Ab 1. Januar 2024 setzt die Schweiz das Informationssicherheitsgesetz (LSI) und seine vier Ausführungsverordnungen in Kraft, wie der Bundesrat am 8. November 2023 beschlossen hat. Das LSI konsolidiert wesentliche Rechtsgrundlagen für die Informations- und IT-Sicherheit und legt auf internationalen Standards basierende Mindestanforderungen für Bundesbehörden und Organisationen fest.
Die LSI sichert nicht nur die Informatikinfrastruktur des Bundes, sondern dehnt den Schutz auch auf Bundesinformationen aus, die von Dritten, Kantonen und internationalen Partnern verwaltet werden. Zur Umsetzung der LSI werden drei neue Verordnungen und eine Teilrevision einer bestehenden Verordnung eingeführt:
Verordnung über die Informationssicherheit (OSI): Sie wird zwei bestehende Verordnungen ersetzen, die das Informationssicherheitsmanagement, den Schutz von Verschlusssachen, die IT-Sicherheit und physische Sicherheitsmaßnahmen betreffen. Die Bundesämter müssen ein Informationssicherheitsmanagementsystem (ISMS) einführen, das sowohl im privaten als auch im öffentlichen Sektor üblich ist.
Verordnung über die Sicherheitsprüfung von Personen (OCSP): Dies regelt die Verfahren zur Beurteilung, ob Personen in sensiblen Funktionen des Bundes aufgrund ihres Lebensstils, ihrer finanziellen Situation und ihrer Verbindungen zum Ausland ein Sicherheitsrisiko darstellen. Die Überprüfungen sind denjenigen vorbehalten, die der Konföderation möglicherweise erheblichen Schaden zufügen könnten.
Verordnung über Sicherheitsverfahren für Unternehmen (OPSEnt): Diese Verordnung beschreibt die Verfahren zur Bewertung der Zuverlässigkeit von Unternehmen, die mit sensiblen Bundesaufträgen betraut sind, und ersetzt eine Verordnung, die sich auf militärisch eingestufte Aufträge konzentrierte. Kontinuierliche Inspektionen und Audits werden die Einhaltung der Vorschriften sicherstellen.
Verordnung über die Identifikationsdaten-Management-Systeme (VID): Diese wird aktualisiert, um ein einheitliches System für den Zugang zu den Online-Diensten des Bundes zu schaffen und die drei neuen Verordnungen zu ergänzen.
Der Bundesrat hat diese Verordnungen nach einem Vernehmlassungsverfahren von August bis November 2022 genehmigt. Zudem müssen die Betreiber kritischer Infrastrukturen ab dem 29. September 2023 Cyberangriffe melden, wobei das Nationale Zentrum für Cybersicherheit (NCSC) als zentrale Meldestelle vorgesehen ist.
Weitere Einzelheiten finden Sie auf der Die offizielle Seite des Bundesrates.
