Bundesgesetz vom 18. Dezember 2020 über die Informationssicherheit (Informationssicherheitsgesetz, ISG) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni in seno alla Confederazione (Legge sulla sicurezza delle informazioni, LSIn)" shortForm="LSIn"/><FRBRname xml:lang="de" value="Bundesgesetz vom 18. Dezember 2020 über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG)" shortForm="ISG"/><FRBRname xml:lang="fr" value="Loi fédérale du 18 décembre 2020 sur la sécurité de l’information au sein de la Confédération (Loi sur la sécurité de l’information, LSI)" shortForm="LSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de/xml"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.6"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Bundeskanzlei"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/DEU" showAs="de"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>128 </docNumber></p><p><docTitle>Bundesgesetz<br/>über die Informationssicherheit</docTitle></p><p>(Informationssicherheitsgesetz, ISG)<inline name="man-font-weight-normal"><authorialNote><p> Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></inline></p><p>vom 18. Dezember 2020 (Stand am 1. April 2025)</p></preface><preamble><p>Die Bundesversammlung der Schweizerischen Eidgenossenschaft,</p><p>gestützt auf die Artikel 54 Absatz 1, 60 Absatz 1, 101, 102 Absatz 1 und <br/>173 Absatz 1 Buchstaben a und b sowie Absatz 2 der Bundesverfassung<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1999/404" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>101</b></ref></p></authorialNote>, <br/>nach Einsicht in die Botschaft des Bundesrates vom 22. Februar 2017<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/fga/2017/647" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2017</b> 2953</ref></p></authorialNote>,</p><p>beschliesst:</p></preamble><body><chapter eId="chap_1"><num>1. Kapitel: </num><heading>Allgemeine Bestimmungen</heading><article eId="art_1"><num><b>Art. 1</b></num><heading>Zweck</heading><paragraph eId="art_1/para_1"><num>1</num><content><blockList><listIntroduction eId="art_1/para_1/listintro"> Dieses Gesetz soll:</listIntroduction><item eId="art_1/para_1/lbl_a"><num>a. </num><p>die sichere Bearbeitung der Informationen, für die der Bund zuständig ist, sowie den sicheren Einsatz der Informatikmittel des Bundes gewährleisten;</p></item><item eId="art_1/para_1/lbl_b"><num>b. </num><p>die Widerstandsfähigkeit der Schweiz gegenüber Cyberbedrohungen erhöhen.<authorialNote><p> Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></p></item></blockList></content></paragraph><paragraph eId="art_1/para_2"><num>2</num><content><blockList><listIntroduction eId="art_1/para_2/listintro"> Dadurch sollen die folgenden öffentlichen Interessen geschützt werden:</listIntroduction><item eId="art_1/para_2/lbl_a"><num>a. </num><p>die Entscheidungs- und Handlungsfähigkeit der Behörden und Organisationen des Bundes;</p></item><item eId="art_1/para_2/lbl_b"><num>b. </num><p>die innere und äussere Sicherheit der Schweiz;</p></item><item eId="art_1/para_2/lbl_c"><num>c. </num><p>die aussenpolitischen Interessen der Schweiz;</p></item><item eId="art_1/para_2/lbl_d"><num>d. </num><p>die wirtschafts-, finanz- und währungspolitischen Interessen der Schweiz;</p></item><item eId="art_1/para_2/lbl_e"><num>e. </num><p>die Erfüllung der gesetzlichen und vertraglichen Verpflichtungen der Behörden und Organisationen des Bundes zum Schutz von Informationen.</p></item></blockList></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Verpflichtete Behörden und Organisationen</heading><paragraph eId="art_2/para_1"><num>1</num><content><blockList><listIntroduction eId="art_2/para_1/listintro"> Dieses Gesetz gilt für die nachstehenden Behörden (verpflichtete Behörden):</listIntroduction><item eId="art_2/para_1/lbl_a"><num>a. </num><p>die Bundesversammlung;</p></item><item eId="art_2/para_1/lbl_b"><num>b. </num><p>den Bundesrat;</p></item><item eId="art_2/para_1/lbl_c"><num>c. </num><p>die eidgenössischen Gerichte;</p></item><item eId="art_2/para_1/lbl_d"><num>d. </num><p>die Bundesanwaltschaft und die Aufsichtsbehörde über die Bundesanwaltschaft;</p></item><item eId="art_2/para_1/lbl_e"><num>e. </num><p>die Schweizerische Nationalbank.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><blockList><listIntroduction eId="art_2/para_2/listintro"> Es gilt für die nachstehenden Organisationen (verpflichtete Organisationen):</listIntroduction><item eId="art_2/para_2/lbl_a"><num>a. </num><p>die Parlamentsdienste;</p></item><item eId="art_2/para_2/lbl_b"><num>b. </num><p>die Bundesverwaltung;</p></item><item eId="art_2/para_2/lbl_c"><num>c. </num><p>die Verwaltungen der eidgenössischen Gerichte;</p></item><item eId="art_2/para_2/lbl_d"><num>d. </num><p>die Armee;</p></item><item eId="art_2/para_2/lbl_e"><num>e. </num><p>Organisationen nach Artikel 2 Absatz 4 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2022_2022_2022" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.010</b></ref></p></authorialNote> (RVOG) für ihre Verwaltungsaufgaben.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_3"><num>3</num><content><blockList><listIntroduction eId="art_2/para_3/listintro"> Der Bundesrat kann für Organisationen nach Artikel 2 Absätze 3 und 4 RVOG die Geltung des Gesetzes auf diejenigen Organisationen einschränken, die:</listIntroduction><item eId="art_2/para_3/lbl_a"><num>a. </num><p>sicherheitsempfindliche Tätigkeiten ausüben; oder</p></item><item eId="art_2/para_3/lbl_b"><num>b. </num><p>zur Erfüllung ihrer Aufgaben Informatikmittel des Bundes einsetzen oder darauf zugreifen.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_4"><num>4</num><content><p> Er kann die Geltung nach Absatz 3 auf Teile des Gesetzes beschränken. Er berücksichtigt dabei die Vollzugsautonomie der betreffenden Organisationen nach Massgabe ihrer Organisationserlasse.</p></content></paragraph><paragraph eId="art_2/para_5"><num>5</num><content><p> Für Organisationen des öffentlichen und privaten Rechts, die kritische Infrastrukturen betreiben, die aber nicht unter die Absätze 1–3 fallen, gelten die Artikel 73<i>a</i>–79.<authorialNote><p> Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote> Die Spezialgesetzgebung kann weitere Teile dieses Gesetzes für anwendbar erklären.</p></content></paragraph></article><article eId="art_3"><num><b>Art. 3</b></num><heading>Geltung für die Kantone</heading><paragraph eId="art_3/para_1"><num>1</num><content><blockList><listIntroduction eId="art_3/para_1/listintro"> Für die Kantone gelten nur die Bestimmungen:</listIntroduction><item eId="art_3/para_1/lbl_a"><num>a. </num><p>über klassifizierte Informationen, soweit sie klassifizierte Informationen des Bundes bearbeiten; und</p></item><item eId="art_3/para_1/lbl_b"><num>b. </num><p>über die Sicherheit beim Einsatz von Informatikmitteln, soweit sie auf Informatikmittel des Bundes zugreifen.</p></item></blockList></content></paragraph><paragraph eId="art_3/para_2"><num>2</num><content><p> Diese Bestimmungen gelten nicht, wenn die Kantone eine mindestens gleichwertige Informationssicherheit gewährleisten.</p></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Verhältnis zu anderen Erlassen des Bundes</heading><paragraph eId="art_4/para_1"><num>1</num><content><p> Das Öffentlichkeitsgesetz vom 17. Dezember 2004<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2006/355" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>152.3</b></ref></p></authorialNote> (BGÖ) geht diesem Gesetz vor.<authorialNote><p> Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_4/para_1_bis"><num>1bis</num><content><p> Informationen Dritter, von denen das Bundesamt für Cybersicherheit (BACS) durch die Entgegennahme und Analyse von Meldungen gemäss dem 5. Kapitel Kenntnis erhält, dürfen nicht nach dem BGÖ zugänglich gemacht werden. Nicht als Dritte gelten Behörden, Organisationen und Personen nach Artikel 2 Absatz 1 BGÖ.<authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/168" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 168</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> Für Informationen, deren Schutz auch in anderen Bundesgesetzen geregelt ist, finden die Bestimmungen dieses Gesetzes ergänzend Anwendung.</p></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Begriffe</heading><paragraph eId="art_5/para"><content><blockList><listIntroduction eId="art_5/para/listintro">In diesem Gesetz bedeuten:</listIntroduction><item eId="art_5/para/lbl_a"><num>a. </num><p><i>Informatikmittel:</i> Mittel der Informations- und Kommunikationstechnik, namentlich Anwendungen, Informationssysteme und Datensammlungen sowie Einrichtungen, Produkte und Dienste, die zur elektronischen Verarbeitung von Informationen dienen;</p></item><item eId="art_5/para/lbl_b"><num>b. </num><blockList><listIntroduction eId="art_5/para/lbl_b/listintro"><i>sicherheitsempfindliche Tätigkeit:</i></listIntroduction><item eId="art_5/para/lbl_b/lbl_1"><num>1. </num><p>die Bearbeitung von «vertraulich» oder «geheim» klassifizierten Informationen,</p></item><item eId="art_5/para/lbl_b/lbl_2"><num>2. </num><p>die Verwaltung, der Betrieb, die Wartung und die Überprüfung von Informatikmitteln der Sicherheitsstufe «hoher Schutz» oder «sehr hoher Schutz»,</p></item><item eId="art_5/para/lbl_b/lbl_3"><num>3. </num><p>der Zugang zu Sicherheitszonen, insbesondere zu Schutzzone 2 oder 3 einer Anlage nach der Gesetzgebung über den Schutz militärischer Anlagen;</p></item></blockList></item><item eId="art_5/para/lbl_c"><num>c. </num><p><i>kritische Infrastrukturen:</i> Trinkwasser- und Energieversorgung, Informations-, Kommunikations- und Transportinfrastrukturen sowie weitere Prozesse, Systeme und Einrichtungen, die essenziell für das Funktionieren der Wirtschaft beziehungsweise das Wohlergehen der Bevölkerung sind;</p></item><item eId="art_5/para/lbl_d"><num>d.<authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote> </num><p><i>Cybervorfall</i><i>:</i> Ereignis bei der Nutzung von Informatikmitteln, das dazu führt, dass die Vertraulichkeit, Verfügbarkeit oder Integrität von Informationen oder die Nachvollziehbarkeit ihrer Bearbeitung beeinträchtigt ist;</p></item><item eId="art_5/para/lbl_e"><num>e.<authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote> </num><p><i>Cyberangriff</i><i>:</i> Cybervorfall, der absichtlich ausgelöst wurde;</p></item><item eId="art_5/para/lbl_f"><num>f.<authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote> </num><p><i>Cyberbedrohung</i><i>:</i> Jeder Umstand oder jedes Ereignis mit dem Potenzial, einen Cybervorfall zu ermöglichen;</p></item><item eId="art_5/para/lbl_g"><num>g.<authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote> </num><p><i>Schwachstelle:</i> Cyberbedrohung, die auf Schwächen oder Fehler in Informatikmitteln zurückzuführen ist.</p></item></blockList></content></paragraph></article></chapter><chapter eId="chap_2"><num>2. Kapitel: </num><heading>Allgemeine Massnahmen</heading><section eId="chap_2/sec_1"><num>1. Abschnitt: </num><heading>Grundsätze</heading><article eId="art_6"><num><b>Art. 6</b></num><heading>Informationssicherheit</heading><paragraph eId="art_6/para_1"><num>1</num><content><p> Die verpflichteten Behörden und Organisationen sorgen dafür, dass der Schutzbedarf der Informationen, für die sie zuständig sind, hinsichtlich einer allfälligen Beeinträchtigung der Interessen nach Artikel 1 Absatz 2 beurteilt wird.</p></content></paragraph><paragraph eId="art_6/para_2"><num>2</num><content><blockList><listIntroduction eId="art_6/para_2/listintro"> Sie sorgen dafür, dass diese Informationen, ihrem Schutzbedarf entsprechend:</listIntroduction><item eId="art_6/para_2/lbl_a"><num>a. </num><p>nur Berechtigten zugänglich sind (Vertraulichkeit);</p></item><item eId="art_6/para_2/lbl_b"><num>b. </num><p>verfügbar sind, wenn sie benötigt werden (Verfügbarkeit);</p></item><item eId="art_6/para_2/lbl_c"><num>c. </num><p>nicht unberechtigt oder unbeabsichtigt verändert werden (Integrität);</p></item><item eId="art_6/para_2/lbl_d"><num>d. </num><p>nachvollziehbar bearbeitet werden (Nachvollziehbarkeit).</p></item></blockList></content></paragraph><paragraph eId="art_6/para_3"><num>3</num><content><p> Sie sorgen dafür, dass die Informatikmittel, die sie zur Erfüllung ihrer gesetzlichen Aufgaben einsetzen, vor Missbrauch und Störung geschützt werden.</p></content></paragraph><paragraph eId="art_6/para_4"><num>4</num><content><p> Sie tragen dabei den Grundsätzen der Zweckmässigkeit, der Wirtschaftlichkeit und der Benutzerfreundlichkeit Rechnung.</p></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Oberste Führungsverantwortung</heading><paragraph eId="art_7/para_1"><num>1</num><content><p> Die verpflichteten Behörden sorgen in ihrem Zuständigkeitsbereich dafür, dass die Informationssicherheit nach dem Stand von Wissenschaft und Technik organisiert, umgesetzt und überprüft wird.</p></content></paragraph><paragraph eId="art_7/para_2"><num>2</num><content><blockList><listIntroduction eId="art_7/para_2/listintro"> Sie legen fest:</listIntroduction><item eId="art_7/para_2/lbl_a"><num>a. </num><p>ihre Ziele für die Informationssicherheit;</p></item><item eId="art_7/para_2/lbl_b"><num>b. </num><p>die Eckwerte für den Umgang mit Risiken;</p></item><item eId="art_7/para_2/lbl_c"><num>c. </num><p>die Folgen bei Missachtung der Vorschriften.</p></item></blockList></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Risikomanagement</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> Die verpflichteten Behörden und Organisationen sorgen in ihrem Zuständigkeitsbereich dafür, dass die Risiken für die Informationssicherheit laufend beurteilt werden.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> Sie treffen die erforderlichen Massnahmen, um die Risiken zu vermeiden oder auf ein tragbares Mass zu reduzieren.</p></content></paragraph><paragraph eId="art_8/para_3"><num>3</num><content><p> Risiken, die getragen werden sollen, müssen nachweislich akzeptiert werden.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Zusammenarbeit mit Dritten</heading><paragraph eId="art_9/para_1"><num>1</num><content><p> Arbeiten die verpflichteten Behörden und Organisationen mit Dritten zusammen, so sorgen sie dafür, dass die Anforderungen und Massnahmen nach diesem Gesetz in den entsprechenden Vereinbarungen und Verträgen festgehalten werden.</p></content></paragraph><paragraph eId="art_9/para_2"><num>2</num><content><p> Sie sorgen für eine angemessene Überprüfung der Umsetzung der Massnahmen.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Vorgehen bei Verletzungen der Informationssicherheit</heading><paragraph eId="art_10/para_1"><num>1</num><content><p> Die verpflichteten Behörden und Organisationen sorgen dafür, dass Verletzungen der Informationssicherheit rasch erkannt, deren Ursachen abgeklärt und allfällige Auswirkungen minimiert werden.</p></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p> Die verpflichteten Behörden sorgen dafür, dass für allfällige schwerwiegende Verletzungen der Informationssicherheit, welche die Erfüllung unverzichtbarer Aufgaben des Bundes gefährden können, Vorsorgeplanungen erstellt und entsprechende Übungen durchgeführt werden.</p></content></paragraph></article><article eId="art_10_a"><num><b>Art. 10</b><i>a</i><authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Bearbeitung von Personendaten</heading><paragraph eId="art_10_a/para_1"><num>1</num><content><p> Die verpflichteten Behörden und Organisationen können die zur Gewährleistung der Informationssicherheit zweckmässigen Personendaten, insbesondere in dafür vorgesehenen Informationssystemen (ISMS-Anwendungen), bearbeiten.</p></content></paragraph><paragraph eId="art_10_a/para_2"><num>2</num><content><blockList><listIntroduction eId="art_10_a/para_2/listintro"> Sie können Personendaten nach Absatz 1 untereinander sowie mit nationalen, internationalen und ausländischen Organisationen des öffentlichen Rechts austauschen, sofern:</listIntroduction><item eId="art_10_a/para_2/lbl_a"><num>a. </num><p>dies zur Gewährleistung der Informationssicherheit zweckmässig ist;</p></item><item eId="art_10_a/para_2/lbl_b"><num>b. </num><p>keine gesetzlichen oder vertraglichen Geheimhaltungspflichten verletzt werden;</p></item><item eId="art_10_a/para_2/lbl_c"><num>c. </num><p>die Vorgaben der Bundesgesetzgebung über den Datenschutz eingehalten werden; und</p></item><item eId="art_10_a/para_2/lbl_d"><num>d. </num><p>diese Organisationen gesetzliche Aufgaben im Bereich der Informationssicherheit wahrnehmen, die denjenigen der bekanntgebenden Behörde oder Organisation entsprechen.</p></item></blockList></content></paragraph><paragraph eId="art_10_a/para_3"><num>3</num><content><p> Sie können ihre Informationssysteme, insbesondere die ISMS-Anwendungen, miteinander verknüpfen und Daten automatisch oder auf Anfrage über Schnittstellen austauschen.</p></content></paragraph><paragraph eId="art_10_a/para_4"><num>4</num><content><p> Sie können zur Einreichung und Bearbeitung von Anträgen und Meldungen im Bereich der Informationssicherheit digitale Formulare betreiben und diese mit ihren ISMS-Anwendungen oder anderen Informationssystemen verknüpfen.</p></content></paragraph><paragraph eId="art_10_a/para_5"><num>5</num><content><blockList><listIntroduction eId="art_10_a/para_5/listintro"> Sofern dies für die Bewältigung von Verletzungen der Informationssicherheit oder die Behebung von Schwachstellen erforderlich ist, können sie besonders schützenswerte Personendaten nach Artikel 5 Buchstabe c des Datenschutzgesetzes vom 25. September 2020<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>235.1</b></ref></p></authorialNote> (DSG) von Personen, die daran beteiligt oder davon betroffen sind respektive sein könnten:</listIntroduction><item eId="art_10_a/para_5/lbl_a"><num>a. </num><p>bearbeiten;</p></item><item eId="art_10_a/para_5/lbl_b"><num>b. </num><p>untereinander sowie mit nationalen, internationalen und ausländischen Organisationen des öffentlichen Rechts austauschen, sofern die Bedingung nach Absatz 2 Buchstabe b erfüllt ist.</p></item></blockList></content></paragraph><paragraph eId="art_10_a/para_6"><num>6</num><content><p> Sie dürfen die besonders schützenswerten Personendaten bis zwei Jahre nach der Bewältigung der Verletzungen der Informationssicherheit oder der Behebung der Schwachstellen aufbewahren, höchstens aber zehn Jahre.</p></content></paragraph><paragraph eId="art_10_a/para_7"><num>7</num><content><p> Die Archivierung der Daten richtet sich nach den Vorschriften der Archivierungsgesetzgebung.</p></content></paragraph><paragraph eId="art_10_a/para_8"><num>8</num><content><p> Die Bearbeitung von Personendaten durch das BACS<authorialNote><p> Ausdruck gemäss Ziff. I der V vom 7. März 2025, in Kraft seit 1. April 2025  (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/168" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2025</b> 168</ref>). Diese Änd. wurde im ganzen Erlass berücksichtigt.</p></authorialNote> zur Erfüllung seiner Aufgaben richtet sich nach den Artikeln 75–79.</p></content></paragraph></article></section><section eId="chap_2/sec_2"><num>2. Abschnitt: </num><heading>Klassifizierung von Informationen</heading><article eId="art_11"><num><b>Art. 11</b></num><heading>Grundsätze der Klassifizierung</heading><paragraph eId="art_11/para_1"><num>1</num><content><p> Die verpflichteten Behörden und Organisationen sorgen dafür, dass Informationen, welche die Kriterien nach Artikel 13 erfüllen, klassifiziert werden.</p></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><p> Die Klassifizierung ist auf das erforderliche Mindestmass zu beschränken und nach Möglichkeit zeitlich zu begrenzen.</p></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Zuständigkeiten</heading><paragraph eId="art_12/para_1"><num>1</num><content><p> Die verpflichteten Behörden legen fest, welche Personen und Stellen für das Klassifizieren der Informationen zuständig sind (klassifizierende Stellen).</p></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><p> Klassifizierungen dürfen nur von der klassifizierenden Stelle oder von der Stelle, die dieser übergeordnet ist, geändert oder aufgehoben werden.</p></content></paragraph><paragraph eId="art_12/para_3"><num>3</num><content><p> Der Bundesrat regelt die Entklassifizierung von Archivgut.</p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Klassifizierungsstufen</heading><paragraph eId="art_13/para_1"><num>1</num><content><p> Als «intern» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d beeinträchtigen kann.</p></content></paragraph><paragraph eId="art_13/para_2"><num>2</num><content><p> Als «vertraulich» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d erheblich beeinträchtigen kann.</p></content></paragraph><paragraph eId="art_13/para_3"><num>3</num><content><p> Als «geheim» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d schwerwiegend beeinträchtigen kann.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Zugang zu klassifizierten Informationen</heading><paragraph eId="art_14/para_1"><num>1</num><content><blockList><listIntroduction eId="art_14/para_1/listintro"> Zugang zu klassifizierten Informationen erhalten nur Personen, die Gewähr dafür bieten, dass sie damit sachgerecht umgehen, und:</listIntroduction><item eId="art_14/para_1/lbl_a"><num>a. </num><p>die Informationen zur Erfüllung einer gesetzlichen Aufgabe benötigen; oder</p></item><item eId="art_14/para_1/lbl_b"><num>b. </num><p>über eine vertraglich vereinbarte Zugangsberechtigung verfügen und die Informationen zur Erfüllung der ihnen übertragenen Aufgaben benötigen.</p></item></blockList></content></paragraph><paragraph eId="art_14/para_2"><num>2</num><content><p> Der Zugang zu klassifiziertem Archivgut richtet sich nach den Bestimmungen der Archivierungsgesetzgebung.</p></content></paragraph><paragraph eId="art_14/para_3"><num>3</num><content><p> Vorbehalten bleiben durch völkerrechtliche Verträge nach Artikel 87 geregelte Zugangsbeschränkungen.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Zugang zu klassifizierten Informationen in besonderen Verfahren</heading><paragraph eId="art_15/para_1"><num>1</num><content><p> Der Zugang zu klassifizierten Informationen in der Bundesversammlung, in den Parlamentsdiensten sowie in den Gerichten und Staatsanwaltschaften richtet sich nach dem jeweils anwendbaren Verfahrensrecht.</p></content></paragraph><paragraph eId="art_15/para_2"><num>2</num><content><p> Vor dem Entscheid, den Zugang zu einer Information nach Absatz 1 zu ermöglichen, kann das zuständige parlamentarische Organ oder das zuständige Gericht die klassifizierende Stelle anhören.</p></content></paragraph></article></section><section eId="chap_2/sec_3"><num>3. Abschnitt: </num><heading>Sicherheit beim Einsatz von Informatikmitteln</heading><article eId="art_16"><num><b>Art. 16</b></num><heading>Sicherheitsverfahren</heading><paragraph eId="art_16/para_1"><num>1</num><content><p> Die verpflichteten Behörden legen ein Verfahren zur Gewährleistung der Informationssicherheit beim Einsatz von Informatikmitteln fest (Sicherheitsverfahren).</p></content></paragraph><paragraph eId="art_16/para_2"><num>2</num><content><blockList><listIntroduction eId="art_16/para_2/listintro"> Das Sicherheitsverfahren umfasst insbesondere:</listIntroduction><item eId="art_16/para_2/lbl_a"><num>a. </num><p>die Beurteilung des Schutzbedarfs der Informationen vor dem Einsatz von Informatikmitteln;</p></item><item eId="art_16/para_2/lbl_b"><num>b. </num><p>die Umsetzung von Sicherheitsmassnahmen und deren Überprüfung;</p></item><item eId="art_16/para_2/lbl_c"><num>c. </num><p>die Zuständigkeit für die Sicherheitsfreigabe von Informatikmitteln;</p></item><item eId="art_16/para_2/lbl_d"><num>d. </num><p>das Vorgehen bei Veränderung der Risiken.</p></item></blockList></content></paragraph><paragraph eId="art_16/para_3"><num>3</num><content><p> Für die Durchführung des Sicherheitsverfahrens ist die verpflichtete Behörde oder Organisation zuständig, die den Einsatz der Informatikmittel beschliesst.</p></content></paragraph></article><article eId="art_17"><num><b>Art. 17</b></num><heading>Sicherheitsstufen</heading><paragraph eId="art_17/para_1"><num>1</num><content><p> Die Sicherheitsstufe «Grundschutz» gilt für sämtliche Informatikmittel, sofern diese nicht höher eingestuft werden müssen.</p></content></paragraph><paragraph eId="art_17/para_2"><num>2</num><content><blockList><listIntroduction eId="art_17/para_2/listintro"> Die Sicherheitsstufe «hoher Schutz» gilt für Informatikmittel, wenn:</listIntroduction><item eId="art_17/para_2/lbl_a"><num>a. </num><p>eine Verletzung der Vertraulichkeit, Verfügbarkeit, Integrität oder Nachvollziehbarkeit der Informationen, die damit bearbeitet werden, die Interessen nach Artikel 1 Absatz 2 erheblich beeinträchtigen kann;</p></item><item eId="art_17/para_2/lbl_b"><num>b. </num><p>ein Missbrauch oder eine Störung des Informatikmittels die Interessen nach Artikel 1 Absatz 2 erheblich beeinträchtigen kann.</p></item></blockList></content></paragraph><paragraph eId="art_17/para_3"><num>3</num><content><blockList><listIntroduction eId="art_17/para_3/listintro"> Die Sicherheitsstufe «sehr hoher Schutz» gilt für Informatikmittel, wenn:</listIntroduction><item eId="art_17/para_3/lbl_a"><num>a. </num><p>eine Verletzung der Vertraulichkeit, Verfügbarkeit, Integrität oder Nachvollziehbarkeit der Informationen, die damit bearbeitet werden, die Interessen nach Artikel 1 Absatz 2 schwerwiegend beeinträchtigen kann;</p></item><item eId="art_17/para_3/lbl_b"><num>b. </num><p>ein Missbrauch oder eine Störung des Informatikmittels die Interessen nach Artikel 1 Absatz 2 schwerwiegend beeinträchtigen kann.</p></item></blockList></content></paragraph></article><article eId="art_18"><num><b>Art. 18</b></num><heading>Sicherheitsmassnahmen</heading><paragraph eId="art_18/para_1"><num>1</num><content><p> Die verpflichteten Behörden legen die Mindestanforderungen für die Sicherheitsstufen nach Artikel 17 fest.</p></content></paragraph><paragraph eId="art_18/para_2"><num>2</num><content><p> Die Mindestanforderungen der Sicherheitsstufe «Grundschutz» müssen sämtliche Informatikmittel erfüllen.</p></content></paragraph><paragraph eId="art_18/para_3"><num>3</num><content><p> Bei Informatikmitteln der Sicherheitsstufe «sehr hoher Schutz» muss die Wirksamkeit der Massnahmen periodisch geprüft werden.</p></content></paragraph></article><article eId="art_19"><num><b>Art. 19</b></num><heading>Sicherheit beim Betrieb</heading><paragraph eId="art_19/para_1"><num>1</num><content><p> Die verpflichteten Behörden und Organisationen gewährleisten die Sicherheit der Informatikmittel, die sie für sich selbst oder im Auftrag einer anderen Behörde oder Organisation betreiben.</p></content></paragraph><paragraph eId="art_19/para_2"><num>2</num><content><p> Die Bearbeitung von Personendaten im Rahmen der Netzwerküberwachung richtet sich sinngemäss nach den Artikeln 57<i>i</i>–57<i>q</i> RVOG<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2022_2022_2022" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.010</b></ref></p></authorialNote>.</p></content></paragraph></article></section><section eId="chap_2/sec_4"><num>4. Abschnitt: </num><heading>Personelle Massnahmen</heading><article eId="art_20"><num><b>Art. 20</b></num><heading>Voraussetzungen für den Zugang zu Informationen und Informatikmitteln des Bundes</heading><paragraph eId="art_20/para_1"><num>1</num><content><blockList><listIntroduction eId="art_20/para_1/listintro"> Die verpflichteten Behörden und Organisationen sorgen dafür, dass Personen, die Zugang zu Informationen, Informatikmitteln, Räumlichkeiten und anderen Infrastrukturen des Bundes haben:</listIntroduction><item eId="art_20/para_1/lbl_a"><num>a. </num><p>sorgfältig ausgewählt werden;</p></item><item eId="art_20/para_1/lbl_b"><num>b. </num><p>risikogerecht identifiziert werden;</p></item><item eId="art_20/para_1/lbl_c"><num>c. </num><p>stufengerecht aus- und weitergebildet werden;</p></item><item eId="art_20/para_1/lbl_d"><num>d. </num><p>gegebenenfalls zur Geheimhaltung verpflichtet werden.</p></item></blockList></content></paragraph><paragraph eId="art_20/para_2"><num>2</num><content><p> Sie können biometrische Verifikationsmethoden verwenden, wenn dies zur risikogerechten Identifizierung von Personen erforderlich ist. Die biometrischen Daten werden nach dem Wegfall der Zugangsberechtigung vernichtet.</p></content></paragraph><paragraph eId="art_20/para_3"><num>3</num><content><p> Sie können zudem die AHV-Nummer nach Artikel 50<i>c </i>des Bundesgesetzes vom 20. Dezember 1946<inline name="man-color-211D1E"><authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/63/837_843_843" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>831.10</b></ref></p></authorialNote></inline> über die Alters- und Hinterlassenenversicherung (AHV-Nummer) systematisch als Personenidentifikator verwenden.<authorialNote><p> Fassung gemäss Anhang Ziff. 40 des BG vom 18. Dez. 2020 (Systematische Verwendung der AHV-Nummer durch Behörden), in Kraft seit 1. Jan. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2021/758" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2021</b> 758</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2019/2681" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2019 </b>7359</ref>).</p></authorialNote></p></content></paragraph></article><article eId="art_21"><num><b>Art. 21</b></num><heading>Restriktive Erteilung von Berechtigungen</heading><paragraph eId="art_21/para_1"><num>1</num><content><p> Die verpflichteten Behörden und Organisationen sorgen dafür, dass nur diejenigen Berechtigungen für den Zugang zu Informationen, Informatikmitteln, Räumlichkeiten und anderen Infrastrukturen des Bundes erteilt werden, welche die betreffenden Personen zur Erfüllung ihrer Aufgaben benötigen.</p></content></paragraph><paragraph eId="art_21/para_2"><num>2</num><content><p> Die Berechtigungen werden entzogen, sobald die Anstellung oder der Vertrag endet oder die Aufgabe erfüllt ist. Sie dürfen ohne Vorankündigung gesperrt oder entzogen werden, wenn konkrete Anhaltspunkte für eine Gefährdung der Sicherheit vorliegen.</p></content></paragraph></article></section><section eId="chap_2/sec_5"><num>5. Abschnitt: </num><heading>Physischer Schutz</heading><article eId="art_22"><num><b>Art. 22</b></num><heading>Grundsatz</heading><paragraph eId="art_22/para"><content><p>Die verpflichteten Behörden und Organisationen sorgen für einen angemessenen physischen Schutz der Informationen und Informatikmittel, für die sie zuständig sind, vor Missbrauch und Störung.</p></content></paragraph></article><article eId="art_23"><num><b>Art. 23</b></num><heading>Sicherheitszonen</heading><paragraph eId="art_23/para_1"><num>1</num><content><blockList><listIntroduction eId="art_23/para_1/listintro"> Die verpflichteten Behörden und Organisationen können Räumlichkeiten und Bereiche als Sicherheitszone bezeichnen, in denen:</listIntroduction><item eId="art_23/para_1/lbl_a"><num>a. </num><p>häufig «vertraulich» oder «geheim» klassifizierte Informationen bearbeitet werden; oder</p></item><item eId="art_23/para_1/lbl_b"><num>b. </num><p>Informatikmittel der Sicherheitsstufe «hoher Schutz» oder «sehr hoher Schutz» betrieben werden.</p></item></blockList></content></paragraph><paragraph eId="art_23/para_2"><num>2</num><content><blockList><listIntroduction eId="art_23/para_2/listintro"> Sie sind befugt:</listIntroduction><item eId="art_23/para_2/lbl_a"><num>a. </num><p>das Mitführen bestimmter Gegenstände, insbesondere von Aufnahmegeräten, zu verbieten;</p></item><item eId="art_23/para_2/lbl_b"><num>b. </num><p>sicherheitsempfindliche Bereiche mit Aufnahmegeräten zu überwachen;</p></item><item eId="art_23/para_2/lbl_c"><num>c. </num><p>Taschen- und Personenkontrollen durchzuführen;</p></item><item eId="art_23/para_2/lbl_d"><num>d. </num><p>unangemeldet Raumkontrollen, auch in Abwesenheit der Angestellten, durchzuführen.</p></item></blockList></content></paragraph><paragraph eId="art_23/para_3"><num>3</num><content><p> Sie können in Sicherheitszonen, in denen «geheim» klassifizierte Informationen häufig bearbeitet oder Informatikmittel der Sicherheitsstufe «sehr hoher Schutz» betrieben werden, störende Fernmeldeanlagen nach Artikel 34 Absatz 1<sup>ter</sup> des Fernmeldegesetzes vom 30. April 1997<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>784.10</b></ref></p></authorialNote> (FMG) betreiben.</p></content></paragraph><paragraph eId="art_23/para_4"><num>4</num><content><p> Vorbehalten bleiben die besonderen Vorschriften für Sicherheitszonen gemäss völkerrechtlichen Verträgen nach Artikel 87 sowie für Schutzzonen von Anlagen nach der Gesetzgebung über den Schutz militärischer Anlagen.</p></content></paragraph></article></section><section eId="chap_2/sec_6"><num>6. Abschnitt: </num><heading>Identitätsverwaltungs-Systeme</heading><article eId="art_24"><num><b>Art. 24</b></num><heading>Einsatz von Identitätsverwaltungs-Systemen</heading><paragraph eId="art_24/para_1"><num>1</num><content><p> Die verpflichteten Behörden können zur zentralen Verwaltung der Daten zur Identifizierung von Personen, die Zugang zu Informationen, Informatikmitteln, Räumlichkeiten und anderen Infrastrukturen haben, Informationssysteme betreiben (Identitätsverwaltungs-Systeme).</p></content></paragraph><paragraph eId="art_24/para_2"><num>2</num><content><p> Die Identitätsverwaltungs-Systeme prüfen die Identität und berechtigungsbezogene Eigenschaften von Personen, Maschinen und Systemen. Sie übermitteln das Resultat an die angeschlossenen Informationssysteme, damit diese die Berechtigungen ermitteln können.</p></content></paragraph><paragraph eId="art_24/para_3"><num>3</num><content><p> Die verpflichteten Behörden bezeichnen für jedes Identitätsverwaltungs-System eine verantwortliche Stelle.</p></content></paragraph></article><article eId="art_25"><num><b>Art. 25</b></num><heading>Datenaustausch und -abgleich</heading><paragraph eId="art_25/para_1"><num>1</num><content><p> Die Identitätsverwaltungs-Systeme können mit den angeschlossenen Informationssystemen, mit Personal- und Benutzerverzeichnissen und mit anderen Identitätsverwaltungs-Systemen von verpflichteten Behörden Daten austauschen und abgleichen.</p></content></paragraph><paragraph eId="art_25/para_2"><num>2</num><content><p> Der Austausch und Abgleich ist auf die Daten zu begrenzen, die im jeweiligen System bearbeitet werden dürfen.</p></content></paragraph></article><article eId="art_26"><num><b>Art. 26</b></num><heading>Ausführungsbestimmungen</heading><paragraph eId="art_26/para"><content><blockList><listIntroduction eId="art_26/para/listintro">Die verpflichteten Behörden erlassen Ausführungsbestimmungen insbesondere über:</listIntroduction><item eId="art_26/para/lbl_a"><num>a. </num><p>den Datenschutz und die Datensicherheit;</p></item><item eId="art_26/para/lbl_b"><num>b. </num><p>die bearbeiteten Personendaten;</p></item><item eId="art_26/para/lbl_c"><num>c. </num><p>den Datenaustausch und -abgleich mit anderen Systemen;</p></item><item eId="art_26/para/lbl_d"><num>d. </num><p>die Protokollierung und die Weitergabe von Protokolldaten an die angeschlossenen Informationssysteme;</p></item><item eId="art_26/para/lbl_e"><num>e. </num><p>die periodische Kontrolle der Bearbeitung von Personendaten durch eine externe Stelle.</p></item></blockList></content></paragraph></article></section></chapter><chapter eId="chap_3"><num>3. Kapitel: </num><heading>Personensicherheitsprüfung</heading><section eId="chap_3/sec_1"><num>1. Abschnitt: </num><heading>Allgemeine Bestimmungen</heading><article eId="art_27"><num><b>Art. 27</b></num><heading>Prüfzweck und Prüfungsinhalt</heading><paragraph eId="art_27/para_1"><num>1</num><content><p> Die Personensicherheitsprüfung dient zur Beurteilung, ob ein Risiko für die Informationssicherheit bestehen könnte, wenn eine Person im Rahmen ihrer Funktion oder eines Auftrags eine sicherheitsempfindliche Tätigkeit ausübt.</p></content></paragraph><paragraph eId="art_27/para_2"><num>2</num><content><p> Zu diesem Zweck werden sicherheitsrelevante Daten über die Lebensführung der zu prüfenden Person, insbesondere über ihre engen persönlichen Beziehungen und familiären Verhältnisse, ihre finanzielle Lage und ihre Beziehungen zum Ausland, bearbeitet.</p></content></paragraph><paragraph eId="art_27/para_3"><num>3</num><content><p> Daten über die Ausübung verfassungsmässiger Rechte dürfen nur dann bearbeitet werden, wenn ein konkreter Verdacht besteht, dass die zu prüfende Person diese Rechte ausübt, um Tätigkeiten vorzubereiten oder auszuüben, welche die Interessen nach Artikel 1 Absatz 2 erheblich beeinträchtigen können.</p></content></paragraph></article><article eId="art_28"><num><b>Art. 28</b></num><heading>Funktionenliste</heading><paragraph eId="art_28/para_1"><num>1</num><content><p> Die verpflichteten Behörden erlassen für ihren Zuständigkeitsbereich eine Liste der Funktionen, welche die Ausübung einer sicherheitsempfindlichen Tätigkeit erfordern.</p></content></paragraph><paragraph eId="art_28/para_2"><num>2</num><content><p> Sie prüfen periodisch die Richtigkeit der Liste und passen sie an.</p></content></paragraph></article><article eId="art_29"><num><b>Art. 29</b></num><heading>Zu prüfende Personen</heading><paragraph eId="art_29/para_1"><num>1</num><content><blockList><listIntroduction eId="art_29/para_1/listintro"> Eine Personensicherheitsprüfung wird durchgeführt bei:</listIntroduction><item eId="art_29/para_1/lbl_a"><num>a. </num><p>Angestellten des Bundes, externen Mitarbeitenden und Angehörigen der Armee, die eine Funktion ausüben, die in einer Liste nach Artikel 28 enthalten ist;</p></item><item eId="art_29/para_1/lbl_b"><num>b. </num><p>Angestellten eines Kantons, die eine sicherheitsempfindliche Tätigkeit ausüben;</p></item><item eId="art_29/para_1/lbl_c"><num>c. </num><p>Dritten, die für eine verpflichtete Behörde oder Organisation einen Auftrag ausführen, der die Ausübung einer sicherheitsempfindlichen Tätigkeit einschliesst;</p></item><item eId="art_29/para_1/lbl_d"><num>d. </num><p>Personen, die aufgrund eines völkerrechtlichen Vertrags nach Artikel 87 einer Personensicherheitsprüfung unterzogen werden müssen.</p></item></blockList></content></paragraph><paragraph eId="art_29/para_2"><num>2</num><content><p> Soll eine Person von einer ausländischen Behörde oder internationalen Organisation mit der Ausübung einer sicherheitsempfindlichen Tätigkeit betraut werden, so wird die Personensicherheitsprüfung durchgeführt, sofern die Schweiz mit dem betreffenden Staat oder der betreffenden internationalen Organisation einen völkerrechtlichen Vertrag nach Artikel 87 abgeschlossen hat.</p></content></paragraph><paragraph eId="art_29/para_3"><num>3</num><content><p> Personen, die eine Funktion ausüben, die noch nicht in einer Liste nach Artikel 28 enthalten ist, können mit Zustimmung der verpflichteten Behörde ausnahmsweise einer Personensicherheitsprüfung unterzogen werden. Die betreffende Liste muss bei nächster Gelegenheit angepasst werden.</p></content></paragraph><paragraph eId="art_29/para_4"><num>4</num><content><blockList><listIntroduction eId="art_29/para_4/listintro"> Nicht durchgeführt wird die Personensicherheitsprüfung bei Anwärterinnen und Anwärtern auf folgende Funktionen:</listIntroduction><item eId="art_29/para_4/lbl_a"><num>a. </num><p>Mitglied der Bundesversammlung;</p></item><item eId="art_29/para_4/lbl_b"><num>b. </num><p>Mitglied des Bundesrates, Bundeskanzlerin oder Bundeskanzler;</p></item><item eId="art_29/para_4/lbl_c"><num>c. </num><p>Richterin oder Richter eines eidgenössischen Gerichts;</p></item><item eId="art_29/para_4/lbl_d"><num>d. </num><p>Bundesanwältin oder Bundesanwalt;</p></item><item eId="art_29/para_4/lbl_e"><num>e. </num><p>Mitglied der Aufsichtsbehörde über die Bundesanwaltschaft;</p></item><item eId="art_29/para_4/lbl_ebis"><num>e<sup>bis</sup>.<authorialNote><p> Eingefügt durch Ziff. I der BG vom 17. Juni 2022 (Leiterin oder Leiter des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten), in Kraft seit 1. Jan. 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/734" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2023</b> 734</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2022/345" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2022</b> 345</ref>, <ref href="https://fedlex.data.admin.ch/eli/fga/2022/432" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">432</ref>).</p></authorialNote> </num><p>Leiterin oder Leiter des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten;</p></item><item eId="art_29/para_4/lbl_f"><num>f. </num><p>General;</p></item><item eId="art_29/para_4/lbl_g"><num>g. </num><p>kantonale Magistratsperson, die vom Volk oder vom kantonalen Parlament gewählt wird.</p></item></blockList></content></paragraph></article><article eId="art_30"><num><b>Art. 30</b></num><heading>Prüfstufen</heading><paragraph eId="art_30/para"><content><blockList><listIntroduction eId="art_30/para/listintro">Die verpflichteten Behörden ordnen den sicherheitsempfindlichen Tätigkeiten eine der folgenden Prüfstufen zu:</listIntroduction><item eId="art_30/para/lbl_a"><num>a. </num><p>Grundsicherheitsprüfung: für sicherheitsempfindliche Tätigkeiten, bei deren vorschriftswidriger oder unsachgemässer Ausübung die Interessen nach Artikel 1 Absatz 2 erheblich beeinträchtigt werden können;</p></item><item eId="art_30/para/lbl_b"><num>b. </num><p>erweiterte Personensicherheitsprüfung: für sicherheitsempfindliche Tätigkeiten, bei deren vorschriftswidriger oder unsachgemässer Ausübung die Interessen nach Artikel 1 Absatz 2 schwerwiegend beeinträchtigt werden können.</p></item></blockList></content></paragraph></article></section><section eId="chap_3/sec_2"><num>2. Abschnitt: </num><heading>Durchführung</heading><article eId="art_31"><num><b>Art. 31</b></num><heading>Zuständige Stellen</heading><paragraph eId="art_31/para_1"><num>1</num><content><blockList><listIntroduction eId="art_31/para_1/listintro"> Die verpflichteten Behörden und die Kantone legen fest, welche Stellen zuständig sind für:</listIntroduction><item eId="art_31/para_1/lbl_a"><num>a. </num><p>die Einleitung der Personensicherheitsprüfungen (einleitende Stellen);</p></item><item eId="art_31/para_1/lbl_b"><num>b. </num><p>den Entscheid über die Ausübung der sicherheitsempfindlichen Tätigkeit (entscheidende Stellen).</p></item></blockList></content></paragraph><paragraph eId="art_31/para_2"><num>2</num><content><p> Der Bundesrat setzt für die Durchführung der Personensicherheitsprüfungen eine oder mehrere Fachstellen ein (Fachstellen PSP). Diese sind in ihrer Beurteilung weisungsungebunden.</p></content></paragraph></article><article eId="art_32"><num><b>Art. 32</b></num><heading>Einwilligung und Mitwirkung</heading><paragraph eId="art_32/para_1"><num>1</num><content><p> Personensicherheitsprüfungen dürfen nur mit der Einwilligung der zu prüfenden Person durchgeführt werden.</p></content></paragraph><paragraph eId="art_32/para_2"><num>2</num><content><p> Stellungspflichtige sowie Angehörige der Armee und des Zivilschutzes dürfen ohne deren Einwilligung geprüft werden.</p></content></paragraph><paragraph eId="art_32/para_3"><num>3</num><content><p> Die zu prüfende Person ist verpflichtet, an der Feststellung des Sachverhalts mitzuwirken.</p></content></paragraph></article><article eId="art_33"><num><b>Art. 33</b></num><heading>Zeitpunkt der Personensicherheitsprüfung</heading><paragraph eId="art_33/para_1"><num>1</num><content><p> Bei Personen nach Artikel 29 Absatz 1 Buchstaben a und b muss die Personensicherheitsprüfung eingeleitet werden, bevor die Funktion übertragen wird.</p></content></paragraph><paragraph eId="art_33/para_2"><num>2</num><content><p> Bei Personen nach Artikel 29 Absatz 1 Buchstabe a, die dem Bundesrat zur Wahl vorgeschlagen werden sollen, muss die Personensicherheitsprüfung abgeschlossen sein, bevor die Person zur Wahl vorgeschlagen wird.</p></content></paragraph><paragraph eId="art_33/para_3"><num>3</num><content><p> Bei Personen nach Artikel 29 Absatz 1 Buchstabe c muss die Personensicherheitsprüfung abgeschlossen sein, bevor sie mit der Ausübung der sicherheitsempfindlichen Tätigkeit beauftragt wird.</p></content></paragraph><paragraph eId="art_33/para_4"><num>4</num><content><p> Bei Personen nach Artikel 29 Absatz 1 Buchstabe d richtet sich der Zeitpunkt der Personensicherheitsprüfung nach den Bestimmungen des entsprechenden Vertrags.</p></content></paragraph></article><article eId="art_34"><num><b>Art. 34</b></num><heading>Datenerhebung</heading><paragraph eId="art_34/para_1"><num>1</num><content><blockList><listIntroduction eId="art_34/para_1/listintro"> Die Fachstelle PSP kann für die Grundsicherheitsprüfung aus folgenden Quellen Daten über die zu prüfende Person erheben:</listIntroduction><item eId="art_34/para_1/lbl_a"><num>a. </num><p>aus dem Strafregister;</p></item><item eId="art_34/para_1/lbl_b"><num>b. </num><p>bei den Strafbehörden durch Einholen von Auskünften und Akten über laufende, abgeschlossene oder eingestellte Strafverfahren;</p></item><item eId="art_34/para_1/lbl_c"><num>c. </num><p>bei den Sicherheitsorganen des Bundes, dem Nachrichtendienst des Bundes (NDB), den Organen der Armee sowie weiteren Organen des Bundes, sofern diese Daten bearbeiten, die für die Beurteilung des Sicherheitsrisikos erforderlich sind;</p></item><item eId="art_34/para_1/lbl_d"><num>d. </num><p>aus den Registern und Akten der Sicherheitsorgane der Kantone sowie der Polizei;</p></item><item eId="art_34/para_1/lbl_e"><num>e. </num><p>aus den Registern der Betreibungs- und Konkursbehörden;</p></item><item eId="art_34/para_1/lbl_f"><num>f. </num><p>aus den Akten bisheriger Personensicherheitsprüfungen;</p></item><item eId="art_34/para_1/lbl_g"><num>g. </num><p>aus öffentlich zugänglichen Quellen.</p></item></blockList></content></paragraph><paragraph eId="art_34/para_2"><num>2</num><content><blockList><listIntroduction eId="art_34/para_2/listintro"> Sie kann für die erweiterte Personensicherheitsprüfung zudem aus folgenden Quellen Daten erheben:</listIntroduction><item eId="art_34/para_2/lbl_a"><num>a. </num><p>bei den eidgenössischen und kantonalen Steuerbehörden;</p></item><item eId="art_34/para_2/lbl_b"><num>b. </num><p>aus den Registern der Einwohnerkontrollen;</p></item><item eId="art_34/para_2/lbl_c"><num>c. </num><p>bei Finanzinstituten und Banken, mit welchen die zu prüfende Person Geschäftsbeziehungen unterhält;</p></item><item eId="art_34/para_2/lbl_d"><num>d. </num><p>durch Befragung der zu prüfenden Person.</p></item></blockList></content></paragraph><paragraph eId="art_34/para_3"><num>3</num><content><p> Ergeben sich gestützt auf die erhobenen Daten konkrete Hinweise auf ein Sicherheitsrisiko oder sind für die Beurteilung nicht genügend Daten über einen hinreichenden Zeitraum vorhanden, so kann die Fachstelle PSP die zu prüfende Person befragen. Sie kann mit der Einwilligung der zu prüfenden Person auch Dritte befragen; sie macht die Drittperson darauf aufmerksam, dass die Auskunft freiwillig ist.</p></content></paragraph><paragraph eId="art_34/para_4"><num>4</num><content><p> Daten über Dritte, die untrennbar mit Daten über die zu prüfende Person verbunden sind, dürfen nur bearbeitet werden, wenn dies für die Beurteilung des Sicherheitsrisikos unerlässlich ist. Die Fachstelle PSP informiert die betroffenen Dritten über die Bearbeitung.</p></content></paragraph></article><article eId="art_35"><num><b>Art. 35</b></num><heading>Amtshilfe</heading><paragraph eId="art_35/para_1"><num>1</num><content><p> Müssen die Daten bei einer ausländischen Behörde oder internationalen Organisation erhoben werden, so erfolgt dies über die zuständige Behörde oder Organisation nach Artikel 34.</p></content></paragraph><paragraph eId="art_35/para_2"><num>2</num><content><p> Ergibt die Datenerhebung konkrete Hinweise auf das organisierte oder internationale Verbrechen, so konsultiert die Fachstelle PSP die kriminalpolizeilichen Zentralstellen des Bundes. Die Zentralstellen geben der Fachstelle PSP nur sicherheitsrelevante Personendaten bekannt.</p></content></paragraph></article><article eId="art_36"><num><b>Art. 36</b></num><heading>Kostentragung</heading><paragraph eId="art_36/para_1"><num>1</num><content><p> Behörden und Organisationen des öffentlichen Rechts, bei denen Daten erhoben werden dürfen oder die am Verfahren mitwirken müssen, sind verpflichtet, unentgeltlich mitzuwirken.</p></content></paragraph><paragraph eId="art_36/para_2"><num>2</num><content><p> Entsteht für Dritte durch die Mitwirkung ein erheblicher Aufwand, so werden sie dafür entschädigt.</p></content></paragraph><paragraph eId="art_36/para_3"><num>3</num><content><p> Der Bund trägt die Kosten der Personensicherheitsprüfungen von Angestellten der Kantone nach Artikel 29 Absatz 1 Buchstabe b.</p></content></paragraph></article><article eId="art_37"><num><b>Art. 37</b></num><heading>Einstellung</heading><paragraph eId="art_37/para_1"><num>1</num><content><p> Die Fachstelle PSP stellt das Prüfverfahren ein, wenn die zu prüfende Person ihre Einwilligung zurückzieht oder für die Funktion oder für den Auftrag nicht mehr in Frage kommt.</p></content></paragraph><paragraph eId="art_37/para_2"><num>2</num><content><p> Sie teilt die Einstellung des Prüfverfahrens der betreffenden Person und der einleitenden Stelle mit. Die betreffende Person gilt damit als nicht geprüft.</p></content></paragraph></article></section><section eId="chap_3/sec_3"><num>3. Abschnitt: </num><heading>Beurteilung des Sicherheitsrisikos</heading><article eId="art_38"><num><b>Art. 38</b></num><heading>Sicherheitsrisiko</heading><paragraph eId="art_38/para_1"><num>1</num><content><p> Ein Sicherheitsrisiko besteht, wenn aufgrund der erhobenen Daten konkrete Anhaltspunkte vorliegen, dass die geprüfte Person die sicherheitsempfindliche Tätigkeit mit hoher Wahrscheinlichkeit vorschriftswidrig oder unsachgemäss ausüben wird.</p></content></paragraph><paragraph eId="art_38/para_2"><num>2</num><content><blockList><listIntroduction eId="art_38/para_2/listintro"> Die Wahrscheinlichkeit einer vorschriftswidrigen oder unsachgemässen Ausübung der sicherheitsempfindlichen Tätigkeit kann insbesondere dann als hoch gelten, wenn konkrete Anhaltspunkte für folgende persönliche Eigenschaften vorliegen:</listIntroduction><item eId="art_38/para_2/lbl_a"><num>a. </num><p>mangelnde persönliche Integrität oder Vertrauenswürdigkeit;</p></item><item eId="art_38/para_2/lbl_b"><num>b. </num><p>Erpressbarkeit oder Bestechlichkeit; oder</p></item><item eId="art_38/para_2/lbl_c"><num>c. </num><p>beeinträchtigtes Urteils- oder Entscheidungsvermögen.</p></item></blockList></content></paragraph><paragraph eId="art_38/para_3"><num>3</num><content><p> Das Sicherheitsrisiko muss ungeachtet des Verschuldens der geprüften Person aufgrund der tatsächlichen Umstände ihrer persönlichen Verhältnisse festgestellt werden.</p></content></paragraph></article><article eId="art_39"><num><b>Art. 39</b></num><heading>Ergebnis der Beurteilung</heading><paragraph eId="art_39/para_1"><num>1</num><content><blockList><listIntroduction eId="art_39/para_1/listintro"> Die Fachstelle PSP stellt das Ergebnis der Beurteilung als eine der folgenden Erklärungen mit der nachstehenden Bedeutung aus:</listIntroduction><item eId="art_39/para_1/lbl_a"><num>a. </num><p>Sicherheitserklärung: Es besteht kein Sicherheitsrisiko.</p></item><item eId="art_39/para_1/lbl_b"><num>b. </num><p>Sicherheitserklärung mit Vorbehalt: Es besteht ein Sicherheitsrisiko, das mit Auflagen auf ein tragbares Mass reduziert werden kann. Die Fachstelle PSP empfiehlt entsprechende Auflagen.</p></item><item eId="art_39/para_1/lbl_c"><num>c. </num><p>Risikoerklärung: Es besteht ein Sicherheitsrisiko.</p></item><item eId="art_39/para_1/lbl_d"><num>d. </num><p>Feststellungserklärung: Für die Beurteilung des Sicherheitsrisikos sind nicht genügend Daten über einen hinreichenden Zeitraum vorhanden.</p></item></blockList></content></paragraph><paragraph eId="art_39/para_2"><num>2</num><content><p> Bevor die Fachstelle PSP eine Erklärung nach Absatz 1 Buchstaben b–d ausstellt, gibt sie der geprüften Person die Möglichkeit zur Stellungnahme.</p></content></paragraph></article><article eId="art_40"><num><b>Art. 40</b></num><heading>Mitteilung</heading><paragraph eId="art_40/para_1"><num>1</num><content><p> Die Fachstelle PSP teilt ihre Erklärung der geprüften Person sowie der entscheidenden Stelle schriftlich mit.</p></content></paragraph><paragraph eId="art_40/para_2"><num>2</num><content><p> Bei den vom Bundesrat zu wählenden Personen teilt die Fachstelle PSP ihre Erklärung dem antragstellenden Departement mit.</p></content></paragraph><paragraph eId="art_40/para_3"><num>3</num><content><blockList><listIntroduction eId="art_40/para_3/listintro"> Sie kann einer anderen entscheidenden Stelle die Erklärung mitteilen, wenn die geprüfte Person:</listIntroduction><item eId="art_40/para_3/lbl_a"><num>a. </num><p>für eine andere sicherheitsempfindliche Tätigkeit nach diesem Gesetz einer Personensicherheitsprüfung untersteht;</p></item><item eId="art_40/para_3/lbl_b"><num>b. </num><p>einer Prüfung der Vertrauenswürdigkeit nach einem anderen Bundesgesetz untersteht;</p></item><item eId="art_40/para_3/lbl_c"><num>c. </num><p>als Angehörige der Armee einer Prüfung nach Artikel 113 des Militärgesetzes vom 3. Februar 1995<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1995/4093_4093_4093" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>510.10</b></ref></p></authorialNote> untersteht.</p></item></blockList></content></paragraph><paragraph eId="art_40/para_4"><num>4</num><content><p> Liegen der Fachstelle PSP bereits vor Abschluss der Beurteilung konkrete Anhaltspunkte vor, dass ein Sicherheitsrisiko bestehen könnte, so kann sie den Stellen nach den Absätzen 1–3 sowie der zu prüfenden Person die vorläufigen Erkenntnisse schriftlich mitteilen.</p></content></paragraph></article></section><section eId="chap_3/sec_4"><num>4. Abschnitt: </num><heading>Folgen der Erklärung</heading><article eId="art_41"><num><b>Art. 41</b></num><heading>Ausübung der sicherheitsempfindlichen Tätigkeit</heading><paragraph eId="art_41/para_1"><num>1</num><content><p> Die Erklärungen der Fachstellen PSP haben empfehlenden Charakter.</p></content></paragraph><paragraph eId="art_41/para_2"><num>2</num><content><p> Die Stelle nach Artikel 31 Absatz 1 Buchstabe b entscheidet nach Kenntnisnahme<span> </span>der Erklärung ob die geprüfte Person die sicherheitsempfindliche Tätigkeit ausüben darf.</p></content></paragraph><paragraph eId="art_41/para_3"><num>3</num><content><p> Sie kann die Ausübung der sicherheitsempfindlichen Tätigkeit mit Auflagen verbinden.</p></content></paragraph><paragraph eId="art_41/para_4"><num>4</num><content><p> Sie teilt ihren Entscheid der Fachstelle PSP mit.</p></content></paragraph></article><article eId="art_42"><num><b>Art. 42</b></num><heading>Mehrmalige Verwendung einer Erklärung</heading><paragraph eId="art_42/para"><content><blockList><listIntroduction eId="art_42/para/listintro">Auf die Durchführung der Personensicherheitsprüfung kann verzichtet werden, wenn für die betreffende Person bereits eine Erklärung derselben oder der höheren Prüfstufe ausgestellt wurde:</listIntroduction><item eId="art_42/para/lbl_a"><num>a. </num><p>für eine andere sicherheitsempfindliche Tätigkeit nach diesem Gesetz;</p></item><item eId="art_42/para/lbl_b"><num>b. </num><p>im Rahmen einer Prüfung der Vertrauenswürdigkeit nach einem anderen Bundesgesetz.</p></item></blockList></content></paragraph></article><article eId="art_43"><num><b>Art. 43</b></num><heading>Wiederholung</heading><paragraph eId="art_43/para_1"><num>1</num><content><blockList><listIntroduction eId="art_43/para_1/listintro"> Die Personensicherheitsprüfung wird wie folgt wiederholt:</listIntroduction><item eId="art_43/para_1/lbl_a"><num>a. </num><p>Grundsicherheitsprüfung: frühestens nach fünf, spätestens aber nach zehn Jahren;</p></item><item eId="art_43/para_1/lbl_b"><num>b. </num><p>erweiterte Personensicherheitsprüfung: frühestens nach drei, spätestens aber nach fünf Jahren.</p></item></blockList></content></paragraph><paragraph eId="art_43/para_2"><num>2</num><content><p> Der Bundesrat kann für Funktionen der Armee und des Zivilschutzes von der Wiederholung der Grundsicherheitsprüfung absehen.</p></content></paragraph><paragraph eId="art_43/para_3"><num>3</num><content><p> Hat die einleitende oder die entscheidende Stelle Grund anzunehmen, dass seit der letzten Prüfung neue Risiken entstanden sind, so kann sie bei der Fachstelle PSP mit schriftlicher Begründung eine Wiederholung der Personensicherheitsprüfung verlangen.</p></content></paragraph></article><article eId="art_44"><num><b>Art. 44</b></num><heading>Rechtsschutz</heading><paragraph eId="art_44/para_1"><num>1</num><content><blockList><listIntroduction eId="art_44/para_1/listintro"> Die geprüfte Person hat nach Erhalt der Erklärung nach Artikel 39 Absatz 1 30 Tage Zeit, um:</listIntroduction><item eId="art_44/para_1/lbl_a"><num>a. </num><p>Einsicht in die Prüfungsunterlagen zu nehmen;</p></item><item eId="art_44/para_1/lbl_b"><num>b. </num><p>die Berichtigung falscher Daten oder die Vernichtung nicht mehr aktueller Daten zu verlangen;</p></item><item eId="art_44/para_1/lbl_c"><num>c. </num><p>einen Bestreitungsvermerk anbringen zu lassen.</p></item></blockList></content></paragraph><paragraph eId="art_44/para_2"><num>2</num><content><p> Die Einschränkung des Auskunftsrechts richtet sich nach Artikel 26 DSG<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>235.1</b></ref></p></authorialNote>.<authorialNote><p> Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_44/para_3"><num>3</num><content><p> Die Erklärung stellt einen Realakt nach Artikel 25<i>a</i> des Verwaltungsverfahrensgesetzes vom 20. Dezember 1968<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1969/737_757_755" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.021</b></ref></p></authorialNote> dar. Die geprüfte Person kann gegen eine Erklärung nach Artikel 39 Absatz 1 Buchstaben b–d innerhalb von 30 Tagen nach deren Erhalt beim Bundesverwaltungsgericht Beschwerde führen.</p></content></paragraph><paragraph eId="art_44/para_4"><num>4</num><content><p> Ist das Bundesgericht oder das Bundesverwaltungsgericht die entscheidende Stelle, so gilt Artikel 36 Absätze 2 und 4 des Bundespersonalgesetzes vom 24. März 2000<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2001/123" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.220.1</b></ref></p></authorialNote> sinngemäss.</p></content></paragraph><paragraph eId="art_44/para_5"><num>5</num><content><p> Das Beschwerdeverfahren richtet sich im Übrigen nach den allgemeinen Bestimmungen über die Bundesrechtspflege.</p></content></paragraph></article></section><section eId="chap_3/sec_5"><num>5. Abschnitt: </num><heading>Bearbeitung von Personendaten</heading><article eId="art_45"><num><b>Art. 45</b></num><heading>Informationssystem zur Personensicherheitsprüfung</heading><paragraph eId="art_45/para_1"><num>1</num><content><blockList><listIntroduction eId="art_45/para_1/listintro"> Die Fachstellen PSP betreiben ein Informationssystem. Dieses dient der Durchführung von:</listIntroduction><item eId="art_45/para_1/lbl_a"><num>a. </num><p>Personensicherheitsprüfungen;</p></item><item eId="art_45/para_1/lbl_b"><num>b. </num><p>Beurteilungen des Gefährdungs- oder Missbrauchspotenzials bezüglich der persönlichen Waffe;</p></item><item eId="art_45/para_1/lbl_c"><num>c. </num><p>Zuverlässigkeitskontrollen;</p></item><item eId="art_45/para_1/lbl_d"><num>d. </num><p>Prüfungen der Vertrauenswürdigkeit.<authorialNote><p> Fassung gemäss Ziff. II 2 des BG vom 17. Juni 2022, in Kraft seit 1. Jan. 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/117" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2023</b> 117</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">650</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2021/3046" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2021</b> 3046</ref>).</p></authorialNote></p></item></blockList></content></paragraph><paragraph eId="art_45/para_2"><num>2</num><content><p> Jede Fachstelle PSP ist für die rechtmässige Bearbeitung der Personendaten im Informationssystem verantwortlich.</p></content></paragraph><paragraph eId="art_45/para_3"><num>3</num><content><p> Im Informationssystem können besonders schützenswerte Personendaten nach Artikel 5 Buchstabe c DSG<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>235.1</b></ref></p></authorialNote> bearbeitet werden, sofern dies zur Beurteilung des Sicherheitsrisikos erforderlich ist.<authorialNote><p> Fassung gemäss Anhang 2 Ziff. 5, in Kraft seit 1. Jan. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2017/647" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2017</b> 2953</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_45/para_3_bis"><num>3bis</num><content><blockList><listIntroduction eId="art_45/para_3_bis/listintro"> Anhand der Daten des Informationssystems darf ein Profiling, einschliesslich eines Profilings mit hohem Risiko, nach DSG durchgeführt werden, um die nachfolgenden persönlichen Aspekte einer natürlichen Person zu den Bearbeitungszwecken nach Absatz 1 zu analysieren, zu bewerten, zu beurteilen oder vorherzusagen:</listIntroduction><item eId="art_45/para_3_bis/lbl_a"><num>a. </num><p>Sicherheitsrisiko;</p></item><item eId="art_45/para_3_bis/lbl_b"><num>b. </num><p>Gefährdungs- und Missbrauchspotenzial bezüglich der persönlichen Waffe.<authorialNote><p> Eingefügt durch Ziff. II 2 des BG vom 17. Juni 2022, in Kraft seit 1. Jan. 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/117" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2023</b> 117</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">650</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2021/3046" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2021</b> 3046</ref>).</p></authorialNote></p></item></blockList></content></paragraph><paragraph eId="art_45/para_4"><num>4</num><content><blockList><listIntroduction eId="art_45/para_4/listintro"> Das Informationssystem enthält folgende Daten:</listIntroduction><item eId="art_45/para_4/lbl_a"><num>a.<authorialNote><p> Fassung gemäss Anhang Ziff. 40 des BG vom 18. Dez. 2020 (Systematische Verwendung der AHV-Nummer durch Behörden), in Kraft seit 1. Jan. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2021/758" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2021</b> 758</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2019/2681" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2019 </b>7359</ref>).</p></authorialNote> </num><p>Daten zur Identität der zu prüfenden oder geprüften Personen, einschliesslich der AHV-Nummer und der Passnummer;</p></item><item eId="art_45/para_4/lbl_b"><num>b. </num><p>die Daten nach den Artikeln 34 und 35;</p></item><item eId="art_45/para_4/lbl_c"><num>c. </num><p>die Beurteilung des Sicherheitsrisikos;</p></item><item eId="art_45/para_4/lbl_d"><num>d. </num><p>die Erklärung nach Artikel 39 Absatz 1;</p></item><item eId="art_45/para_4/lbl_e"><num>e. </num><p>den Entscheid der entscheidenden Stelle;</p></item><item eId="art_45/para_4/lbl_f"><num>f. </num><p>Daten und Akten aus Beschwerdeverfahren;</p></item><item eId="art_45/para_4/lbl_g"><num>g. </num><p>Listen und Statistiken, die Daten nach den Buchstaben a–f enthalten.</p></item></blockList></content></paragraph><paragraph eId="art_45/para_5"><num>5</num><content><p> Werden Daten nach Absatz 4 ausserhalb des Informationssystems bearbeitet, so muss dies im Informationssystem vermerkt werden.</p></content></paragraph><paragraph eId="art_45/para_6"><num>6</num><content><blockList><listIntroduction eId="art_45/para_6/listintro"> Die Daten nach Absatz 4 können automatisch und systematisch durch Abfrage der folgenden Informationssysteme erhoben werden:</listIntroduction><item eId="art_45/para_6/lbl_a"><num>a.<authorialNote><p> Fassung gemäss Anhang 2 Ziff. 4, in Kraft seit 1. Jan. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2017/647" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2017</b> 2953</ref>).</p></authorialNote> </num><p>Strafregister-Informationssystem VOSTRA nach dem Strafregistergesetz vom 17. Juni 2016<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/600" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>330</b></ref></p></authorialNote>;</p></item><item eId="art_45/para_6/lbl_b"><num>b. </num><p>nationaler Polizeiindex nach Artikel 17 des Bundesgesetzes vom 13. Juni 2008<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2008/698" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>361</b></ref></p></authorialNote> über die polizeilichen Informationssysteme des Bundes;</p></item><item eId="art_45/para_6/lbl_c"><num>c. </num><p>INDEX NDB nach Artikel 51 des Nachrichtendienstgesetzes vom 25. September 2015<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2017/494" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>121</b></ref></p></authorialNote>;</p></item><item eId="art_45/para_6/lbl_d"><num>d.<authorialNote><p> Eingefügt durch Ziff. II 2 des BG vom 17. Juni 2022, in Kraft seit 1. Jan. 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/117" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2023</b> 117</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">650</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2021/3046" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2021</b> 3046</ref>).</p></authorialNote> </num><p>die Datenbanken der Zentralstelle Waffen nach Artikel 32<i>a</i> Absatz 1 des Waffengesetzes vom 20. Juni 1997<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1998/2535_2535_2535" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>514.54</b></ref></p></authorialNote>.</p></item></blockList></content></paragraph></article><article eId="art_46"><num><b>Art. 46</b></num><heading>Zugriffsrechte und Datenbekanntgabe</heading><paragraph eId="art_46/para_1"><num>1</num><content><blockList><listIntroduction eId="art_46/para_1/listintro"> Die folgenden Stellen haben im Abrufverfahren Zugriff auf die nachstehenden Daten im Informationssystem:</listIntroduction><item eId="art_46/para_1/lbl_a"><num>a. </num><p>einleitende Stellen: auf die Daten nach Artikel 45 Absatz 4 Buchstabe b, die sie anlässlich der Einleitung der Prüfung selber erfasst haben, sowie die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e;</p></item><item eId="art_46/para_1/lbl_b"><num>b. </num><p>entscheidende Stellen: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e;</p></item><item eId="art_46/para_1/lbl_c"><num>c. </num><p>Informationssicherheitsbeauftragte nach Artikel 81 zur Erfüllung ihrer Kontrollaufgaben: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e;</p></item><item eId="art_46/para_1/lbl_d"><num>d. </num><p>Stellen des Bundes und der Kantone, bei denen Daten nach Artikel 37 erhoben werden: auf die Daten nach Artikel 45 Absatz 4 Buchstabe a.</p></item></blockList></content></paragraph><paragraph eId="art_46/para_2"><num>2</num><content><blockList><listIntroduction eId="art_46/para_2/listintro"> Die folgenden Stellen haben über eine Schnittstelle Zugriff auf die nachstehenden Daten im Informationssystem:</listIntroduction><item eId="art_46/para_2/lbl_a"><num>a. </num><p>die Fachstelle nach Artikel 51 Absatz 2 zur Durchführung des Betriebssicherheitsverfahrens nach den Artikeln 49–73 über das Informationssystem nach Artikel 70: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e;</p></item><item eId="art_46/para_2/lbl_b"><num>b. </num><blockList><listIntroduction eId="art_46/para_2/lbl_b/listintro">die Gruppe Verteidigung:</listIntroduction><item eId="art_46/para_2/lbl_b/lbl_1"><num>1. </num><p>zur Erfüllung ihrer Aufgaben nach Artikel 13 des Bundesgesetzes vom 3. Oktober 2008<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2009/823" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>510.91</b></ref></p></authorialNote> über die militärischen Informationssysteme (MIG) über das Personalinformationssystem der Armee nach Artikel 12 MIG: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e,</p></item><item eId="art_46/para_2/lbl_b/lbl_2"><num>2. </num><p>zur Erfüllung ihrer Aufgaben nach Artikel 19 MIG über das Informationssystem Rekrutierung nach Artikel 18 MIG: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a und e,</p></item><item eId="art_46/para_2/lbl_b/lbl_3"><num>3. </num><p>zur Erfüllung ihrer Aufgaben nach Artikel 157 MIG über das Informationssystem Besuchsanträge nach Artikel 156 MIG: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a und e,</p></item><item eId="art_46/para_2/lbl_b/lbl_4"><num>4. </num><p>zur Erfüllung ihrer Aufgaben nach Artikel 163 MIG über das Informationssystem Zutrittskontrolle nach Artikel 162 MIG: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a und e;</p></item></blockList></item><item eId="art_46/para_2/lbl_c"><num>c. </num><p>die Stelle, die für die Sicherheitsbescheinigung im internationalen Verhältnis nach Artikel 48 Buchstabe c zuständig ist: auf die Daten nach Artikel 45 Absatz 4 Buchstaben a, d und e.</p></item></blockList></content></paragraph><paragraph eId="art_46/para_3"><num>3</num><content><p> Die Fachstellen PSP können zudem Daten nach Artikel 45 Absatz 4 Buchstaben a und e weiteren Stellen des Bundes bekanntgeben, sofern dies zur Kontrolle des Zutritts zu einer Sicherheitszone erforderlich ist.</p></content></paragraph><paragraph eId="art_46/para_4"><num>4</num><content><p> Sie können den verpflichteten Behörden und Organisationen Listen und Statistiken nach Artikel 45 Absatz 1 Buchstabe g bekanntgeben, sofern dies zur Erfüllung von deren Kontrollaufgaben nach diesem Gesetz erforderlich ist.</p></content></paragraph></article><article eId="art_47"><num><b>Art. 47</b></num><heading>Datenaufbewahrung, -archivierung und -vernichtung</heading><paragraph eId="art_47/para_1"><num>1</num><content><p> Die Fachstellen PSP können Befragungen nach Artikel 34 Absätze 2 Buchstabe d und 3 mit technischen Geräten aufnehmen und auf Datenträgern aufbewahren.</p></content></paragraph><paragraph eId="art_47/para_2"><num>2</num><content><p> Sie bewahren die Daten so lange auf, wie die betreffende Person die sicherheitsempfindliche Tätigkeit ausübt, längstens jedoch zehn Jahre.</p></content></paragraph><paragraph eId="art_47/para_3"><num>3</num><content><p> Die Archivierung der Daten richtet sich nach den Vorschriften der Archivierungsgesetzgebung.</p></content></paragraph><paragraph eId="art_47/para_4"><num>4</num><content><p> Wird das Prüfverfahren eingestellt, tritt eine geprüfte Person die vorgesehene Funktion nicht an oder lehnt sie den Auftrag ab, so werden alle mit der Personensicherheitsprüfung zusammenhängenden Daten und Akten spätestens nach drei Monaten vernichtet.</p></content></paragraph></article></section><section eId="chap_3/sec_6"><num>6. Abschnitt: </num><heading>Bestimmungen des Bundesrats</heading><article eId="art_48"><num><b>Art. </b><b>48</b></num><paragraph eId="art_48/para"><content><blockList><listIntroduction eId="art_48/para/listintro">Der Bundesrat regelt:</listIntroduction><item eId="art_48/para/lbl_a"><num>a. </num><p>das Verfahren der Personensicherheitsprüfung;</p></item><item eId="art_48/para/lbl_b"><num>b. </num><p>die Organisation der Fachstellen PSP;</p></item><item eId="art_48/para/lbl_c"><num>c. </num><p>die Sicherheitsbescheinigung für Personen im internationalen Verhältnis;</p></item><item eId="art_48/para/lbl_d"><num>d. </num><p>die Verantwortung für den Datenschutz in Zusammenhang mit dem Informationssystem nach Artikel 45 sowie die Datensicherheit;</p></item><item eId="art_48/para/lbl_e"><num>e. </num><p>die periodische Kontrolle der Bearbeitung von Personendaten durch eine externe Stelle.</p></item></blockList></content></paragraph></article></section></chapter><chapter eId="chap_4"><num>4. Kapitel: </num><heading>Betriebssicherheitsverfahren</heading><section eId="chap_4/sec_1"><num>1. Abschnitt: </num><heading>Allgemeine Bestimmungen</heading><article eId="art_49"><num><b>Art. 49</b></num><heading>Verfahrenszweck</heading><paragraph eId="art_49/para"><content><p>Das Betriebssicherheitsverfahren dient zur Gewährleistung der Informationssicherheit bei der Erfüllung von öffentlichen Aufträgen durch Unternehmen und Subunternehmen oder Teile davon (Betriebe), sofern die Aufträge die Ausübung einer sicherheitsempfindlichen Tätigkeit einschliessen (sicherheitsempfindliche Aufträge).</p></content></paragraph></article><article eId="art_50"><num><b>Art. 50</b></num><heading>Betroffene Betriebe</heading><paragraph eId="art_50/para_1"><num>1</num><content><blockList><listIntroduction eId="art_50/para_1/listintro"> Das Betriebssicherheitsverfahren kann durchgeführt werden bei Betrieben:</listIntroduction><item eId="art_50/para_1/lbl_a"><num>a. </num><p>die einen sicherheitsempfindlichen Auftrag einer verpflichteten Behörde oder Organisation ausführen sollen;</p></item><item eId="art_50/para_1/lbl_b"><num>b. </num><p>mit Sitz in der Schweiz, die sich um einen Auftrag bewerben, für den sie eine Betriebssicherheitsbescheinigung nach Artikel 66 benötigen.</p></item></blockList></content></paragraph><paragraph eId="art_50/para_2"><num>2</num><content><p> Das Verfahren darf nur mit Einwilligung des Betriebs durchgeführt werden.</p></content></paragraph><paragraph eId="art_50/para_3"><num>3</num><content><p> Die Betriebe nach Absatz 1 Buchstabe b tragen die Kosten des Verfahrens.</p></content></paragraph></article><article eId="art_51"><num><b>Art. 51</b></num><heading>Einstellung des Verfahrens</heading><paragraph eId="art_51/para_1"><num>1</num><content><blockList><listIntroduction eId="art_51/para_1/listintro"> Das Betriebssicherheitsverfahren wird eingestellt, wenn der Betrieb:</listIntroduction><item eId="art_51/para_1/lbl_a"><num>a. </num><p>seine Einwilligung zurückzieht oder am Verfahren nicht mitwirkt;</p></item><item eId="art_51/para_1/lbl_b"><num>b. </num><p>sein Angebot zurückzieht;</p></item><item eId="art_51/para_1/lbl_c"><num>c. </num><p>für den Auftrag nicht mehr in Frage kommt.</p></item></blockList></content></paragraph><paragraph eId="art_51/para_2"><num>2</num><content><p> Die für die Durchführung des Betriebssicherheitsverfahrens zuständige Fachstelle (Fachstelle BS) teilt dem Betrieb und der den Auftrag vergebenden Behörde oder Organisation (Auftraggeberin) die Einstellung des Verfahrens mit.</p></content></paragraph></article></section><section eId="chap_4/sec_2"><num>2. Abschnitt: </num><heading>Einleitung des Betriebssicherheitsverfahrens</heading><article eId="art_52"><num><b>Art. 52</b></num><heading>Antrag auf Einleitung</heading><paragraph eId="art_52/para_1"><num>1</num><content><p> Verpflichtete Behörden und Organisationen beantragen der Fachstelle BS die Einleitung des Verfahrens, wenn sie beabsichtigen, einen sicherheitsempfindlichen Auftrag zu vergeben.</p></content></paragraph><paragraph eId="art_52/para_2"><num>2</num><content><p> Die verpflichteten Behörden legen fest, welche Stellen für die Antragstellung zuständig sind.</p></content></paragraph><paragraph eId="art_52/para_3"><num>3</num><content><p> Für Betriebe nach Artikel 50 Absatz 1 Buchstabe b stellt die zuständige ausländische Behörde oder internationale Organisation den Antrag.</p></content></paragraph></article><article eId="art_53"><num><b>Art. 53</b></num><heading>Prüfung des Antrags</heading><paragraph eId="art_53/para_1"><num>1</num><content><p> Die Fachstelle BS prüft den Antrag und leitet das Verfahren ein.</p></content></paragraph><paragraph eId="art_53/para_2"><num>2</num><content><p> Sie kann im Einvernehmen mit der Auftraggeberin auf die Einleitung verzichten, wenn das Sicherheitsrisiko mit anderen Massnahmen auf ein tragbares Mass reduziert werden kann. Sie empfiehlt entsprechende Massnahmen.</p></content></paragraph></article><article eId="art_54"><num><b>Art. 54</b></num><heading>Festlegung der Sicherheitsanforderungen</heading><paragraph eId="art_54/para"><content><p>Die Fachstelle BS legt in Absprache mit der Auftraggeberin die Anforderungen an die Informationssicherheit für das Vergabeverfahren und die Auftragserfüllung fest.</p></content></paragraph></article></section><section eId="chap_4/sec_3"><num>3. Abschnitt: </num><heading>Beurteilung der Betriebe</heading><article eId="art_55"><num><b>Art. 55</b></num><heading>Eignung</heading><paragraph eId="art_55/para_1"><num>1</num><content><p> Die Auftraggeberin teilt der Fachstelle BS mit, welche Betriebe für die Ausführung des sicherheitsempfindlichen Auftrags in Frage kommen.</p></content></paragraph><paragraph eId="art_55/para_2"><num>2</num><content><p> Die Fachstelle BS beurteilt, ob diese Betriebe zur Ausführung des sicherheitsempfindlichen Auftrags geeignet sind oder ob ein Sicherheitsrisiko besteht.</p></content></paragraph><paragraph eId="art_55/para_3"><num>3</num><content><p> Sie ist in ihrer Beurteilung weisungsungebunden.</p></content></paragraph></article><article eId="art_56"><num><b>Art. 56</b></num><heading>Datenerhebung</heading><paragraph eId="art_56/para_1"><num>1</num><content><blockList><listIntroduction eId="art_56/para_1/listintro"> Die Fachstelle BS kann zur Beurteilung der Eignung Daten erheben:</listIntroduction><item eId="art_56/para_1/lbl_a"><num>a. </num><p>beim Betrieb;</p></item><item eId="art_56/para_1/lbl_b"><num>b. </num><p>beim NDB;</p></item><item eId="art_56/para_1/lbl_c"><num>c. </num><p>aus öffentlich zugänglichen Quellen.</p></item></blockList></content></paragraph><paragraph eId="art_56/para_2"><num>2</num><content><p> Sie kann ausländische und internationale Dienststellen um die Zustellung entsprechender Daten ersuchen. Anfragen an ausländische Nachrichtendienste erfolgen über den NDB.</p></content></paragraph></article><article eId="art_57"><num><b>Art. 57</b></num><heading>Sicherheitsrisiko</heading><paragraph eId="art_57/para_1"><num>1</num><content><p> Ein Sicherheitsrisiko besteht, wenn aufgrund der erhobenen Daten konkrete Anhaltspunkte vorliegen, dass der Betrieb den sicherheitsempfindlichen Auftrag mit hoher Wahrscheinlichkeit vorschriftswidrig oder unsachgemäss ausführen wird.</p></content></paragraph><paragraph eId="art_57/para_2"><num>2</num><content><blockList><listIntroduction eId="art_57/para_2/listintro"> Die Wahrscheinlichkeit einer vorschriftswidrigen oder unsachgemässen Ausführung des sicherheitsempfindlichen Auftrags kann insbesondere dann als hoch gelten, wenn:</listIntroduction><item eId="art_57/para_2/lbl_a"><num>a. </num><p>der Betrieb mangelnde Integrität oder Vertrauenswürdigkeit aufweist;</p></item><item eId="art_57/para_2/lbl_b"><num>b. </num><p>der Betrieb von ausländischen Staaten oder Organisationen des öffentlichen oder privaten Rechts kontrolliert oder beeinflusst wird und diese Kontrolle oder dieser Einfluss nicht mit dem Schutz der Interessen nach Artikel 1 Absatz 2 vereinbar ist;</p></item><item eId="art_57/para_2/lbl_c"><num>c. </num><p>für Personen des Betriebs, die für die Ausführung des sicherheitsempfindlichen Auftrags unentbehrlich sind, eine Risikoerklärung ausgestellt wurde.</p></item></blockList></content></paragraph><paragraph eId="art_57/para_3"><num>3</num><content><p> Das Sicherheitsrisiko muss ungeachtet eines Verschuldens aufgrund der tatsächlichen Umstände und Verhältnisse des betroffenen Betriebs festgestellt werden.</p></content></paragraph></article><article eId="art_58"><num><b>Art. 58</b></num><heading>Eröffnung der Beurteilung und Ausschluss aus dem Vergabeverfahren</heading><paragraph eId="art_58/para_1"><num>1</num><content><p> Die Fachstelle BS teilt ihre Beurteilung der Auftraggeberin mit und eröffnet sie dem Betrieb durch Verfügung.</p></content></paragraph><paragraph eId="art_58/para_2"><num>2</num><content><p> Kommt die Fachstelle BS zum Schluss, dass die Ausführung des sicherheitsempfindlichen Auftrags mit einem Sicherheitsrisiko verbunden ist, so schliesst die Auftraggeberin den Betrieb vom Vergabeverfahren aus.</p></content></paragraph><paragraph eId="art_58/para_3"><num>3</num><content><p> Ist die Ausführung des sicherheitsempfindlichen Auftrags bei allen in Frage kommenden Betrieben mit einem Sicherheitsrisiko verbunden, so kann die Auftraggeberin trotzdem einem dieser Betriebe den Auftrag erteilen. Die Fachstelle BS stellt das Betriebssicherheitsverfahren ein. Die Auftraggeberin wendet die Massnahmen nach den Artikeln 59, 60, 63 und 64 sinngemäss an.</p></content></paragraph></article></section><section eId="chap_4/sec_4"><num>4. Abschnitt: </num><heading>Sicherheitskonzept</heading><article eId="art_59"><num><b>Art. 59</b></num><heading>Zuschlag und Sicherheitskonzept</heading><paragraph eId="art_59/para_1"><num>1</num><content><p> Die Auftraggeberin teilt der Fachstelle BS mit, welcher Betrieb den Zuschlag erhält.</p></content></paragraph><paragraph eId="art_59/para_2"><num>2</num><content><p> Der Betrieb erstellt nach den Vorgaben der Fachstelle BS ein Sicherheitskonzept.</p></content></paragraph><paragraph eId="art_59/para_3"><num>3</num><content><p> Die Fachstelle BS prüft das Sicherheitskonzept. Sie kann die dazu erforderlichen Daten schriftlich erheben oder den Betrieb inspizieren.</p></content></paragraph></article><article eId="art_60"><num><b>Art. 60</b></num><heading>Personensicherheitsprüfungen</heading><paragraph eId="art_60/para_1"><num>1</num><content><p> Personen des Betriebs, die für eine sicherheitsempfindliche Tätigkeit vorgesehen sind, werden einer Personensicherheitsprüfung unterzogen.</p></content></paragraph><paragraph eId="art_60/para_2"><num>2</num><content><p> Die Fachstelle BS ist für den Entscheid nach Artikel 41 Absatz 2 zuständig. Wird das Verfahren eingestellt, weil sich kein Betrieb für die Ausführung des Auftrags eignet (Art. 58 Abs. 3), so ist die Auftraggeberin für den Entscheid zuständig.</p></content></paragraph></article></section><section eId="chap_4/sec_5"><num>5. Abschnitt: </num><heading>Betriebssicherheitserklärung</heading><article eId="art_61"><num><b>Art. 61</b></num><heading>Ausstellung der Betriebssicherheitserklärung</heading><paragraph eId="art_61/para_1"><num>1</num><content><p> Die Fachstelle BS stellt dem Betrieb eine Betriebssicherheitserklärung in Form einer Verfügung aus, sobald dieser das Sicherheitskonzept nachweislich umgesetzt hat.</p></content></paragraph><paragraph eId="art_61/para_2"><num>2</num><content><p> Sie verweigert dem Betrieb die Betriebssicherheitserklärung und stellt das Betriebssicherheitsverfahren ein, wenn er das Sicherheitskonzept nicht umsetzt. Sie erlässt eine entsprechende Verfügung.</p></content></paragraph><paragraph eId="art_61/para_3"><num>3</num><content><p> Die Verfügungen nach den Absätzen 1 und 2 werden der Auftraggeberin mitgeteilt.</p></content></paragraph><paragraph eId="art_61/para_4"><num>4</num><content><p> Die Auftraggeberin ist an die Verfügung der Fachstelle BS gebunden; vorbehalten bleibt Artikel 58 Absatz 3.</p></content></paragraph><paragraph eId="art_61/para_5"><num>5</num><content><p> Die Gültigkeit der Betriebssicherheitserklärung beträgt fünf Jahre.</p></content></paragraph></article><article eId="art_62"><num><b>Art. 62</b></num><heading>Ausführung des sicherheitsempfindlichen Auftrags</heading><paragraph eId="art_62/para"><content><p>Die Auftraggeberin darf den sicherheitsempfindlichen Auftrag erst ausführen lassen, wenn die Fachstelle BS die Betriebssicherheitserklärung ausgestellt hat.</p></content></paragraph></article><article eId="art_63"><num><b>Art. 63</b></num><heading>Pflichten des Betriebs</heading><paragraph eId="art_63/para_1"><num>1</num><content><p> Betriebe, die über eine Betriebssicherheitserklärung verfügen, müssen die Massnahmen des Sicherheitskonzepts laufend umsetzen.</p></content></paragraph><paragraph eId="art_63/para_2"><num>2</num><content><p> Sie melden der Fachstelle BS und der Auftraggeberin unverzüglich alle sicherheitsrelevanten Änderungen und Vorfälle.</p></content></paragraph></article><article eId="art_64"><num><b>Art. 64</b></num><heading>Kontrollen und Schutzmassnahmen</heading><paragraph eId="art_64/para_1"><num>1</num><content><blockList><listIntroduction eId="art_64/para_1/listintro"> Die Fachstelle BS ist befugt:</listIntroduction><item eId="art_64/para_1/lbl_a"><num>a. </num><p>Bereiche, in denen der sicherheitsempfindliche Auftrag ausgeführt wird, ohne Vorankündigung zu inspizieren;</p></item><item eId="art_64/para_1/lbl_b"><num>b. </num><p>auftragsrelevante Unterlagen einzusehen.</p></item></blockList></content></paragraph><paragraph eId="art_64/para_2"><num>2</num><content><p> Liegen konkrete Anhaltspunkte vor, dass die Informationssicherheit in einem Betrieb gefährdet ist, so kann die Fachstelle BS umgehend die erforderlichen Schutzmassnahmen treffen und insbesondere Unterlagen und Material sicherstellen.</p></content></paragraph></article><article eId="art_65"><num><b>Art. 65</b></num><heading>Vereinfachtes Verfahren bei der Vergabe weiterer sicherheitsempfindlicher Aufträge</heading><paragraph eId="art_65/para"><content><p>Betriebe, die über eine Betriebssicherheitserklärung verfügen, gelten für weitere sicherheitsempfindliche Aufträge als geeignet. Die Fachstelle BS prüft, ob das Sicherheitskonzept angepasst werden muss.</p></content></paragraph></article><article eId="art_66"><num><b>Art. 66</b></num><heading>Internationale Betriebssicherheitsbescheinigung</heading><paragraph eId="art_66/para"><content><p>Die Fachstelle BS stellt dem Betrieb auf dessen Antrag hin eine internationale Betriebssicherheitsbescheinigung aus.</p></content></paragraph></article><article eId="art_67"><num><b>Art. 67</b></num><heading>Widerruf der Betriebssicherheitserklärung</heading><paragraph eId="art_67/para_1"><num>1</num><content><blockList><listIntroduction eId="art_67/para_1/listintro"> Die Fachstelle BS widerruft die Betriebssicherheitserklärung, wenn:</listIntroduction><item eId="art_67/para_1/lbl_a"><num>a. </num><p>der Betrieb seine Pflichten nach Artikel 63 nicht erfüllt;</p></item><item eId="art_67/para_1/lbl_b"><num>b. </num><p>sich im Rahmen einer Wiederholung des Verfahrens ein Sicherheitsrisiko ergibt.</p></item></blockList></content></paragraph><paragraph eId="art_67/para_2"><num>2</num><content><p> Sie teilt den Widerruf mittels Verfügung dem Betrieb und der Auftraggeberin mit.</p></content></paragraph><paragraph eId="art_67/para_3"><num>3</num><content><p> Wird die Betriebssicherheitserklärung widerrufen, so zieht die Auftraggeberin den Auftrag umgehend zurück; vorbehalten bleibt Artikel 58 Absatz 3. Der Betrieb hat keinen Anspruch auf Entschädigung.</p></content></paragraph></article></section><section eId="chap_4/sec_6"><num>6. Abschnitt: </num><heading>Wiederholung des Verfahrens und Rechtsschutz</heading><article eId="art_68"><num><b>Art. 68</b></num><heading>Wiederholung des Verfahrens</heading><paragraph eId="art_68/para"><content><blockList><listIntroduction eId="art_68/para/listintro">Das Betriebssicherheitsverfahren wird wiederholt, wenn:</listIntroduction><item eId="art_68/para/lbl_a"><num>a. </num><p>im Zeitpunkt des Ablaufs der Gültigkeit der Betriebssicherheitserklärung ein sicherheitsempfindlicher Auftrag hängig ist;</p></item><item eId="art_68/para/lbl_b"><num>b. </num><p>konkrete Anhaltspunkte vorliegen, dass in Folge wesentlicher Änderungen im Betrieb neue Sicherheitsrisiken entstanden sind.</p></item></blockList></content></paragraph></article><article eId="art_69"><num><b>Art. 69</b></num><heading>Rechtsschutz</heading><paragraph eId="art_69/para_1"><num>1</num><content><blockList><listIntroduction eId="art_69/para_1/listintro"> Der Betrieb hat nach Eröffnung einer Verfügung der Fachstelle BS 30 Tage Zeit, um:</listIntroduction><item eId="art_69/para_1/lbl_a"><num>a. </num><p>Einsicht in die Unterlagen zu nehmen;</p></item><item eId="art_69/para_1/lbl_b"><num>b. </num><p>die Berichtigung falscher Daten oder die Vernichtung nicht mehr aktueller Daten zu verlangen;</p></item><item eId="art_69/para_1/lbl_c"><num>c. </num><p>einen Bestreitungsvermerk anbringen zu lassen;</p></item><item eId="art_69/para_1/lbl_d"><num>d. </num><p>beim Bundesverwaltungsgericht Beschwerde zu führen.</p></item></blockList></content></paragraph><paragraph eId="art_69/para_2"><num>2</num><content><p> Die Einschränkung des Auskunftsrechts richtet sich nach Artikel 26 DSG<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>235.1</b></ref></p></authorialNote>.<authorialNote><p> Fassung gemäss Anhang 2 Ziff. 5, in Kraft seit 1. Jan. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2017/647" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2017</b> 2953</ref>).</p></authorialNote></p></content></paragraph></article></section><section eId="chap_4/sec_7"><num>7. Abschnitt: </num><heading>Bearbeitung von Personendaten</heading><article eId="art_70"><num><b>Art. 70</b></num><heading>Informationssystem zum Betriebssicherheitsverfahren</heading><paragraph eId="art_70/para_1"><num>1</num><content><p> Die Fachstelle BS betreibt zur Durchführung und Bewirtschaftung des Betriebssicherheitsverfahrens ein Informationssystem.</p></content></paragraph><paragraph eId="art_70/para_2"><num>2</num><content><p> Im Informationssystem können besonders schützenswerte Personendaten nach Artikel 5 Buchstabe c DSG<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>235.1</b></ref></p></authorialNote> bearbeitet werden, sofern dies zur Durchführung des Betriebssicherheitsverfahrens erforderlich ist.<authorialNote><p> Fassung gemäss Anhang 2 Ziff. 5, in Kraft seit 1. Jan. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2017/647" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2017</b> 2953</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_70/para_3"><num>3</num><content><blockList><listIntroduction eId="art_70/para_3/listintro"> Das Informationssystem enthält folgende Daten:</listIntroduction><item eId="art_70/para_3/lbl_a"><num>a. </num><p>die Daten nach den Artikeln 56 und 59 Absatz 3;</p></item><item eId="art_70/para_3/lbl_b"><num>b. </num><p>das Ergebnis der Beurteilung nach Artikel 55 Absatz 2;</p></item><item eId="art_70/para_3/lbl_c"><num>c. </num><p>die Ergebnisse der für das Betriebssicherheitsverfahren erforderlichen Personensicherheitsprüfungen nach Artikel 60 Absatz 1;</p></item><item eId="art_70/para_3/lbl_d"><num>d. </num><p>den Entscheid der Fachstelle BS nach Artikel 60 Absatz 2;</p></item><item eId="art_70/para_3/lbl_e"><num>e. </num><p>die Namen aller Betriebe mit einer Betriebssicherheitserklärung;</p></item><item eId="art_70/para_3/lbl_f"><num>f. </num><p>die Massnahmen allfälliger Kontrollen nach Artikel 64;</p></item><item eId="art_70/para_3/lbl_g"><num>g. </num><p>Daten und Akten aus Beschwerdeverfahren.</p></item></blockList></content></paragraph><paragraph eId="art_70/para_4"><num>4</num><content><p> Die Fachstelle BS ist für die Sicherheit des Informationssystems sowie die rechtmässige Bearbeitung der Personendaten verantwortlich.</p></content></paragraph></article><article eId="art_71"><num><b>Art. 71</b></num><heading>Zugriffsrechte und Datenbekanntgabe</heading><paragraph eId="art_71/para_1"><num>1</num><content><blockList><listIntroduction eId="art_71/para_1/listintro"> Die folgenden Stellen haben im Abrufverfahren Zugriff auf die nachstehenden Daten:</listIntroduction><item eId="art_71/para_1/lbl_a"><num>a. </num><p>Auftraggeberinnen: auf die Daten nach Artikel 70 Absatz 3 Buchstaben b und d–g;</p></item><item eId="art_71/para_1/lbl_b"><num>b. </num><p>betroffene Betriebe, sofern sie vom Bundesrat gestützt auf Artikel 31 Absatz 1 Buchstabe a ermächtigt worden sind, in ihrem Zuständigkeitsbereich Personensicherheitsprüfungen einzuleiten: auf die Daten nach Artikel 70 Absatz 3 Buchstabe d.</p></item></blockList></content></paragraph><paragraph eId="art_71/para_2"><num>2</num><content><p> Die Fachstelle BS kann zudem Daten nach Artikel 70 Absatz 3 Buchstaben b–d weiteren Stellen des Bundes bekanntgeben, sofern dies zur Gewährleistung der Informationssicherheit erforderlich ist.</p></content></paragraph></article><article eId="art_72"><num><b>Art. 72</b></num><heading>Datenaufbewahrung, -archivierung und -vernichtung</heading><paragraph eId="art_72/para_1"><num>1</num><content><p> Die Fachstelle BS bewahrt die Daten so lange auf, wie der betroffene Betrieb im Besitz einer Betriebssicherheitserklärung ist, längstens jedoch zehn Jahre.</p></content></paragraph><paragraph eId="art_72/para_2"><num>2</num><content><p> Die Archivierung der Daten richtet sich nach den Vorschriften der Archivierungsgesetzgebung.</p></content></paragraph><paragraph eId="art_72/para_3"><num>3</num><content><p> Wird das Betriebssicherheitsverfahren eingestellt, so werden alle damit zusammenhängenden Daten und Akten spätestens nach drei Monaten vernichtet.</p></content></paragraph></article></section><section eId="chap_4/sec_8"><num>8. Abschnitt: </num><heading>Bestimmungen des Bundesrats</heading><article eId="art_73"><num><b>Art. </b><b>73</b></num><paragraph eId="art_73/para"><content><blockList><listIntroduction eId="art_73/para/listintro">Der Bundesrat regelt:</listIntroduction><item eId="art_73/para/lbl_a"><num>a. </num><p>das Betriebssicherheitsverfahren im Einzelnen;</p></item><item eId="art_73/para/lbl_b"><num>b. </num><p>die Anwendung des Betriebssicherheitsverfahrens auf Subunternehmen;</p></item><item eId="art_73/para/lbl_c"><num>c. </num><p>die Organisation der Fachstelle BS;</p></item><item eId="art_73/para/lbl_d"><num>d. </num><p>die Datensicherheit im Informationssystem nach Artikel 70;</p></item><item eId="art_73/para/lbl_e"><num>e. </num><p>die periodische Kontrolle der Bearbeitung von Personendaten durch eine externe Stelle.</p></item></blockList></content></paragraph></article></section></chapter><chapter eId="chap_5"><num>5. Kapitel: </num><heading>Massnahmen des Bundes zum Schutz der Schweiz vor Cyberbedrohungen<inline name="man-font-weight-normal"><authorialNote><p> Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></inline></heading><section eId="chap_5/sec_1"><num>1. Abschnitt: </num><heading>Allgemeine Bestimmungen<inline name="man-font-weight-normal"><authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></inline></heading><article eId="art_73_a"><num><b>Art. 73</b><i>a</i><authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Grundsatz</heading><paragraph eId="art_73_a/para_1"><num>1</num><content><p> Zum Schutz der Schweiz vor Cyberbedrohungen erstellt das BACS technische Analysen zur Bewertung und Abwehr von Cybervorfällen und Cyberbedrohungen sowie zur Identifikation und Behebung von Schwachstellen.</p></content></paragraph><paragraph eId="art_73_a/para_2"><num>2</num><content><blockList><listIntroduction eId="art_73_a/para_2/listintro"> Gestützt auf die Analysen nimmt das BACS insbesondere folgende Aufgaben wahr:</listIntroduction><item eId="art_73_a/para_2/lbl_a"><num>a. </num><p>Sensibilisierung und Warnung der Öffentlichkeit in Bezug auf Cyberbedrohungen;</p></item><item eId="art_73_a/para_2/lbl_b"><num>b. </num><p>Warnung von betroffenen Behörden, Organisationen und Personen bei unmittelbaren Cyberbedrohungen oder laufenden Cyberangriffen;</p></item><item eId="art_73_a/para_2/lbl_c"><num>c. </num><p>Veröffentlichung von Informationen zur Cybersicherheit sowie von Empfehlungen für präventive und reaktive Massnahmen gegen Cybervorfälle;</p></item><item eId="art_73_a/para_2/lbl_d"><num>d. </num><p>Entgegennahme und Bearbeitung von Meldungen zu Cybervorfällen und Cyberbedrohungen;</p></item><item eId="art_73_a/para_2/lbl_e"><num>e. </num><p>Unterstützung von Betreiberinnen kritischer Infrastrukturen.</p></item></blockList></content></paragraph></article><article eId="art_73_b"><num><b>Art. 73</b><i>b</i><authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Meldungen</heading><paragraph eId="art_73_b/para_1"><num>1</num><content><p> Das BACS nimmt Meldungen zu Cybervorfällen und Cyberbedrohungen entgegen. Die Meldungen können anonym erfolgen.</p></content></paragraph><paragraph eId="art_73_b/para_2"><num>2</num><content><p> Das BACS analysiert die Meldungen bezüglich ihrer Bedeutung für den Schutz der Schweiz vor Cyberbedrohungen. Es gibt auf Antrag eine Empfehlung zum weiteren Vorgehen ab, sofern dafür keine weiteren Analysen und Abklärungen erforderlich sind.</p></content></paragraph><paragraph eId="art_73_b/para_3"><num>3</num><content><p> Erhält das BACS Kenntnis von einer Schwachstelle, so informiert es umgehend die Herstellerin der betroffenen Hard- oder Software und setzt ihr zur Behebung der Schwachstelle eine angemessene Frist. Es weist sie darauf hin, dass eine Missachtung beschaffungsrechtlich sanktioniert werden kann (Art. 44 Abs. 1 Bst. f<sup>bis</sup> des Bundesgesetzes vom 21. Juni 2019<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2020/126" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.056.1</b></ref></p></authorialNote> über das öffentliche Beschaffungswesen) und dass das BACS nach Fristablauf Informationen zur Schwachstelle nach Artikel 73<i>c </i>Absatz 2 veröffentlichen kann.</p></content></paragraph></article><article eId="art_73_c"><num><b>Art. 73</b><i>c</i><authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Veröffentlichung von Informationen aus Meldungen</heading><paragraph eId="art_73_c/para_1"><num>1</num><content><p> Das BACS kann Informationen zu Cybervorfällen veröffentlichen, sofern dies dem Schutz vor Cyberbedrohungen dient. Diese Informationen dürfen nur dann Aufschluss über die betroffene natürliche oder juristische Person geben, sofern diese einwilligt und es sich um missbräuchlich verwendete Identifikationsmerkmale und Adressierungselemente handelt.</p></content></paragraph><paragraph eId="art_73_c/para_2"><num>2</num><content><p> Das BACS kann Informationen zu Schwachstellen unter Angabe der betroffenen Hard- oder Software veröffentlichen, sofern die Herstellerin einwilligt oder die Schwachstelle nicht innert der Frist nach Artikel 73<i>b</i> Absatz 3 behoben hat.</p></content></paragraph></article><article eId="art_73_d"><num><b>Art. 73</b><i>d</i><authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Weiterleitung von Informationen</heading><paragraph eId="art_73_d/para_1"><num>1</num><content><p> Das BACS kann Informationen aus Meldungen an Behörden und Organisationen weiterleiten, die im Bereich der Cybersicherheit tätig sind. Diese Informationen dürfen nur dann Personendaten umfassen, wenn die betroffene Person einwilligt.</p></content></paragraph><paragraph eId="art_73_d/para_2"><num>2</num><content><p> Ergeben sich aus der Meldung eines Cybervorfalls oder dessen Analyse Informationen, die für das frühzeitige Erkennen und Verhindern von Bedrohungen der inneren oder äusseren Sicherheit, für die Beurteilung der Bedrohungslage oder für die nachrichtendienstliche Frühwarnung zum Schutz kritischer Infrastrukturen nach Artikel 6 Absätze 1 Buchstabe a, 2 und 5 des Nachrichtendienstgesetzes vom 25. September 2015<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2017/494" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>121</b></ref></p></authorialNote> (NDG) erforderlich sind, so leitet das BACS diese Informationen an den NDB weiter.</p></content></paragraph><paragraph eId="art_73_d/para_3"><num>3</num><content><p> Erhalten Mitarbeiterinnen und Mitarbeiter des BACS im Zusammenhang mit einer Meldung oder deren Analyse Hinweise auf eine mögliche Straftat, so zeigen sie diese abweichend von Artikel 22<i>a</i> Absatz 1 des Bundespersonalgesetzes vom 24. März 2000<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2001/123" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.220.1</b></ref></p></authorialNote> ausschliesslich der Leiterin oder dem Leiter des BACS an. Diese oder dieser kann Anzeige bei den Strafverfolgungsbehörden erstatten, sofern dies aufgrund der Schwere der möglichen Straftat geboten scheint.</p></content></paragraph><paragraph eId="art_73_d/para_4"><num>4</num><content><p> Strafrechtlich geschützte Geheimnisse darf das BACS nur nach den Vorgaben von Artikel 320 des Strafgesetzbuches<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/54/757_781_799" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>311.0</b></ref></p></authorialNote> weiterleiten.</p></content></paragraph></article><article eId="art_74"><num><b>Art. 74</b><authorialNote><p> Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Unterstützung von Betreiberinnen kritischer Infrastrukturen</heading><paragraph eId="art_74/para_1"><num>1</num><content><p> Das BACS unterstützt die Betreiberinnen kritischer Infrastrukturen beim Schutz vor Cyberbedrohungen.</p></content></paragraph><paragraph eId="art_74/para_2"><num>2</num><content><blockList><listIntroduction eId="art_74/para_2/listintro"> Es stellt ihnen insbesondere folgende Hilfsmittel unentgeltlich und zur freiwilligen Nutzung zur Verfügung:</listIntroduction><item eId="art_74/para_2/lbl_a"><num>a. </num><p>ein Kommunikationssystem für den sicheren Informationsaustausch;</p></item><item eId="art_74/para_2/lbl_b"><num>b. </num><p>technische Informationen zu aktuellen Cyberbedrohungen sowie Empfehlungen für präventive und reaktive Massnahmen gegen Cybervorfälle;</p></item><item eId="art_74/para_2/lbl_c"><num>c. </num><p>technische Instrumente und Anleitungen zur Erkennung von Cybervorfällen, die auf den erhöhten Schutzbedarf kritischer Infrastrukturen ausgerichtet sind.</p></item></blockList></content></paragraph><paragraph eId="art_74/para_3"><num>3</num><content><p> Es kann sie bei der Bewältigung von Cybervorfällen und der Behebung von Schwachstellen beraten und unterstützen, wenn die Funktionsfähigkeit der betroffenen kritischen Infrastruktur gefährdet ist und, sofern es sich um private Betreiberinnen handelt, die Beschaffung gleichwertiger Unterstützung auf dem Markt nicht rechtzeitig möglich ist.</p></content></paragraph><paragraph eId="art_74/para_4"><num>4</num><content><p> Es kann zur Analyse eines Cybervorfalls mit dem Einverständnis der betroffenen Betreiberin auf deren Informationen und Informatikmittel zugreifen.</p></content></paragraph></article></section><section eId="chap_5/sec_2"><num>2. Abschnitt:<inline name="man-font-weight-normal"><authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></inline></num><heading>Pflicht zur Meldung von Cyberangriffen</heading><article eId="art_74_a"><num><b>Art. 74</b><i>a</i></num><heading>Grundsätze</heading><paragraph eId="art_74_a/para_1"><num>1</num><content><p> Behörden und Organisationen nach Artikel 74<i>b </i>müssen dafür sorgen, dass dem BACS Cyberangriffe auf ihre Informatikmittel gemeldet werden.</p></content></paragraph><paragraph eId="art_74_a/para_2"><num>2</num><content><p> Das BACS erteilt interessierten Behörden und Organisationen Auskunft darüber, ob sie der Meldepflicht unterstellt sind und erlässt auf Antrag eine entsprechende Verfügung.</p></content></paragraph><paragraph eId="art_74_a/para_3"><num>3</num><content><p> Durch die Meldung eines Cyberangriffs haben die meldepflichtigen Behörden und Organisationen Anspruch auf die Unterstützung des BACS bei der Vorfallbewältigung nach Artikel 74 Absatz 3.</p></content></paragraph><paragraph eId="art_74_a/para_4"><num>4</num><content><p> Die Meldepflicht dient ausschliesslich dazu, dass das BACS Angriffsmuster auf kritische Infrastrukturen frühzeitig erkennen und dadurch mögliche Betroffene warnen und ihnen geeignete Präventions- und Abwehrmassnahmen empfehlen kann.</p></content></paragraph></article><article eId="art_74_b"><num><b>Art. 74</b><i>b</i></num><heading>Meldepflichtige Behörden und Organisationen</heading><paragraph eId="art_74_b/para_1"><num>1</num><content><blockList><listIntroduction eId="art_74_b/para_1/listintro"> Die Meldepflicht gilt für:</listIntroduction><item eId="art_74_b/para_1/lbl_a"><num>a. </num><p>Hochschulen nach Artikel 2 Absatz 2 des Hochschulförderungs- und -koordinationsgesetzes vom 30. September 2011<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2014/691" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>414.20</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_b"><num>b. </num><p>Bundes-, Kantons- und Gemeindebehörden sowie interkantonale, kantonale und interkommunale Organisationen, mit Ausnahme der Gruppe Verteidigung, wenn die Armee Assistenzdienst nach Artikel 67 oder Aktivdienst nach Artikel 76 des Militärgesetzes vom 3. Februar 1995<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1995/4093_4093_4093" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>510.10</b></ref></p></authorialNote> leistet;</p></item><item eId="art_74_b/para_1/lbl_c"><num>c. </num><p>Organisationen mit öffentlich-rechtlichen Aufgaben in den Bereichen Sicherheit und Rettung, Trinkwasserversorgung, Abwasseraufbereitung und Abfallentsorgung;</p></item><item eId="art_74_b/para_1/lbl_d"><num>d. </num><p>Unternehmen, die in den Bereichen Energieversorgung nach Artikel 6 Absatz 1 des Energiegesetzes vom 30. September 2016<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2017/762" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>730.0</b></ref></p></authorialNote>, Energiehandel, Energiemessung oder Energiesteuerung tätig sind, mit Ausnahme der Bewilligungsinhaber gemäss Kernenergiegesetz vom 21. März 2003<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2004/723" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>732.1</b></ref></p></authorialNote>, sofern ein Cyberangriff auf eine Kernanlage erfolgt;</p></item><item eId="art_74_b/para_1/lbl_e"><num>e. </num><p>Unternehmen, die dem Bankengesetz vom 8. November 1934<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/51/117_121_129" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>952.0</b></ref></p></authorialNote>, dem Versicherungsaufsichtsgesetz vom 17. Dezember 2004<authorialNote><p>  <ref href="https://www.fedlex.admin.ch/eli/cc/2005/734/de"/><ref href="https://fedlex.data.admin.ch/eli/cc/2005/734" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><ref href="https://www.fedlex.admin.ch/eli/cc/2005/734/de">SR <b>961.01</b></ref></ref></p></authorialNote> oder dem Finanzmarktinfrastrukturgesetz vom 19. Juni 2015<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2015/853" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>958.1</b></ref></p></authorialNote> unterstehen;</p></item><item eId="art_74_b/para_1/lbl_f"><num>f. </num><p>Gesundheitseinrichtungen, die auf der kantonalen Spitalliste nach Artikel 39 Absatz 1 Buchstabe e des Bundesgesetzes vom 18. März 1994<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1995/1328_1328_1328" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>832.10</b></ref></p></authorialNote> über die Krankenversicherung aufgeführt sind;</p></item><item eId="art_74_b/para_1/lbl_g"><num>g. </num><p>medizinische Laboratorien mit einer Bewilligung nach Artikel 16 Absatz 1 des Epidemiengesetzes vom 28. September 2012<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2015/297" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>818.101</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_h"><num>h. </num><p>Unternehmen, die für die Herstellung, das Inverkehrbringen und die Einfuhr von Arzneimitteln eine Bewilligung nach dem Heilmittelgesetz vom 15. Dezember 2000<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2001/422" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>812.21</b></ref></p></authorialNote> haben;</p></item><item eId="art_74_b/para_1/lbl_i"><num>i. </num><p>Organisationen, die Leistungen zur Absicherung gegen die Folgen von Krankheit, Unfall, Arbeits- und Erwerbsunfähigkeit, Alter, Invalidität und Hilflosigkeit erbringen;</p></item><item eId="art_74_b/para_1/lbl_j"><num>j. </num><p>die Schweizerische Radio- und Fernsehgesellschaft;</p></item><item eId="art_74_b/para_1/lbl_k"><num>k. </num><p>Nachrichtenagenturen von nationaler Bedeutung;</p></item><item eId="art_74_b/para_1/lbl_l"><num>l. </num><p>Anbieterinnen von Postdiensten, die nach Artikel 4 Absatz 1 des Postgesetzes vom 17. Dezember 2010<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2012/585" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>783.0</b></ref></p></authorialNote> bei der Postkommission registriert sind;</p></item><item eId="art_74_b/para_1/lbl_m"><num>m. </num><p>Eisenbahnunternehmen nach Artikel 5 oder 8<i>c</i> des Eisenbahngesetzes vom 20. Dezember 1957<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1958/335_341_347" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>742.101</b></ref></p></authorialNote> sowie Seilbahn-, Trolleybus-, Autobus- und Schifffahrtsunternehmen mit einer Konzession nach Artikel 6 des Personenbeförderungsgesetzes vom 20. März 2009<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2009/680" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>745.1</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_n"><num>n. </num><p>Unternehmen der Zivilluftfahrt, die über eine Bewilligung des Bundesamtes für Zivilluftfahrt verfügen, sowie die Landesflughäfen gemäss Sachplan Infrastruktur der Luftfahrt;</p></item><item eId="art_74_b/para_1/lbl_o"><num>o. </num><p>Unternehmen, die nach dem Seeschifffahrtsgesetz vom 23. September 1953<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1956/1305_1395_1407" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>747.30</b></ref></p></authorialNote> Güter auf dem Rhein befördern, sowie Unternehmen, welche die Registrierung, Ladung oder Löschung im Hafen Basel betreiben;</p></item><item eId="art_74_b/para_1/lbl_p"><num>p. </num><p>Unternehmen, welche die Bevölkerung mit unentbehrlichen Gütern des täglichen Bedarfs versorgen und deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen führen würde;</p></item><item eId="art_74_b/para_1/lbl_q"><num>q. </num><p>Anbieterinnen von Fernmeldediensten, die beim Bundesamt für Kommunikation nach Artikel 4 Absatz 1 FMG<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>784.10</b></ref></p></authorialNote> registriert sind;</p></item><item eId="art_74_b/para_1/lbl_r"><num>r. </num><p>Registerbetreiberinnen und Registrare von Internet-Domains nach Artikel 28<i>b</i> FMG;</p></item><item eId="art_74_b/para_1/lbl_s"><num>s. </num><p>Anbieterinnen und Betreiberinnen von Diensten und Infrastrukturen, die der Ausübung der politischen Rechte dienen;</p></item><item eId="art_74_b/para_1/lbl_t"><num>t. </num><p>Anbieterinnen und Betreiberinnen von Cloudcomputing, Suchmaschinen, digitalen Sicherheits- und Vertrauensdiensten sowie Rechenzentren, sofern sie einen Sitz in der Schweiz haben;</p></item><item eId="art_74_b/para_1/lbl_u"><num>u. </num><blockList><listIntroduction eId="art_74_b/para_1/lbl_u/listintro">Herstellerinnen von Hard- oder Software, deren Produkte von kritischen Infrastrukturen genutzt werden, sofern die Hard- oder Software einen Fernwartungszugang hat oder zu einem der folgenden Zwecken eingesetzt wird:</listIntroduction><item eId="art_74_b/para_1/lbl_u/lbl_1"><num>1. </num><p>Steuerung und Überwachung von betriebstechnischen Systemen und Prozessen,</p></item><item eId="art_74_b/para_1/lbl_u/lbl_2"><num>2. </num><p>Gewährleistung der öffentlichen Sicherheit.</p></item></blockList></item></blockList></content></paragraph><paragraph eId="art_74_b/para_2"><num>2</num><content><p> Bei Behörden und Organisationen, die auch Tätigkeiten ausüben, die nicht unter Absatz 1 fallen, besteht keine Meldepflicht für Cyberangriffe, die sich ausschliesslich auf diese Tätigkeiten auswirken.</p></content></paragraph><paragraph eId="art_74_b/para_3"><num>3</num><content><p> Die Meldepflicht nach Absatz 1 gilt für Cyberangriffe, die sich in der Schweiz auswirken, auch wenn sich die betroffenen Informatikmittel im Ausland befinden.</p></content></paragraph></article><article eId="art_74_c"><num><b>Art. 74</b><i>c</i></num><heading>Ausnahmen von der Meldepflicht</heading><paragraph eId="art_74_c/para"><content><p>Der Bundesrat nimmt Behörden und Organisationen von der Meldepflicht nach Artikel 74<i>b </i>aus, wenn durch Cyberangriffe ausgelöste Funktionsstörungen nur geringe Auswirkungen auf das Funktionieren der Wirtschaft oder das Wohlergehen der Bevölkerung haben.</p></content></paragraph></article><article eId="art_74_d"><num><b>Art. 74</b><i>d</i></num><heading>Zu meldende Cyberangriffe</heading><paragraph eId="art_74_d/para"><content><blockList><listIntroduction eId="art_74_d/para/listintro">Ein Cyberangriff muss gemeldet werden, wenn er:</listIntroduction><item eId="art_74_d/para/lbl_a"><num>a. </num><p>die Funktionsfähigkeit der betroffenen kritischen Infrastruktur gefährdet;</p></item><item eId="art_74_d/para/lbl_b"><num>b. </num><p>zu einer Manipulation oder zu einem Abfluss von Informationen geführt hat;</p></item><item eId="art_74_d/para/lbl_c"><num>c. </num><p>über einen längeren Zeitraum unentdeckt blieb, insbesondere wenn Anzeichen dafür bestehen, dass er zur Vorbereitung weiterer Cyberangriffe ausgeführt wurde; oder</p></item><item eId="art_74_d/para/lbl_d"><num>d. </num><p>mit Erpressung, Drohung oder Nötigung verbunden ist.</p></item></blockList></content></paragraph></article><article eId="art_74_e"><num><b>Art. 74</b><i>e</i></num><heading>Frist und Inhalt der Meldung</heading><paragraph eId="art_74_e/para_1"><num>1</num><content><p> Die Meldung muss innert 24 Stunden nach der Entdeckung des Cyberangriffs erfolgen.</p></content></paragraph><paragraph eId="art_74_e/para_2"><num>2</num><content><p> Sie muss Informationen zur meldepflichtigen Behörde oder Organisation, zur Art und Ausführung des Cyberangriffs, zu seinen Auswirkungen, zu ergriffenen Massnahmen und, soweit bekannt, zum geplanten weiteren Vorgehen enthalten.</p></content></paragraph><paragraph eId="art_74_e/para_3"><num>3</num><content><p> Sind zum Zeitpunkt der Meldung nicht alle erforderlichen Informationen bekannt, so ergänzt die meldepflichtige Behörde oder Organisation die Meldung, sobald sie über neue Informationen verfügt.</p></content></paragraph><paragraph eId="art_74_e/para_4"><num>4</num><content><p> Wer die Meldepflicht für eine Behörde oder Organisation zu erfüllen hat, muss im Rahmen der Meldung keine Angaben machen, die sie oder ihn strafrechtlich belasten.</p></content></paragraph><paragraph eId="art_74_e/para_5"><num>5</num><content><p> Das BACS informiert die meldepflichtige Behörde oder Organisation, sobald alle Angaben zur Erfüllung der Meldepflicht vorliegen.</p></content></paragraph></article><article eId="art_74_f"><num><b>Art. 74</b><i>f</i></num><heading>Übermittlung der Meldung</heading><paragraph eId="art_74_f/para_1"><num>1</num><content><p> Für die elektronische Meldung von Cyberangriffen stellt das BACS ein sicheres System zur Übermittlung der Meldung zur Verfügung.</p></content></paragraph><paragraph eId="art_74_f/para_2"><num>2</num><content><p> Das System muss den meldepflichtigen Behörden und Organisationen ermöglichen, die Meldung des Cyberangriffs oder seiner Auswirkungen gesamthaft oder in Teilen an weitere Behörden zu übermitteln.</p></content></paragraph><paragraph eId="art_74_f/para_3"><num>3</num><content><p> Sind zur Erfüllung einer Meldepflicht gegenüber weiteren Behörden Informationen erforderlich, die über Artikel 74<i>e</i> hinausgehen, so muss das System den meldepflichtigen Behörden und Organisationen ermöglichen, diese Informationen direkt an die betreffenden Behörden zu übermitteln, ohne dass das BACS darauf Zugriff hat.</p></content></paragraph></article></section><section eId="chap_5/sec_3"><num>3. Abschnitt: </num><heading>Datenschutz und Informationsaustausch<inline name="man-font-weight-normal"><authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></inline></heading><article eId="art_75"><num><b>Art. 75</b><authorialNote><p> Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Bearbeitung von Personendaten</heading><paragraph eId="art_75/para_1"><num>1</num><content><blockList><listIntroduction eId="art_75/para_1/listintro"> Das BACS kann zur Erfüllung seiner Aufgaben Personendaten bearbeiten, einschliesslich Adressierungselemente nach Artikel 3 Buchstabe f FMG<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>784.10</b></ref></p></authorialNote> und damit zusammenhängende besonders schützenswerte Personendaten, die Informationen enthalten über:</listIntroduction><item eId="art_75/para_1/lbl_a"><num>a. </num><p>religiöse, weltanschauliche oder politische Ansichten; die Bearbeitung ist nur zulässig, wenn sie für die Bewertung von konkreten Bedrohungen und Gefahren im Bereich der Cybersicherheit erforderlich ist;</p></item><item eId="art_75/para_1/lbl_b"><num>b. </num><p>administrative oder strafrechtliche Verfolgungen und Sanktionen.</p></item></blockList></content></paragraph><paragraph eId="art_75/para_2"><num>2</num><content><p> Bei der Bearbeitung von Personendaten oder bei konkreten Hinweisen auf den Missbrauch einer Identität oder auf die unberechtigte Verwendung von Adressierungselementen informiert das BACS die betroffenen Personen, sofern dies nicht mit unverhältnismässigem Aufwand verbunden ist und keine überwiegenden öffentlichen Interessen entgegenstehen.</p></content></paragraph></article><article eId="art_76"><num><b>Art. 76</b><authorialNote><p> Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Zusammenarbeit im Inland</heading><paragraph eId="art_76/para_1"><num>1</num><content><p> Das BACS und die Betreiberinnen kritischer Infrastrukturen können Personendaten untereinander austauschen, sofern dies zum Schutz vor Cyberbedrohungen erforderlich ist.</p></content></paragraph><paragraph eId="art_76/para_2"><num>2</num><content><p> Das BACS und die Fernmeldedienstanbieterinnen können Adressierungselemente und damit zusammenhängende Personendaten untereinander austauschen, sofern dies zum Schutz vor Cyberbedrohungen erforderlich ist.</p></content></paragraph></article><article eId="art_76_a"><num><b>Art. 76</b><i>a</i><authorialNote><p> Eingefügt durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Unterstützung für Behörden</heading><paragraph eId="art_76_a/para_1"><num>1</num><content><p> Das BACS unterstützt den NDB mit periodischen Auswertungen zu Anzahl, Art und Ausmass von Cyberangriffen sowie, auf Anfrage, mit technischen Analysen von Cyberbedrohungen.</p></content></paragraph><paragraph eId="art_76_a/para_2"><num>2</num><content><p> Es gewährt dem NDB zum Zweck des frühzeitigen Erkennens und Verhinderns von Bedrohungen der inneren oder äusseren Sicherheit, zur Beurteilung der Bedrohungslage und zur nachrichtendienstlichen Frühwarnung zum Schutz kritischer Infrastrukturen nach Artikel 6 Absätze 1 Buchstabe a, 2 und 5 NDG<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2017/494" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>121</b></ref></p></authorialNote> Zugriff auf Informationen, welche die Identität und die Vorgehensweise der Verursacherinnen und Verursacher von Cyberangriffen betreffen.</p></content></paragraph><paragraph eId="art_76_a/para_3"><num>3 </num><content><p>Es gewährt den Strafverfolgungsbehörden Zugriff auf Informationen, welche die Identität und die Vorgehensweise der Verursacherinnen und Verursacher von Cyberangriffen betreffen.</p></content></paragraph><paragraph eId="art_76_a/para_4"><num>4</num><content><p> Es gewährt den kantonalen Stellen, die für die Cybersicherheit zuständig sind, Zugriff auf Informationen, die für den Schutz vor Cyberbedrohungen erforderlich sind.</p></content></paragraph></article><article eId="art_77"><num><b>Art. 77</b><authorialNote><p> Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Internationale Zusammenarbeit</heading><paragraph eId="art_77/para_1"><num>1</num><content><p> Das BACS kann mit ausländischen und internationalen Stellen, die für die Cybersicherheit zuständig sind, Informationen austauschen, die Aufschluss über die Identität und die Vorgehensweise der Verursacherinnen und Verursacher von Cyberangriffen geben, wenn sie diese zur Erfüllung von Aufgaben benötigen, die denjenigen des BACS entsprechen. Umfasst der Informationsaustausch auch Personendaten, sind Artikel 16 und 17 DSG<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>235.1</b></ref></p></authorialNote> zu beachten.</p></content></paragraph><paragraph eId="art_77/para_2"><num>2</num><content><p> Der Informationsaustausch nach Absatz 1 ist nur dann zulässig, wenn die ausländischen und internationalen Stellen die bestimmungsgemässe Verwendung gewährleisten.</p></content></paragraph></article><article eId="art_78"><num><b>Art. 78</b><authorialNote><p> Aufgehoben durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), mit Wirkung seit 1. April 2025  (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num></article><article eId="art_79"><num><b>Art. 79</b></num><heading>Datenaufbewahrung und -archivierung</heading><paragraph eId="art_79/para_1"><num>1</num><content><p> Das BACS bewahrt Personendaten nur so lange auf, wie dies zur Erkennung von Cyberbedrohungen oder zur Bewältigung von Cybervorfällen zweckmässig ist, höchstens jedoch fünf Jahre ab der letzten Verwendung zu diesem Zweck. Bei besonders schützenswerten Personendaten beträgt die Frist zwei Jahre.<authorialNote><p> Fassung gemäss Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), in Kraft seit 1. April 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_79/para_2"><num>2</num><content><p> Die Archivierung der Daten richtet sich nach den Vorschriften der Archivierungsgesetzgebung.</p></content></paragraph></article><article eId="art_80"><num><b>Art. 80</b><authorialNote><p> Aufgehoben durch Ziff. I des BG vom 29. Sept. 2023 (Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen), mit Wirkung seit 1. April 2025  (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">BBl <b>2023</b> 84</ref>).</p></authorialNote></num></article></section></chapter><chapter eId="chap_6"><num>6. Kapitel: </num><heading>Organisation und Vollzug</heading><section eId="chap_6/sec_1"><num>1. Abschnitt:</num><heading>Organisation</heading><article eId="art_81"><num><b>Art. 81</b></num><heading>Informationssicherheitsbeauftragte</heading><paragraph eId="art_81/para_1"><num>1</num><content><blockList><listIntroduction eId="art_81/para_1/listintro"> Die folgenden Behörden und Organisationen bezeichnen für ihren Zuständigkeitsbereich eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten sowie eine Stellvertreterin oder einen Stellvertreter:</listIntroduction><item eId="art_81/para_1/lbl_a"><num>a. </num><p>Bundesrat;</p></item><item eId="art_81/para_1/lbl_b"><num>b. </num><p>Verwaltungsdelegation der Bundesversammlung;</p></item><item eId="art_81/para_1/lbl_c"><num>c. </num><p>eidgenössische Gerichte;</p></item><item eId="art_81/para_1/lbl_d"><num>d. </num><p>Bundesanwaltschaft;</p></item><item eId="art_81/para_1/lbl_e"><num>e. </num><p>Schweizerische Nationalbank;</p></item><item eId="art_81/para_1/lbl_f"><num>f. </num><p>Departemente und Bundeskanzlei.</p></item></blockList></content></paragraph><paragraph eId="art_81/para_2"><num>2</num><content><blockList><listIntroduction eId="art_81/para_2/listintro"> Die Informationssicherheitsbeauftragten haben folgende Aufgaben:</listIntroduction><item eId="art_81/para_2/lbl_a"><num>a. </num><p>Sie beraten und unterstützen die zuständigen Stellen in ihrem Bereich bei der Erfüllung ihrer Aufgaben und Pflichten nach diesem Gesetz.</p></item><item eId="art_81/para_2/lbl_b"><num>b. </num><p>Sie steuern im Auftrag ihrer Behörde oder Organisation die Fachorganisation der Informationssicherheit sowie das entsprechende Risikomanagement.</p></item><item eId="art_81/para_2/lbl_c"><num>c. </num><p>Sie überprüfen im Auftrag ihrer Behörde oder Organisation die Einhaltung der Vorgaben der Informationssicherheit, erstatten Bericht und beantragen die erforderlichen Massnahmen.</p></item><item eId="art_81/para_2/lbl_d"><num>d. </num><p>Sie können der Fachstelle des Bundes für Informationssicherheit sowie den Stellen nach Artikel 74 Absatz 5 sicherheitsrelevante Vorfälle melden.</p></item></blockList></content></paragraph><paragraph eId="art_81/para_3"><num>3</num><content><p> Den Informationssicherheitsbeauftragten werden keine Aufgaben übertragen, die einen Interessenkonflikt mit Aufgaben nach Absatz 2 zur Folge haben können.</p></content></paragraph></article><article eId="art_82"><num><b>Art. 82</b></num><heading>Konferenz der Informationssicherheitsbeauftragten</heading><paragraph eId="art_82/para_1"><num>1</num><content><p> Die Konferenz der Informationssicherheitsbeauftragten wird aus den Informationssicherheitsbeauftragten nach Artikel 81 Absatz 1 sowie zwei Vertreterinnen oder Vertretern der Kantone und der oder dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten gebildet.</p></content></paragraph><paragraph eId="art_82/para_2"><num>2</num><content><blockList><listIntroduction eId="art_82/para_2/listintro"> Sie hat folgende Aufgaben:</listIntroduction><item eId="art_82/para_2/lbl_a"><num>a. </num><p>Sie fördert den einheitlichen Vollzug dieses Gesetzes.</p></item><item eId="art_82/para_2/lbl_b"><num>b. </num><p>Sie wirkt bei der Standardisierung der Anforderungen und Massnahmen nach Artikel 85 mit.</p></item><item eId="art_82/para_2/lbl_c"><num>c. </num><p>Sie berät die Fachstelle des Bundes für Informationssicherheit in allen Fragen der Vollzugskoordination und in Belangen von strategischer Bedeutung.</p></item><item eId="art_82/para_2/lbl_d"><num>d. </num><p>Sie sorgt für den Informationsaustausch insbesondere in Zusammenhang mit dem Risikomanagement sowie mit Problemen und Vorfällen im Bereich der Informationssicherheit.</p></item><item eId="art_82/para_2/lbl_e"><num>e. </num><p>Sie sorgt für die Koordination mit den anderen Stellen, die Aufgaben im Bereich der Informationssicherheit erfüllen.</p></item></blockList></content></paragraph><paragraph eId="art_82/para_3"><num>3</num><content><p> Die Konferenz gibt sich ein Geschäftsreglement.</p></content></paragraph></article><article eId="art_83"><num><b>Art. 83</b></num><heading>Fachstelle des Bundes für Informationssicherheit</heading><paragraph eId="art_83/para_1"><num>1</num><content><blockList><listIntroduction eId="art_83/para_1/listintro"> Die Fachstelle des Bundes für Informationssicherheit hat folgende Aufgaben:</listIntroduction><item eId="art_83/para_1/lbl_a"><num>a. </num><p>Sie berät und unterstützt die verpflichteten Behörden, deren Informationssicherheitsbeauftragte und die Kantone beim Vollzug dieses Gesetzes.</p></item><item eId="art_83/para_1/lbl_b"><num>b. </num><p>Sie kann bei Gefährdungen der Informationssicherheit des Bundes Empfehlungen abgeben.</p></item><item eId="art_83/para_1/lbl_c"><num>c. </num><p>Sie kann auf Antrag der verpflichteten Behörden Überprüfungen durchführen.</p></item><item eId="art_83/para_1/lbl_d"><num>d. </num><p>Sie kann auf Antrag der verpflichteten Behörden die Risiken für die Informationssicherheit beim Einsatz neuartiger Technologien beurteilen.</p></item><item eId="art_83/para_1/lbl_e"><num>e. </num><p>Sie kann auf Antrag der verpflichteten Behörden und Organisationen prüfen, ob deren Prozesse, Mittel, Einrichtungen, Gegenstände und Dienstleistungen den Anforderungen an die Informationssicherheit entsprechen.</p></item><item eId="art_83/para_1/lbl_f"><num>f. </num><p>Sie kann auf Antrag der verpflichteten Behörden die Informationssicherheit bei wichtigen behördenübergreifenden Projekten steuern und koordinieren.</p></item><item eId="art_83/para_1/lbl_g"><num>g. </num><p>Sie ist Ansprechstelle für Fachkontakte mit inländischen, ausländischen und internationalen Stellen.</p></item><item eId="art_83/para_1/lbl_h"><num>h. </num><p>Sie erstattet dem Bundesrat jährlich Bericht über den Stand der Informationssicherheit des Bundes.</p></item></blockList></content></paragraph><paragraph eId="art_83/para_2"><num>2</num><content><p> Die oder der Informationssicherheitsbeauftragte des Bundesrats ist gleichzeitig die Leiterin oder der Leiter der Fachstelle des Bundes für Informationssicherheit.</p></content></paragraph><paragraph eId="art_83/para_3"><num>3</num><content><p> Der Bundesrat regelt die Organisation der Fachstelle des Bundes für Informationssicherheit. Er kann ihr weitere Aufgaben für die Bundesverwaltung und die Armee zuweisen.</p></content></paragraph></article></section><section eId="chap_6/sec_2"><num>2. Abschnitt: </num><heading>Vollzug</heading><article eId="art_84"><num><b>Art. 84</b></num><heading>Ausführungsbestimmungen</heading><paragraph eId="art_84/para_1"><num>1</num><content><p> Die verpflichteten Behörden erlassen die für den Vollzug dieses Gesetzes erforderlichen Ausführungsbestimmungen. Der Bundesrat kann den Erlass von Ausführungsbestimmungen für Bundesratsgeschäfte der Bundeskanzlei übertragen.</p></content></paragraph><paragraph eId="art_84/para_2"><num>2</num><content><p> Zuständigkeiten, die das vorliegende Gesetz den verpflichteten Behörden zuweist, werden für die Bundesversammlung durch die Verwaltungsdelegation der Bundesversammlung wahrgenommen.</p></content></paragraph><paragraph eId="art_84/para_3"><num>3</num><content><p> Die Ausführungsbestimmungen des Bundesrats gelten für die verpflichteten Behörden sinngemäss, sofern diese keine eigenen Ausführungsbestimmungen erlassen.</p></content></paragraph></article><article eId="art_85"><num><b>Art. 85</b></num><heading>Standardanforderungen und -massnahmen</heading><paragraph eId="art_85/para_1"><num>1</num><content><p> Der Bundesrat legt standardisierte Sicherheitsanforderungen sowie standardisierte organisatorische, personelle, technische und bauliche Massnahmen zur Gewährleistung der Informationssicherheit nach dem Stand von Wissenschaft und Technik fest.</p></content></paragraph><paragraph eId="art_85/para_2"><num>2</num><content><p> Er kann diese Aufgabe delegieren.</p></content></paragraph><paragraph eId="art_85/para_3"><num>3</num><content><p> Die Standardanforderungen und -massnahmen haben empfehlenden Charakter, sofern sie von den verpflichteten Behörden nicht für verbindlich erklärt werden.</p></content></paragraph></article><article eId="art_86"><num><b>Art. 86</b></num><heading>Kantone</heading><paragraph eId="art_86/para_1"><num>1</num><content><p> Die Kantone sorgen für die periodische Überprüfung der Umsetzung und Wirksamkeit der Informationssicherheit nach Artikel 3.</p></content></paragraph><paragraph eId="art_86/para_2"><num>2</num><content><p> Sie informieren die Fachstelle des Bundes für Informationssicherheit über die Ergebnisse der Überprüfungen nach Absatz 1.</p></content></paragraph><paragraph eId="art_86/para_3"><num>3</num><content><p> Sie bezeichnen für Fragen der Informationssicherheit je eine Dienststelle als Ansprechpartnerin für die verpflichteten Behörden.</p></content></paragraph><paragraph eId="art_86/para_4"><num>4</num><content><p> Der Bundesrat legt fest, in welchen Fällen die Kantone die Leistungen der Fachstellen nach diesem Gesetz für ihre eigene Informationssicherheit in Anspruch nehmen können. Die Leistungen sind gebührenpflichtig. Der Bundesrat legt die Höhe der Gebühren fest.</p></content></paragraph></article><article eId="art_87"><num><b>Art. 87</b></num><heading>Völkerrechtliche Verträge</heading><paragraph eId="art_87/para"><content><blockList><listIntroduction eId="art_87/para/listintro">Der Bundesrat ist ermächtigt, völkerrechtliche Verträge im Bereich der Informationssicherheit abzuschliessen:</listIntroduction><item eId="art_87/para/lbl_a"><num>a. </num><p>zum Austausch von Informationen über Gefährdungen, Schwachstellen und Vorfälle im Bereich der Informationssicherheit, insbesondere von kritischen Infrastrukturen;</p></item><item eId="art_87/para/lbl_b"><num>b. </num><p>zum Austausch von klassifizierten Informationen;</p></item><item eId="art_87/para/lbl_c"><num>c. </num><p>zur Durchführung von Personensicherheitsprüfungen und Betriebssicherheitsverfahren;</p></item><item eId="art_87/para/lbl_d"><num>d. </num><p>zur Anerkennung von Sicherheitserklärungen;</p></item><item eId="art_87/para/lbl_e"><num>e. </num><p>zur Durchführung von Kontrollen.</p></item></blockList></content></paragraph></article><article eId="art_88"><num><b>Art. 88</b></num><heading>Evaluation</heading><paragraph eId="art_88/para_1"><num>1</num><content><p> Der Bundesrat sorgt dafür, dass die Umsetzung, die Zweckmässigkeit, die Wirksamkeit und die Wirtschaftlichkeit dieses Gesetzes periodisch <inline name="man-color-211D1E">durch eine unabhängige Stelle, wie die Eidgenössische Finanzkontrolle, </inline>überprüft werden.</p></content></paragraph><paragraph eId="art_88/para_2"><num>2</num><content><p> Er erstattet den zuständigen Kommissionen der Bundesversammlung regelmässig Bericht.</p></content></paragraph></article></section></chapter><chapter eId="chap_7"><num>7. Kapitel: </num><heading>Schlussbestimmungen</heading><article eId="art_89"><num><b>Art. 89</b></num><heading>Änderung anderer Erlasse</heading><paragraph eId="art_89/para"><content><p>Die Änderung anderer Erlasse wird im Anhang 1 geregelt.</p></content></paragraph></article><article eId="art_90"><num><b>Art. 90</b></num><heading>Übergangsbestimmungen</heading><paragraph eId="art_90/para_1"><num>1</num><content><p> Nach bisherigem Recht klassifizierte Informationen werden an die Bestimmungen dieses Gesetzes angepasst, sobald sie nach Inkrafttreten dieses Gesetzes zum ersten Mal bearbeitet werden.</p></content></paragraph><paragraph eId="art_90/para_2"><num>2</num><content><p> Informatikmittel müssen innerhalb von zwei Jahren nach Inkrafttreten dieses Gesetzes eingestuft werden. Technische Massnahmen zur Gewährleistung der Informationssicherheit müssen innerhalb von sechs Jahren nach Inkrafttreten dieses Gesetzes umgesetzt werden.</p></content></paragraph><paragraph eId="art_90/para_3"><num>3</num><content><p> Nach bisherigem Recht im Rahmen von Personensicherheitsprüfungen ausgestellte Sicherheits- und Risikoerklärungen sowie nach bisherigem Recht ausgestellte Betriebssicherheitserklärungen sind fünf Jahre ab deren Ausstellung gültig.</p></content></paragraph></article><article eId="art_91"><num><b>Art. 91</b></num><heading>Koordination mit anderen Erlassen</heading><paragraph eId="art_91/para"><content><p>Die Koordination mit anderen Erlassen wird im Anhang 2 geregelt.</p></content></paragraph></article><article eId="art_92"><num><b>Art. 92</b></num><heading>Referendum und Inkrafttreten</heading><paragraph eId="art_92/para_1"><num>1</num><content><p> Dieses Gesetz untersteht dem fakultativen Referendum.</p></content></paragraph><paragraph eId="art_92/para_2"><num>2</num><content><p> Der Bundesrat bestimmt das Inkrafttreten.</p><p>Datum des Inkrafttretens: <br/>Artikel 87: 1. Mai 2022<authorialNote><p> BRB vom 6. April 2022</p></authorialNote> <br/>Die übrigen Bestimmungen: 1. Januar 2024<authorialNote><p> V vom 8. Nov. 2023 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2023</b> 650</ref>)</p></authorialNote></p></content></paragraph></article></chapter></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni in seno alla Confederazione (Legge sulla sicurezza delle informazioni, LSIn)" shortForm="LSIn"/><FRBRname xml:lang="de" value="Bundesgesetz vom 18. Dezember 2020 über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG)" shortForm="ISG"/><FRBRname xml:lang="fr" value="Loi fédérale du 18 décembre 2020 sur la sécurité de l’information au sein de la Confédération (Loi sur la sécurité de l’information, LSI)" shortForm="LSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de/xml"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="num">Anhang 1</block></container></preface><mainBody><p>(Art. 89)</p><level eId="annex_1/lvl_u1"><heading>Änderung anderer Erlasse</heading><content><p>Die nachstehenden Erlasse werden wie folgt geändert:</p><p>…<authorialNote><p> Die Änderungen können unter <ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2022</b> 232 </ref>konsultiert werden.</p></authorialNote></p></content></level></mainBody></doc></component><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni in seno alla Confederazione (Legge sulla sicurezza delle informazioni, LSIn)" shortForm="LSIn"/><FRBRname xml:lang="de" value="Bundesgesetz vom 18. Dezember 2020 über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG)" shortForm="ISG"/><FRBRname xml:lang="fr" value="Loi fédérale du 18 décembre 2020 sur la sécurité de l’information au sein de la Confédération (Loi sur la sécurité de l’information, LSI)" shortForm="LSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/de/xml"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="num">Anhang 2</block></container></preface><mainBody><p>(Art. 91)</p><level eId="annex_2/lvl_u1"><heading>Koordination anderer Erlasse</heading><content><p>…<authorialNote><p> Die Koordinationbestimmungen können unter <ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2022</b> 232 </ref>konsultiert werden.</p></authorialNote></p></content></level></mainBody></doc></component></components></act></akomaNtoso>