1. die Informatikstrategie;

2. die Informatikprozesse;

3. die Informatikarchitekturen und -standards;

4. die Vorgaben über die Informatiksicherheit;

5. das Informatikcontrolling.

Die Informatikstrategie legt auf der Basis des Informatikleitbilds der Bundesverwaltung die mittelfristigen Ziele, Grundsätze und Methoden für den Einsatz der IKT in der Bundesverwaltung fest.

Die Informatikprozesse legen fest, wie Informatikaufgaben erfüllt werden.

Die Informatikarchitekturen und –standards, einschliesslich der Sicherheitsarchitektur und der Sicherheitsstandards, bestimmen den technischen und organisatorischen Rahmen für die Informatiksysteme, insbesondere die Anforderungen an deren Interoperabilität und Wirtschaftlichkeit.

Die Informatiksicherheit umfasst Massnahmen zum Schutz der Integrität und Verfügbarkeit der Informatiksysteme sowie zum Schutz der Vertraulichkeit, Integrität, Verfügbarkeit und Nachweisbarkeit der Daten, die in diesen Systemen gespeichert, verarbeitet und übertragen werden.

Das Informatikcontrolling umfasst die Beschaffung, Aufbereitung, Prüfung und Interpretation von Informationen zur Steuerung des IKT-Einsatzes.

Eine Querschnittsleistung ist eine vom Informatikrat des Bundes (IRB) als solche bezeichnete IKT-Leistung, die allen Leistungsbezügern vom gleichen Leistungserbringer erbracht wird.

EinInformatikprogramm umfasst mehrere koordinierte Informatikprojekte mit gemeinsamer Zielsetzung.

Die Informationssicherung umfasst Massnahmen zum Schutz der kritischen Infrastrukturen wie Energieversorgung, Logistik, Gesundheitswesen.

Ein Informatik-Kompetenzzentrum ist eine Stelle, die zu einem bestimmten Fach- oder Sachgebiet überdepartemental umfassende IKT-Leistungen (Beratung, Konzeption, Realisierung, Betrieb und Support) anbietet.

Die IKT wird so eingesetzt, dass sie die Geschäftsprozesse der Verwaltungseinheiten optimal unterstützt.

Der IKT-Einsatz orientiert sich an den Grundsätzen der Zweckmässigkeit, Wirtschaftlichkeit und Benutzerorientierung.

Die Verwaltungseinheiten sind für den Schutz ihrer schützenswerten IKT-Mittel und Daten (Schutzobjekte) verantwortlich.

Sie prüfen ihre Schutzobjekte regelmässig und ergreifen die notwendigen Sicherheitsmassnahmen.

Alle Verwaltungseinheiten, Organisationen und Personen im Geltungsbereich dieser Verordnung melden dem Informatikstrategieorgan des Bundes (ISB) Ereignisse, welche die Sicherheit von Schutzobjekten betreffen.

Die Departemente und die Bundeskanzlei berichten dem ISB zum Jahresende über den Stand der Umsetzung von Sicherheitsmassnahmen.

Das ISB orientiert den IRB.

Das Eidgenössische Finanzdepartement (EFD) setzt aus Vertretern und Vertreterinnen der Bundesverwaltung, der Kantone und der Wirtschaft den Sonderstab Informationssicherung ein.

Der Sonderstab unterstützt die obersten Führungsorgane von Politik und Wirtschaft in Krisen, die durch schwerwiegende Störungen der Informationsstruktur ausgelöst werden.

Der oder die Delegierte für die Informatikstrategie führt den Vorsitz.

Der Sonderstab gibt sich ein Geschäftsreglement, in dem die Einzelheiten seiner Organisation und seiner Arbeit geregelt sind.

Der IRB setzt sich aus folgenden stimmberechtigten Mitgliedern zusammen:

1. je ein namentlich bezeichneter Vertreter oder eine namentlich bezeichnete Vertreterin jedes Departements und der Bundeskanzlei;

2. der Generalsekretär oder die Generalsekretärin des EFD.

Der Generalsekretär oder die Generalsekretärin des EFD führt den Vorsitz.

Der IRB entscheidet darüber, ob weitere Einheiten, die sich verpflichten, diese Verordnung und die darauf gestützten Vorschriften und Vorgaben einzuhalten, einen stimmberechtigten Vertreter oder eine stimmberechtigte Vertreterin in den IRB entsenden können.

Er ist beschlussfähig, wenn die Mehrheit der stimmberechtigten Mitglieder anwesend ist.

Er entscheidet mit einfachem Mehr der anwesenden stimmberechtigten Mitglieder. Der oder die Vorsitzende stimmt nicht mit. Bei Stimmengleichheit gibt er oder sie den Stichentscheid.

Mitglieder des IRB mit beratender Stimme sind:

1. ein Vertreter oder eine Vertreterin der Informatikbetreiberkonferenz (IBK);

2. der oder die Delegierte für die Informatikstrategie;

Der IRB gibt sich ein Geschäftsreglement, in dem die Einzelheiten seiner Organisation und seiner Arbeit geregelt sind. Dabei ist dem Evokationsrecht des Bundesrates (Art. 47 Abs. 4 RVOG) Rechnung zu tragen.

Der IRB bestimmt die mittel- und langfristige Entwicklung der IKT in der Bundesverwaltung.

Er hat namentlich folgende Aufgaben:

1. Er legt die Informatikvorgaben für die Bundesverwaltung fest, überwacht deren Umsetzung in den Departementen und in der Bundeskanzlei und legt fest, unter welchen Voraussetzungen von den Informatikvorgaben abgewichen werden kann.

2. Er bewilligt Abweichungen von den Informatikvorgaben.

3. Er bestimmt die Querschnittsleistungen, deren Bezug und Steuerung.

4. Er entscheidet über die Schaffung von Informatik-Kompetenzzentren sowie über deren Aufgaben und organisatorische Zuordnung.

5. Er initialisiert und steuert departementsübergreifende Informatikprogramme.

6. Er entscheidet über das Konfigurations- und Release-Management, sofern Auswirkungen auf Geschäftsprozesse, Benutzer und Benutzerinnen (insbesondere Auslösung von Schulungsbedarf), andere Applikationen oder die Interoperabilität abzusehen sind.

7. Er wirkt mit im Budgetierungs- und Finanzplanungsprozess.

8. Er entscheidet über die Abtretung von Mitteln aus den beim EFD temporär zu Gunsten der IKT eingestellten Reserven an die Departemente und die Bundeskanzlei.

9. Er priorisiert departementsübergreifende Informatikprojekte.

10. Er stellt sicher, dass eine Melde- und Analysestelle zum Schutz kritischer Infrastrukturen betrieben wird.

Er kann zur Koordination des Bedarfs an Querschnittsleistungen eine Leistungsbezügerkonferenz einsetzen.

Der IRB erlässt im Rahmen seiner Aufgaben Verwaltungsverordnungen.

Er kann Entscheide von untergeordneter Bedeutung, insbesondere über Abweichungen von Informatikvorgaben, über Anforderungen an den Betrieb der IKT oder über die Abwicklung von Projekten und Programmen, an folgende Organe oder Stellen delegieren:

1. an den Ausschuss Informatiksicherheit (A-IS);

2. an die Informatikbetreiberkonferenz (IBK);

3. an das Informatikstrategieorgan des Bundes (ISB);

4. an die Departemente oder die Bundeskanzlei;

5. an Programm- oder Projektorganisationen.

Das Informatikstrategieorgan des Bundes (ISB) ist das Stabsorgan des IRB.

Das ISB hat namentlich folgende Aufgaben:

1. Es erarbeitet die Informatikvorgaben und stellt dem IRB Antrag.

2. Es koordiniert die Umsetzung der Informatikvorgaben und der Entscheide des IRB.

3. Es stellt die für die Planung der IKT der Bundesverwaltung erforderlichen Entscheidgrundlagen bereit.

4. Es bereitet Musterprojektaufträge und Musterleistungsvereinbarungen für Querschnittsleistungen vor, leitet das Beschaffungsverfahren ein und stellt für den IRB das Informatikcontrolling sicher.

5. Es leitet Informatikprogramme.

Im Bereich der Informatiksicherheit hat das ISB folgende Aufgaben:

1. Es erarbeitet auf der Grundlage des mit den Verwaltungseinheiten gemeinsam ermittelten Schutzbedarfs die Massnahmen zum Schutz von Schutzobjekten und ordnet die zu ergreifenden konkreten Sicherheitsmassnahmen an.

2. Es klärt als Sachverständigenorgan im Auftrag eines Departementes, der Bundeskanzlei oder des IRB vermutete oder erfolgte Sicherheitsvorfälle ab.

Das ISB arbeitet mit Stellen ausserhalb der Bundesverwaltung zusammen.

Stimmberechtigte Mitglieder des A-IS sind die Informatiksicherheitsbeauftragten der Departemente und der Bundeskanzlei.

Mitglieder mit beratender Stimme sind der Vertreter oder die Vertreterin:

1. der Eidgenössischen Finanzkontrolle;

2. des Bundesarchivs;

3. des Bundessicherheitsdienstes;

4. des ISB;

5. der Informatikbetreiberkonferenz (IBK);

6. des Bundesamtes für Bauten und Logistik (BBL);

7. des Eidgenössischen Datenschutzbeauftragten.

Der A-IS wird von dem oder der Informatiksicherheitsbeauftragten des Bundes geleitet.

Er tritt periodisch oder nach Weisung des IRB oder auf Antrag eines Mitglieds zusammen. Er kann auch auf dem Korrespondenzweg (auch elektronisch) entscheiden.

Die Beschlüsse des A-IS sind gültig, wenn sich die Mehrheit der Mitglieder an der Abstimmung beteiligt.

Der A-IS entscheidet mit einfachem Mehr der stimmenden Mitglieder. Der oder die Vorsitzende stimmt nicht mit. Bei Stimmengleichheit gibt er oder sie den Stichentscheid.

Jedes stimmberechtigte Mitglied und das ISB können Entscheide des A-IS dem IRB unterbreiten. Dieser kann sie ändern oder aufheben.

Der A-IS berät den IRB in Fragen der Informatiksicherheit.

Er nimmt zuhanden des IRB Stellung zu Weisungen über die Informatiksicherheit.

Er entscheidet über Anträge der Departemente, der Bundeskanzlei und der Verwaltungseinheiten bezüglich der Vergabe von sicherheitsrelevanten Rechten und Mandaten, insbesondere im Zusammenhang mit Firewalls, Zugriffsrechten und Privilegien.

Er bringt dem IRB seine Entscheide umgehend zur Kenntnis.

Leistungsbezüger sind Einheiten und Stellen nach Artikel 2 Absätze¹ und 2.

Die Leistungsbezüger sind für die Einhaltung der Informatikvorgaben und der Beschlüsse des IRB und der Departemente beziehungsweise der Bundeskanzlei in ihrem Zuständigkeitsbereich verantwortlich.

Die Leistungsbezüger setzen die IKT wirtschaftlich ein und budgetieren dementsprechend.

Sie schliessen mit den Leistungserbringern Projekt- und Leistungsvereinbarungen ab und erstellen ein Portfolio ihrer Studien, Projekte und Anwendungen (Informatikportfolio).

Sie gewährleisten durch ein geeignetes Controlling, dass den übergeordneten Stellen jederzeit die erforderlichen Führungs- und Steuerungsinformationen zur Verfügung stehen.

Jedes Departement verfügt über höchstens einen eigenen internen Leistungserbringer.

Die internen Leistungserbringer sind für die Einhaltung der Informatikvorgaben und der Beschlüsse des IRB und der Departemente in ihrem Zuständigkeitsbereich verantwortlich.

Die internen Leistungserbringer erbringen den Leistungsbezügern die IKT-Leistungen gemäss den entsprechenden Projekt- und Leistungsvereinbarungen.

Sie führen eine Kosten- und Leistungsrechnung (KLR).

Sie können im Einverständnins mit ihrem Departement ihre Leistungen auch anderen Verwaltungseinheiten und bundesnahen Institutionen mit öffentlicher Zweckbestimmung anbieten.

Die internen Leistungserbringer führen ein Sachinventar der IKT-Mittel. Sie stellen dieses dem ISB zur Verfügung.

Die Informatikbetreiberkonferenz (IBK) setzt sich aus je einem namentlich bezeichneten Vertreter oder einer namentlich bezeichneten Vertreterin der internen Leistungserbringer der Departemente und der Bundeskanzlei als stimmberechtigten Mitgliedern zusammen.

Der Direktor oder die Direktorin des Bundesamtes für Informatik und Telekommunikation (BIT) führt den Vorsitz.

Die IBK entscheidet darüber, ob weitere Einheiten, die sich verpflichten, diese Verordnung und die darauf gestützten Vorschriften und Vorgaben einzuhalten, einen stimmberechtigten Vertreter oder eine stimmberechtigte Vertreterin in die IBK entsenden können.

Mitglieder mit beratender Stimme sind der Vertreter oder die Vertreterin:

1. des ISB;

2. des BBL.

Die IBK ist beschlussfähig, wenn die Mehrheit der stimmberechtigten Mitglieder anwesend ist.

Sie entscheidet mit einfachem Mehr der anwesenden Mitglieder. Der oder die Vorsitzende stimmt nicht mit. Bei Stimmengleichheit gibt er oder sie den Stichentscheid.

Die IBK stellt die für die Leistungserbringung notwendigen technischen Abstimmungen sicher.

Sie koordiniert die Betriebsschnittstellen, das Konfigurations- und Release-Management sowie andere betriebsrelevante Aspekte unter Vorbehalt der Zuständigkeit des IRB.

Das Verfahren zum externen Bezug von IKT-Leistungen richtet sich nach dem Bundesgesetz vom¹⁶. Dezember 1994² über das öffentliche Beschaffungswesen (BoeB) und der zugehörigen Verordnung sowie nach der Verordnung vom 14. Dezember 1998³ über das Immobilienmanagement und die Logistik des Bundes. Das BBL erlässt in Absprache mit dem ISB spezifische Weisungen.

Interne Leistungserbringer sind keine Anbieter im beschaffungsrechtlichen Sinn. Sie können aber im Rahmen eines Beschaffungsverfahrens eingeladen werden, ebenfalls eine Offerte einzureichen. Der Auftraggeber gibt dies in der Ausschreibung bekannt.

Die Auftraggeber wählen die Variante mit dem günstigsten Kosten-Nutzen-Risiken-Verhältnis. Wird der Auftrag an einen internen Leistungserbringer vergeben, so finden die Artikel 27–35 BoeB über den Rechtsschutz sinngemäss Anwendung.

Die Informatikrevision erfolgt nach den Grundsätzen der Finanzaufsicht im Bund.

Sie wird von der Eidgenössischen Finanzkontrolle wahrgenommen.

Der IRB, die Departemente und die Bundeskanzlei können der Finanzkontrolle einzelne Gegenstände zur Informatikrevision vorschlagen.