Zuberbühler David · Nationalrat · 2018-03-13

Wortprotokoll

Die uns vorliegende Botschaft zum Informationssicherheitsgesetz hat der Bundesrat am 22. Februar 2017 verabschiedet. Das Geschäft wurde anlässlich der Wintersession durch den Ständerat behandelt. Betrachtet man den Verlauf der Ständeratsdebatte, fällt umgehend auf, dass sich in der Kleinen Kammer lediglich drei Sprecher plus der Bundesrat zu Wort gemeldet haben. Die Gründe, weshalb sich sonst niemand an der Diskussion beteiligt hat, sind unbekannt, und man kann nur spekulieren.

Offensichtlich war der Ständerat aber bereit, einem umfassenden Gesetzeswerk zuzustimmen, das lediglich Scheinsicherheit vermittelt. Offensichtlich war er bereit, das Aufgabengebiet der öffentlichen Hand noch weiter auszubauen. Offensichtlich war er bereit, die Regulierungsdichte mit einem neuen Bürokratiemonster weiter auszubauen. Offensichtlich glaubte er, mit einem neuen Informationssicherheitsgesetz - einem einheitlichen Rahmengesetz - sei fortan sicherheitstechnisch alles in Butter. Offensichtlich glaubte er, mit einem neuen Einheitsgesetz wären nun alle Cyberattacken abgewehrt. Offensichtlich glaubte er, man könne mit einem neuen Einheitsgesetz sämtliche relevanten Lücken in Bezug auf die Informationssicherheit schliessen. Aber was ist schon sicher? Offensichtlich ist doch, dass nichts sicher ist, und nicht einmal das ist sicher!

Den Grundauftrag zum nun vorliegenden Entwurf erteilte der Bundesrat jedenfalls am 12. Mai 2010. Dass die Umsetzung eines Projektes bzw. die Ausarbeitung einer Vorlage satte sieben Jahre dauert, ist mehr als merkwürdig. Es scheint, als hätte sich mit diesem Gesetz jemand sehr schwergetan. Anders ist die lange Umsetzungszeit nicht zu erklären. Ob das nun ein gutes Zeichen ist, das wage ich an dieser Stelle zu bezweifeln.

Sie alle haben umfassende Unterlagen zum neuen Informationssicherheitsgesetz erhalten. Trotz dieser Fülle an Informationen, unverständlichen Begriffen und Abkürzungen oder eben gerade deswegen bleibt die Hauptfrage nach wie vor bestehen, die Frage nämlich, welchen besonderen Mehrwert dieses neue Gesetz bringt. Den entsprechenden Nachweis, dass das neue Gesetz tatsächlich einen zusätzlichen Nutzen bringt, konnten bis heute weder die Verwaltung noch der Bundesrat erbringen.

Es steht hingegen fest, dass seit Erteilung des Grundauftrags im Jahr 2010 der Überblick über das Ganze verlorenging. Ob es vielleicht daran liegt, dass in der Verwaltung heute zu viele Spezialisten sitzen, die spezifische Probleme möglichst perfekt beheben wollen? Ich weiss es nicht. Die Frage nach den finanziellen Auswirkungen bleibt ebenfalls ungeklärt.

Vielleicht hören Sie das Folgende heute erstmals. Die Vorlage sieht konkret drei Ambitionsniveaus vor. Ambitionsniveau 1 möchte die Sicherheit im Vergleich zu heute erhöhen, Ambitionsniveau 2 möchte die Informationssicherheit in Bezug auf heute deutlich erhöhen, und Ambitionsniveau 3 möchte eine sehr hohe Informationssicherheit. Die jährlich wiederkehrenden Kosten variieren je nach Ambitionsniveau zwischen 1,5 und 87 Millionen Franken. Die einmaligen Kosten für die Umsetzung des Projekts variieren innerhalb dieser Niveaus zwischen 5 und 20 Millionen Franken, und das Total der Vollzeitstellen variiert innerhalb der Niveaus zwischen 9,5 und 78,5 Stellen.

Mit dem Informationssicherheitsgesetz soll nun konkret Ambitionsniveau 1 angestrebt werden, was aber nicht heisst, dass es danach bei diesem Niveau bleibt. Das Gesetz hat den grossen Nachteil, dass es eine grosse Flexibilität in Bezug auf das jeweilige Ambitionsniveau bietet. Die entsprechende Regelung würde ausschliesslich in der Verordnung des Bundesrates erfolgen. Wenn also das Ambitionsniveau später erhöht werden sollte, müsste nicht das Gesetz geändert werden; es müsste lediglich die Verordnung angepasst werden. Das Parlament könnte seinen Einfluss dazu praktisch nicht mehr geltend machen. Glauben Sie mir: Sie gehen ja nicht wirklich davon aus, dass es bei diesem Ambitionsniveau 1 bleiben wird. Schliesslich will man doch eine hohe Informationssicherheit.

Ich fasse zusammen: Es ist brandgefährlich, auf ein Gesetz einzutreten, bei dem der konkrete Nutzen nicht nachvollziehbar ist. Es ist ebenso gefährlich, auf ein Gesetz einzutreten, [PAGE 380] bei dem die Kostenfolge nicht absehbar ist bzw. bei dem nicht klar ist, wie viele zusätzliche Vollzeitstellen letztlich notwendig sind. Dies wäre gegenüber der steuerzahlenden Bevölkerung völlig unverantwortlich.

Auch schützt ein solches Gesetz - blickt man über die Landesgrenzen, sieht man das - nicht einmal ansatzweise vor Hackerangriffen. Mit dem Blick über die Landesgrenzen meine ich Folgendes: Trotz eines im Juli 2015 in Kraft getretenen IT-Sicherheitsgesetzes wurde das Datennetzwerk der deutschen Bundesregierung Ende Februar dieses Jahres gehackt. Die alte Weisheit aus der IT-Branche, wonach ein erfolgreicher Angriff immer nur eine Frage der Zeit und des Aufwands ist, hat sich wieder einmal bewahrheitet.

Die SVP-Fraktion ist überzeugt, dass mit einem neuen Bundesgesetz über die Informationssicherheit kein massgebender Mehrwert geschaffen wird. Das vorliegende Gesetz trägt kaum zu einer Effizienzsteigerung in Sachen Informationssicherheit bei. Es steigert auch nicht die Informationssicherheit selbst. Es erzeugt lediglich ein Gefühl von mehr Sicherheit, ein trügerisches Gefühl, das mit mehr Stellen bei der Bundesverwaltung bezahlt wird, die Sicherheit dieses Landes aber kaum voranbringt. Das vorliegende Gesetz bringt zusätzlichen bürokratischen Aufwand und noch mehr regulatorische Massnahmen, auch weil das Gesetz den jeweiligen Bundesbehörden im Rahmen ihrer Unabhängigkeit und Organisationsautonomie beim Vollzug viel Raum bietet. Darum ist es vorteilhafter, das derzeitige System beizubehalten und allenfalls gezielte Verbesserungen im Rahmen der bestehenden Strukturen anzubringen.

Aus diesen Gründen wird die SVP-Fraktion nicht auf das Geschäft eintreten, und ich bitte Sie, es ihr gleichzutun.