Salzmann Werner · Ständerat · 2024-03-07

Wortprotokoll

Gerne informiere ich Sie in Vertretung von Ständerätin Maya Graf über zwei Geschäfte, welche die Geschäftsprüfungsdelegation im Jahr 2023 behandelt hat. Den gesamten Jahresbericht der GPDel finden Sie in Kapitel 6 des vorliegenden Jahresberichtes 2023 der Geschäftsprüfungskommissionen.

Im ersten Teil möchte ich Sie über die abschliessenden Arbeiten der GPDel im Jahre 2023 zur Inspektion im Fall Crypto AG informieren. Die Ausgangslage ist wie folgt: Als der Bundesrat am 26.[NB]Mai 2021 zum Inspektionsbericht der GPDel über den Fall Crypto AG Stellung nahm, stimmte er der Umsetzung von acht der insgesamt zwölf Empfehlungen zu. Der Bundesrat erhielt zwei Jahre Zeit, um der GPDel bis zum Sommer 2023 über die Umsetzung der von ihm akzeptierten Empfehlungen zu berichten.

Am 23.[NB]August 2023 konnte die GPDel den Bericht des Bundesrates zur Umsetzung der Empfehlungen aus ihrer Inspektion im Fall Crypto AG beraten. Die Aufmerksamkeit der GPDel galt dabei der Umsetzung der Empfehlungen 5, 6 und[NB]7,[NB]welche alle eine Stärkung der Kryptografie und der Kryptoanalyse auf Stufe Bund bezwecken. Die GPDel kam zum Schluss, dass der Bundesrat diesen Empfehlungen in seinem Bericht vom 16.[NB]Juni 2023 umfassend Rechnung getragen hat.

Mit der Umsetzung der Empfehlung 5 wird der Bund Verschlüsselungslösungen für sensitive Anwendungen soweit möglich nur noch von inländischen Lieferanten beziehen. Damit ist es auch der Bund selber, der die Sicherheitsprüfung von Unternehmen und ihren Mitarbeitenden durchführt. Eine langjährige Zusammenarbeit mit einem solchen Hersteller bietet zudem die Möglichkeit, die sicherheitsrelevanten Aspekte der Entwicklung und Produktion zu kontrollieren. Mit der am 1.[NB]Juli 2023 erfolgten Übernahme der Cyone Security AG durch den Bundesbetrieb Ruag verfügt der Bund nun über eine eigene Herstellerin und Lieferantin für Kryptokomponenten, die den Sicherheitsansprüchen bis Stufe "geheim" genügen.

Mit der Empfehlung 6 wollte die GPDel sicherstellen, dass die Armee die Synergien zwischen ihren kryptografischen und kryptoanalytischen Kompetenzen weiterhin optimal nutzen kann. Der Bundesrat stellt dies sicher, indem diese beiden Aufgaben und die entsprechenden Fachpersonen weiterhin in derselben Organisationseinheit verbleiben.

In Umsetzung der Empfehlung 7 will der Bundesrat die technischen Unterstützungsmittel, welche die Kryptologen benötigen, gezielt ausbauen. Dies ist eine Voraussetzung dafür, dass die Fähigkeiten zur Kryptoanalyse mit den Bedürfnissen der Kommunikationsaufklärung des NDB Schritt halten können. Die GPDel ist überzeugt, dass dadurch die Kompetenz des Bundes in den Bereichen Kryptografie und Kryptoanalyse gestärkt wird.

Die GPDel konnte somit mit dieser Nachkontrolle ihre Inspektion zum Fall Crypto AG im Berichtsjahr 2023 abschliessen.

Ein zweites wichtiges Thema beschäftigt die GPDel schon längere Zeit. Es geht um die Auskunftsgesuche an den NDB und in diesem Fall um die Auskunftsgesuche bei Nichtverzeichnung, was bedeutet, dass keine Information über eine Person im System gefunden wurde. Bereits im Jahr 2021 hatte die GPDel die Praxis des NDB bei der Anwendung von [PAGE 168] Artikel 63 Absatz 5 NDG kritisiert. Diese Bestimmung verlangt eine Auskunft innert spätestens drei Jahren an Gesuchstellerinnen oder Gesuchsteller, die in keinem Informationssystem des NDB verzeichnet sind. Im Juli 2021 beschloss der NDB, die Beantwortung der Gesuche solcher Personen nicht mehr aufzuschieben und die Gesuche somit umgehend zu beantworten. Eine Einzelfallbeurteilung und dadurch ein allenfalls unterschiedlicher Aufschub der Auskunft wäre auch nicht zu rechtfertigen gewesen, da der NDB gar keine Informationen zu nicht verzeichneten Personen besitzt.

Während die GPDel im Jahresbericht 2021 die neue Praxis begrüsste, erkannte sie auch, dass die Änderung zu einer Ungleichbehandlung von Personen führte, deren Benachrichtigung über ihre Nichtverzeichnung der NDB in früheren Jahren aufgeschoben hatte. Deshalb verlangte die GPDel, dass die noch aufgeschobenen Auskünfte rasch nachgeholt werden.

Der Kurzbericht des NDB, welchen die GPDel verlangte, ergab nun, dass der NDB zwischen April 2018 und Juli 2021 die Auskunft an insgesamt 206 nicht verzeichnete Personen aufgeschoben hatte. Gemäss dem genannten Bericht wurden alle 672 Personen benachrichtigt, bei denen der NDB im Jahr 2019 und früher die Auskunft aufgeschoben hatte. Zum Jahr 2020 wurde mit 355 nachgeholten Auskünften der grössere Teil der Pendenzen erledigt. Laut seinem Zusatzbericht vom 23.[NB]August 2023 hatte der NDB bis zu diesem Zeitpunkt auch die übrigen nicht verzeichneten Gesuchsteller informiert, deren Benachrichtigung vor der Praxisänderung im Juli 2021 aufgeschoben worden war. Allerdings stellte der NDB fest, dass rund 200 der versandten nachträglichen Benachrichtigungen wegen Wohnsitzwechsel ungeöffnet an den Dienst zurückgeschickt wurden. Die GPDel wird die Bearbeitung von Auskunftsgesuchen durch den NDB weiterhin genau verfolgen.