172.010.58
Verordnung über die Informatik und Telekommunikation in der Bundesverwaltung
(Bundesinformatikverordnung, BinfV)
vom 9. Dezember 2011 (Stand am 1. Januar 2012)
Der Schweizerische Bundesrat, gestützt auf die Artikel 43 und 47 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 19971 (RVOG), verordnet:
1. Kapitel Allgemeine Bestimmungen
Art. 1 Gegenstand
Diese Verordnung regelt Aufgaben und Zuständigkeiten bei der Steuerung und Führung des Einsatzes von Informations- und Kommunikationstechnik (IKT) in der Bundesverwaltung.
Art. 2 Geltungsbereich
Diese Verordnung gilt für die Verwaltungseinheiten der zentralen Bundesverwaltung nach Artikel 7 der Regierungs- und Verwaltungsorganisationsverordnung vom 25. November 19982 (RVOV).
Folgende Behörden und Stellen können sich, unter Vorbehalt anders lautender Organisationsbestimmungen des Bundesrechts, durch Vereinbarung verpflichten, diese Verordnung und die darauf gestützten Vorgaben einzuhalten:
Einheiten der dezentralen Bundesverwaltung nach Artikel 7a RVOV;
andere Bundesbehörden;
Organisationen und Personen des öffentlichen oder privaten Rechts, die nicht der Bundesverwaltung angehören, aber mit Bundesverwaltungsaufgaben betraut sind (Art. 2 Abs. 4 RVOG);
bundesnahe Institutionen mit öffentlicher Zweckbestimmung, die Dienstleistungen von internen Leistungserbringern nach dem5. Kapitel 3. Abschnitt beziehen wollen.
AS 2011 6093
Art. 3 Begriffe
Eine IKT-Strategie besteht aus folgenden Teilen:
Basisstrategie: Diese besteht aus IKT-Grundsätzen und beschreibt die Grundausrichtung sowie die geplante Entwicklung der IKT in grundsätzlicher Form.
Organisatorische und technische Basiskonzepte (Architekturen): Diese bestimmen die angestrebten Soll-Zustände.
Masterplan: Dieser beschreibt die notwendigen Veränderungen zur Erreichung des angestrebten Soll-Zustandes in zeitlicher und sachlicher Hinsicht.
Die IKT-Steuerung umfasst die Konzeption, den Erlass und die Aktualisierung der IKT-Strategien als übergeordnete Gesamtvorgabe und den Erlass und die Nachführung von aus den Strategien abgeleiteten, ihnen untergeordneten IKT-Vorgaben.
Unter der IKT-Führung wird die Wahrnehmung der operativen Aufgaben durch den Leistungsbezüger verstanden (Anforderungsmanagement, Beschaffung, Projektierung, Controlling, Portfoliomanagement, SLA-Management etc.), unter Einhaltung der gültigen Vorgaben.
Die einer IKT-Strategie untergeordneten Vorgaben sind:
a die IKT-Prozesse;
die IKT-Architektur;
die IKT-Standards;
die Vorgaben über die IKT-Sicherheit;
das IKT-Controlling.
Die IKT-Prozesse legen fest, wie IKT-Aufgaben erfüllt werden.
Die IKT-Architektur bestimmt die Komponenten der IKT und deren Zusammenwirken zur Unterstützung der Geschäftsprozesse.
Die IKT-Standards leiten sich aus der IKT-Architektur ab; mit ihnen wird festgelegt, wo aus Gründen der Wirtschaftlichkeit, Interoperabilität, Flexibilität und Sicherheit Informatikfunktionen, -schnittstellen und -produkte in gleicher Art und Weise auszugestalten beziehungsweise zu verwenden sind.
Die IKT-Sicherheit umfasst Massnahmen zum Schutz der Integrität und Verfügbarkeit der IKT-Systeme sowie zum Schutz der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der Daten, die in diesen Systemen gespeichert, verarbeitet und übertragen werden.
Das IKT-Controlling umfasst die Beschaffung, Aufbereitung, Prüfung und Interpretation von Informationen zur Steuerung und Führung des IKT-Einsatzes.
Ein Standarddienst ist eine zentral geführte IKT-Leistung, die in der Bundesverwaltung vielfach und unter gleichen oder ähnlichen Anforderungen der Leistungsbezüger verwendet wird.
Die Informationssicherung umfasst Massnahmen zum Schutz kritischer Infrastrukturen wie Energieversorgung, Logistik, Gesundheitswesen.
2. Kapitel Grundsätze der IKT-Steuerung und -Führung
Art. 4 Ziele
Die IKT wird so konzipiert und eingesetzt, dass sie die Geschäftsprozesse der Verwaltungseinheiten optimal unterstützt. Dabei ist den Grundsätzen der Zweckmässigkeit, Wirtschaftlichkeit und Sicherheit Rechnung zu tragen.
Art. 5 Steuerung des IKT-Einsatzes
Der Bundesrat bestimmt die IKT-Strategie des Bundes.
Das Eidgenössische Finanzdepartement (EFD) sorgt für die Umsetzung der IKT- Strategie des Bundes.
Die Departemente und die Bundeskanzlei regeln im Rahmen der gültigen Vorgaben die Steuerung und die Führung der IKT in ihrem jeweiligen Bereich.
Art. 6 Rechtsgrundlagen, Datenschutz und Informationssicherheit
Der Einsatz der IKT setzt voraus, dass:
hinreichende Rechtsgrundlagen bestehen oder geschaffen werden;
der Datenschutz der betroffenen Personen gewährleistet ist;
eine integrale Informationssicherheit sichergestellt ist.
Art. 7 Strategien zur Informationsgesellschaft
Die IKT-Projekte und -Anwendungen müssen den Zielen und Vorgaben der Strategien des Bundesrates zur Informationsgesellschaft entsprechen.
Art. 8 Koordination und Dokumentation
Die Projekt- und Anwendungsverantwortlichen sorgen bei der Umsetzung der IKT-Strategien und -Vorgaben für die organisatorische und methodische Koordination.
Sie stellen namentlich sicher, dass für die einzelnen Projekte und Anwendungen in aktueller Form dokumentiert ist, wie die Voraussetzungen nach Artikel 6 sowie die Ziele und Vorgaben nach Artikel 7 erfüllt werden.
Art. 9 Leistungsbezug
Die Departemente und die Bundeskanzlei beziehungsweise die Verwaltungseinheiten führen den IKT-Einsatz in ihren Bereichen.
Das Departement oder die Bundeskanzlei entscheidet nach Konsultation der betroffenen Leistungsbezüger, der betroffenen internen Leistungserbringer sowie aufgrund externer Marktanalysen und Benchmarkings:
ob eine IKT-Leistung intern bezogen oder extern beschafft wird;
bei welchen internen Leistungserbringern die IKT-Leistung gegebenenfalls bezogen wird.
Bei Standarddiensten entscheidet der Bundesrat über das Marktmodell.
Vorbehalten bleibt die Gesetzgebung über das öffentliche Beschaffungswesen.
3. Kapitel IKT-Sicherheit und Sonderstab Informationssicherung
Art. 10 Schutz von IKT-Mitteln und Daten
Die Verwaltungseinheiten sind für den Schutz ihrer IKT-Systeme und -Anwendungen und ihrer Daten (Schutzobjekte) verantwortlich.
Sie prüfen ihre Schutzobjekte regelmässig und ergreifen die notwendigen Sicherheitsmassnahmen.
Art. 11 Berichts- und Meldewesen
Verwaltungseinheiten, Organisationen und Personen im Geltungsbereich dieser Verordnung, die Kenntnis erhalten von Ereignissen, welche die Sicherheit von Schutzobjekten betreffen, melden dies:
dem Informatiksteuerungsorgan des Bundes (ISB);
dem oder der Informatiksicherheitsbeauftragten ihres Departementes beziehungsweise der Bundeskanzlei.
Die Departemente und die Bundeskanzlei berichten dem ISB zum Jahresende über den Stand der Umsetzung von Sicherheitsmassnahmen.
Gestützt auf diese Berichte orientiert das ISB den Bundesrat jährlich über den Stand der IKT-Sicherheit.
Art. 12 Sonderstab Informationssicherung
Das EFD setzt aus Vertretern und Vertreterinnen der Bundesverwaltung, der Kantone und der Wirtschaft den Sonderstab Informationssicherung ein.
Der Sonderstab unterstützt die obersten Führungsorgane von Politik und Wirtschaft in Krisen, die durch schwerwiegende Störungen der Informationsstruktur ausgelöst werden.
Der oder die Delegierte für die Informatiksteuerung führt den Vorsitz.
Der Sonderstab gibt sich ein Geschäftsreglement, in dem die Einzelheiten seiner Organisation und seiner Arbeit geregelt sind.
4. Kapitel Beteiligung des Bundes an der Harmonisierung polizeilicher
Fachanwendungen
Art. 13
Die Bundesstellen, die polizeiliche Fachanwendungen führen, arbeiten mit den Kantonen zusammen mit dem Ziel, diese Fachanwendungen zu harmonisieren.
Die Modalitäten dieser Zusammenarbeit, insbesondere die Schaffung gemeinsamer Organe von Bund und Kantonen, werden in einer Vereinbarung mit den Kantonen geregelt.
Die betroffenen Departemente können gestützt auf diese Verordnung und gemäss der Vereinbarung mit den Kantonen für die einzelnen Projekte Vollzugsvereinbarungen abschliessen. Dabei achten sie auf die Einhaltung der Vorgaben dieser Verordnung.
Sie informieren die gemeinsamen Organe über laufende und zukünftige Projekte im Bereich der polizeilichen Fachanwendungen und stellen sicher, dass die polizeilichen Fachanwendungen den Entscheiden der gemeinsamen Organe entsprechen.
5. Kapitel Organisation und Zuständigkeiten
1. Abschnitt Organe
Art. 14 Bundesrat
Der Bundesrat:
bestimmt die IKT-Strategie des Bundes;
legt die IKT-Standarddienste und deren Marktmodell fest;
überwacht die Umsetzung der IKT-Strategie des Bundes anhand des strategischen Controllings und beschliesst bei Bedarf Massnahmen;
legt fest, in welchen Bereichen IKT-Vorgaben nötig sind oder angepasst werden sollen;
erlässt Weisungen über die IKT-Sicherheit;
bestimmt im Rahmen des Budgetprozesses über die Zuweisung zentral eingestellter Mittel für IKT-Vorhaben;
entscheidet bei Differenzen zwischen den Departementen, der Bundeskanzlei und dem ISB;
bewilligt Abweichungen von seinen Vorgaben.
Art. 15 Generalsekretärenkonferenz
Die Generalsekretärenkonferenz beurteilt IKT-Geschäfte auf Stufe Bund aus operativer Geschäftssicht (IKT-Interessen der Geschäftsprozesse).
Sie wirkt insbesondere bei der Vorbereitung geschäftspolitisch relevanter Bundesratsgeschäfte zur IKT mit.
Art. 16 Eidgenössisches Finanzdepartementes
Das EFD erarbeitet die IKT-Strategie des Bundes.
Es erlässt im Rahmen seiner Aufgaben Verwaltungsverordnungen.
Art. 17 Informatiksteuerungsorgan des Bundes
Das ISB hat namentlich folgende Aufgaben:
Es bereitet die IKT-Geschäfte des Bundesrates vor und vollzieht die sich daraus für das ISB ergebenden Aufträge des Bundesrates.
Es nimmt Anforderungen der Departemente und der Bundeskanzlei auf und schlägt dem EFD zuhanden des Bundesrates entsprechende Standarddienste einschliesslich des Marktmodells und der Rollenausgestaltung für den Leistungsbezug vor. Es erbringt dabei den Nachweis des wirtschaftlichen Nutzens.
Es führt die IKT-Standarddienste. Dazu gehören das Anforderungsmanagement, die Projektierung, die Wahrnehmung der Verantwortung der Bedarfsstelle beziehungsweise im Falle des internen Leistungsbezugs die Beschaffung, die Release-Planung, die Regelung der übergeordneten Finanzierung und die Kontrolle über Qualität der Leistungserbringung sowie das Vertragsmanagement.
Es legt im Rahmen der vom Bundesrat bestimmten IKT-Strategie die IKT- Vorgaben auf Stufe Bund fest. Es erhebt dazu die Anforderungen der Departemente und der Bundeskanzlei. Es ist für die finanzielle Führung der IKT auf Stufe Bund sowie für die Instrumente zur Unterstützung der Steuerung und Führung der IKT, insbesondere zum IKT-Controlling und -Portfoliomanagement, verantwortlich.
Es entscheidet über Abweichungen von den von ihm erlassenen Vorgaben.
Es entscheidet über Anträge der Departemente, der Bundeskanzlei und der Verwaltungseinheiten für Sonderregelungen bezüglich der Vergabe von sicherheitsrelevanten Rechten und Mandaten, insbesondere im Zusammenhang mit Firewalls, Zugriffsrechten und Privilegien. Bei Gefährdung der Bundesverwaltung entscheidet es über spezifische IKT-Sicherheitsmassnahmen.
Es klärt als Sachverständigenorgan im Auftrag eines Departementes oder der Bundeskanzlei vermutete oder erfolgte Sicherheitsvorfälle ab.
Es stellt den Informatiksicherheitsbeauftragten oder die Informatiksicherheitsbeauftragte des Bundes.
Es führt die «Melde- und Analysestelle Informationssicherung (MELANI)»
in Zusammenarbeit mit dem Nachrichtendienst des Bundes.
Es leitet IKT-Programme.
Es führt die Geschäftsstelle «E-Government Schweiz».
Es führt die Fachstelle «Informationstechnologien im öffentlichen Beschaffungswesen» (Art. 21 der V vom 22. Nov. 20063 über die Organisation des öffentlichen Beschaffungswesens des Bundes).
Es arbeitet mit den Kantonen, den einschlägigen Organisationen, der Wirtschaft und ausländischen Partnern zusammen und vertritt den Bund in entsprechenden Organisationen.
Es setzt im Rahmen seiner Aufgaben Gremien ein. Die Departemente und die Bundeskanzlei benennen ihre Vertreterinnen und Vertreter, welche die Anforderungen erfüllen und das erforderliche Fachwissen einbringen.
Das ISB kann Entscheide von untergeordneter Bedeutung, insbesondere über Abweichungen von seinen IKT-Vorgaben, über Anforderungen an den Betrieb der IKT oder über die Abwicklung von Projekten und Programmen delegieren an:
die Departemente oder die Bundeskanzlei;
Programm- oder Projektorganisationen.
Art. 18 Informatikrat des Bundes
Der Informatikrat des Bundes (IRB) setzt sich aus dem oder der Delegierten für die IKT-Steuerung (Art. 20a der Organisationsverordnung vom 17. Febr. 20104 für das EFD) und je einem namentlich bezeichneten Vertreter oder einer namentlich bezeichneten Vertreterin jedes Departements und der Bundeskanzlei zusammen. Der oder die Delegierte hat den Vorsitz.
Mit beratender Stimme können je ein Vertreter oder eine Vertreterin der Eidgenössischen Finanzverwaltung (EFV), des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), der internen Leistungserbringer sowie der Parlamentsdienste teilnehmen. Fallweise können weitere Personen beratend beigezogen werden.
Der IRB ist das Konsultativorgan für das ISB zu IKT-Geschäften, die der Absprache mit den Departementen und der Bundeskanzlei bedürfen, insbesondere für den Erlass von Vorgaben und für die Genehmigung von Ausnahmen betreffend deren Einhaltung.
Art. 19 Ausschuss Informatiksicherheit
Der Ausschuss Informatiksicherheit (A-IS) setzt sich aus den Informatiksicherheitsbeauftragten der Departemente und der Bundeskanzlei zusammen.
Mit beratender Stimme können je ein Vertreter oder eine Vertreterin der Eidgenössischen Finanzkontrolle (EFK), des EDÖB sowie der Parlamentsdienste teilnehmen. Fallweise können weitere Personen beratend beigezogen werden.
Der A-IS wird von dem oder der Informatiksicherheitsbeauftragten des Bundes geleitet.
Er ist das Konsultativorgan für das ISB zu allen IKT-Sicherheitsfragen.
Art. 20 Steuerausschuss Supportprozesse
Der Steuerausschuss Supportprozesse (SASP) setzt sich zusammen aus einem Vertreter oder einer Vertreterin des ISB und je einem Vertreter oder einer Vertreterin:
der EFV;
des Bundesamtes für Bauten und Logistik (BBL);
des Eidgenössischen Personalamtes (EPA);
der armasuisse (Logistik & Immobilien VBS).
Der Vertreter oder die Vertreterin des ISB hat den Vorsitz.
Mit beratender Stimme nehmen ein Vertreter oder eine Vertreterin des Bundesamtes für Informatik und Telekommunikation (BIT) sowie der Führungsunterstützungsbasis teil.
Der SASP dient der amtsübergreifenden Absprache und Entscheidfindung der EFV, des EPA, des BBL, der Logistik & Immobilien VBS und des ISB bezüglich der IKT-Unterstützung der bundesweit eingesetzten Supportprozesse Finanzen, Personal, Bauten, Logistik und Immobilienverwaltung.
2. Abschnitt Leistungsbezüger
Art. 21 Grundsätze
Leistungsbezüger sind Einheiten und Stellen nach Artikel 2.
Die Leistungsbezüger sind für die Einhaltung der IKT-Vorgaben und der Beschlüsse des Bundesrates, des EFD, des ISB und der Departemente beziehungsweise der Bundeskanzlei in ihrem Zuständigkeitsbereich verantwortlich.
Art. 22 Aufgaben der Leistungsbezüger
Die Leistungsbezüger setzen die IKT wirtschaftlich ein und budgetieren dementsprechend.
Sie schliessen mit den Leistungserbringern Projekt- und Leistungsvereinbarungen ab und erstellen ein Portfolio ihrer Studien, Projekte und Anwendungen (IKT- Portfolio).
Sie gewährleisten durch ein geeignetes Controlling, dass den übergeordneten Stellen jederzeit die erforderlichen Führungs- und Steuerungsinformationen zur Verfügung stehen.
3. Abschnitt Interne Leistungserbringer
Art. 23 Grundsätze
Jedes Departement verfügt über höchstens einen eigenen internen Leistungserbringer.
Die internen Leistungserbringer sind für die Einhaltung der IKT-Vorgaben und der Beschlüsse des Bundesrates, des EFD, des ISB und der Departemente beziehungsweise der Bundeskanzlei in ihrem Zuständigkeitsbereich verantwortlich.
Art. 24 Aufgaben der internen Leistungserbringer
Die internen Leistungserbringer erbringen den Leistungsbezügern die IKT- Leistungen gemäss den entsprechenden Projekt- und Leistungsvereinbarungen.
Sie führen eine ausgebaute Kosten- und Leistungsrechnung und weisen bezüglich der Standarddienste gegenüber dem ISB ihre Kosten und Erlöse periodisch transparent nach.
Sie gewährleisten die operative Leistungserbringung für Standarddienste, für welche sie die vom Bundesrat im Marktmodell festgelegten Rollen haben. In diesem Zusammenhang verantworten sie den Betrieb, inklusive die operative Koordination mit den weiteren notwendigen Leistungserbringern.
4. Abschnitt Bezug von IKT-Leistungen bei externen Leistungserbringern
Art. 25 Verfahren
Das Verfahren zum externen Bezug von IKT-Leistungen richtet sich nach den folgenden Erlassen:
Bundesgesetz vom 16. Dezember 19945 über das öffentliche Beschaffungswesen;
Verordnung vom 11. Dezember 19956 über das öffentliche Beschaffungswesen;
Verordnung vom 22. November 20067 über die Organisation des öffentlichen Beschaffungswesens des Bundes;
Verordnung vom5. Dezember 20088 über das Immobilienmanagement und die Logistik des Bundes.
Die IKT-Vorgaben sind beim Bezug von Leistungen bei einem externen Leistungserbringer Bestandteil der Ausschreibungsunterlagen.
Der Leistungsbezüger überprüft die Einhaltung der IKT-Vorgaben durch den externen Leistungserbringer in geeigneter Weise.
Art. 26 Musterverträge
Der Auftraggeber orientiert sich für den externen Bezug von IKT-Leistungen an den bestehenden Musterverträgen.
6. Kapitel Finanzielle Führung der IKT und Informatikrevision
Art. 27 Finanzielle Führung der IKT
Die Budgetierung und die Verrechnung der IKT-Mittel erfolgt grundsätzlich dezentral nach den Vorgaben des Finanzhaushaltgesetzes vom7. Oktober 20059.
Das ISB führt zentral eingestellte Mittel zur Bereitstellung von Standarddiensten. Der Betrieb der Standarddienste wird in der Regel dezentral durch die Leistungsbezüger budgetiert und diesen entsprechend dem Leistungsbezug verrechnet. Die Leistungsbezüger nehmen die Mengen- und Qualitätssteuerung für die Standarddienste im Rahmen der Service-Level-Agreements (Leistungsvereinbarungen) wahr.
Das ISB führt zentral eingestellte Mittel für Informatikvorhaben, die gemäss Planung von den Verwaltungseinheiten nicht selber finanziert werden können.
Es führt zentral eingestellte Mittel für nicht planbare Vorhaben.
Art. 28 Informatikrevision
Die Informatikrevision erfolgt nach den Grundsätzen der Finanzaufsicht im Bund.
Sie wird von der Eidgenössischen Finanzkontrolle (EFK) wahrgenommen.
Die Departemente und die Bundeskanzlei können der EFK einzelne Gegenstände zur Informatikrevision vorschlagen.
7. Kapitel Schlussbestimmungen
Art. 29 Aufhebung und Änderung bisherigen Rechts
Die Bundesinformatikverordnung vom 26. September 200310 wird aufgehoben.
Die Änderung bisherigen Rechts ist im Anhang geregelt.
[AS 2003 3687, 2007 3401 Art. 22 Abs. 2, 2010 635 Anhang Ziff. 2, 2011 4491]
Art. 30 Inkrafttreten
Diese Verordnung tritt am1. Januar 2012 in Kraft.
Änderung bisherigen Rechts
Die nachstehenden Verordnungen werden wie folgt geändert:
…11
11 Die Änderungen können unter AS 2011 6093 konsultiert werden.