Verordnung vom 8. November 2023 über die Informationssicherheit in der Bundesverwaltung und der Armee (Informationssicherheitsverordnung, ISV) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza dell’8 novembre 2023 sulla sicurezza delle informazioni in seno all’Amministrazione federale e all’esercito (Ordinanza sulla sicurezza delle informazioni, OSIn)" shortForm="OSIn"/><FRBRname xml:lang="de" value="Verordnung vom 8. November 2023 über die Informationssicherheit in der Bundesverwaltung und der Armee (Informationssicherheitsverordnung, ISV)" shortForm="ISV"/><FRBRname xml:lang="fr" value="Ordonnance du 8 novembre 2023 sur la sécurité de l’information dans l’administration fédérale et l’armée (Ordonnance sur la sécurité de l’information, OSI)" shortForm="OSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de/xml"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2025-q1-rel-1.7.1"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Bundeskanzlei"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/DEU" showAs="de"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>128.1</docNumber></p><p><docTitle>Verordnung <br/>über die Informationssicherheit in der Bundesverwaltung und der Armee</docTitle></p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">(Informationssicherheitsverordnung, ISV)</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">vom 8. November 2023 (Stand am 1. Mai 2025)</p></preface><preamble><p>Der Schweizerische Bundesrat,</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">gestützt auf die Artikel 2 Abätze 3 und 4, 12 Absatz 3, 83 Absatz 3, 84 Absatz 1, 85 Absätze 1 und 2 und 86 Absatz 4 des Informationssicherheitsgesetzes vom 18. Dezember 2020<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR<b> 128</b></ref></p></authorialNote> (ISG),</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">verordnet:</p></preamble><body><section eId="sec_1"><num>1. Abschnitt: </num><heading>Allgemeine Bestimmungen</heading><article eId="art_1"><num><b>Art. 1</b></num><heading>Gegenstand</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 1 ISG)</subheading><paragraph eId="art_1/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Diese Verordnung regelt die Aufgaben, Verantwortlichkeiten und Kompetenzen sowie die Verfahren zur Gewährleistung der Informationssicherheit bei der Bundesverwaltung und der Armee.</p></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Geltungsbereich</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 2–3 ISG)</subheading><paragraph eId="art_2/para_1"><num>1</num><content><blockList><listIntroduction eId="art_2/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Diese Verordnung gilt für:</listIntroduction><item eId="art_2/para_1/lbl_a"><num>a. </num><p>den Bundesrat;</p></item><item eId="art_2/para_1/lbl_b"><num>b. </num><p>die Departemente;</p></item><item eId="art_2/para_1/lbl_c"><num>c. </num><p>die Bundeskanzlei (BK), die Generalsekretariate, die Gruppen und die Bundesämter;</p></item><item eId="art_2/para_1/lbl_d"><num>d. </num><p>die Armee.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><blockList><listIntroduction eId="art_2/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Für Verwaltungseinheiten der dezentralen Bundesverwaltung nach Artikel 2 Absatz 3 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2022_2022_2022" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.010</b></ref></p></authorialNote> (RVOG) und Organisationen und Personen nach Artikel 2 Absatz 4 RVOG gelten die folgenden Bestimmungen des ISG und der vorliegenden Verordnung:<authorialNote><p> Fassung gemäss Anhang 2 Ziff. II 1 der Digitalisierungsverordnung vom 2. April 2025, in Kraft seit 1. Mai 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/235" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2025</b> 235</ref>).</p></authorialNote></listIntroduction><item eId="art_2/para_2/lbl_a"><num>a. </num><p>wenn sie klassifizierte Informationen des Bundes bearbeiten: die Artikel 5–6, 9–10, 12–15, 20–23 und 27–73 ISG sowie die Artikel 16, 21, 24, 26 und 32, 34–35 dieser Verordnung;</p></item><item eId="art_2/para_2/lbl_b"><num>b.<authorialNote><p> Fassung gemäss Anhang 2 Ziff. II 1 der Digitalisierungsverordnung vom 2. April 2025, in Kraft seit 1. Mai 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/235" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2025</b> 235</ref>).</p></authorialNote> </num><p>wenn sie auf Informatikmittel der internen IKT-Leistungserbringer nach Artikel 10 der Digitalisierungsverordnung vom 2. April 2025<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2023/754" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.019.1</b></ref></p></authorialNote> (DigiV) zugreifen oder ihre eigenen Informatikmittel durch diese Leistungserbringer betreiben lassen: die Artikel 5–6, 9–10, 16–73 ISG sowie die Artikel 10–12, 27 und 29–35 dieser Verordnung.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die BK und die Departemente können in ihrem Zuständigkeitsbereich Verwaltungseinheiten der dezentralen Bundesverwaltung, die ständig sicherheitsempfindliche Tätigkeiten ausüben, dem gesamten ISG unterstellen.</p></content></paragraph><paragraph eId="art_2/para_4"><num>4</num><content><blockList><listIntroduction eId="art_2/para_4/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Für die Kantone gelten unter Vorbehalt von Artikel 3 Absatz 2 ISG die folgenden Bestimmungen dieser Verordnung:</listIntroduction><item eId="art_2/para_4/lbl_a"><num>a. </num><p>bei der Bearbeitung von klassifizierten Informationen des Bundes: die Bestimmungen des 4. Abschnitts;</p></item><item eId="art_2/para_4/lbl_b"><num>b. </num><p>beim Zugriff auf Informatikmittel des Bundes: die Artikel 28–30 und 34.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Gruppe Verteidigung übernimmt für die Armee die Aufgaben, Kompetenzen und Verantwortlichkeiten, die diese Verordnung den Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c zuweist.</p></content></paragraph></article></section><section eId="sec_2"><num>2. Abschnitt: </num><heading>Grundsätze</heading><article eId="art_3"><num><b>Art. 3</b></num><heading>Sicherheitsziele</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 2 Bst. a ISG)</subheading><paragraph eId="art_3/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Organisationen nach Artikel 2 Absatz 1 sorgen gemeinsam für einen risikobasierten Schutz ihrer Informationen und Informatikmittel sowie für eine angemessene Resilienz gegenüber Informationssicherheitsrisiken.</p></content></paragraph><paragraph eId="art_3/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie tragen durch die Zusammenarbeit und den Informationsaustausch mit den anderen Bundesbehörden, den Kantonen, den Gemeinden, der Wirtschaft, der Gesellschaft, der Wissenschaft und den internationalen Partnern zur Verbesserung der Informationssicherheit der Schweiz bei.</p></content></paragraph><paragraph eId="art_3/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie setzen sich für eine nationale und internationale Harmonisierung der Sicherheitsvorschriften und -niveaus ein, um die Interaktion von Bundesbehörden mit anderen Behörden des Bundes sowie den Kantonen, den Gemeinden und den internationalen Partnern zu ermöglichen.</p></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Verantwortung</heading><paragraph eId="art_4/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c sind für den Schutz der Informationen, die sie bearbeiten oder deren Bearbeitung sie in Auftrag geben, sowie die Sicherheit der Informatikmittel, die sie selber betreiben oder durch Dritte betreiben lassen, verantwortlich.</p></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c nehmen in ihrem Zuständigkeitsbereich alle Aufgaben wahr, die diese Verordnung oder das übrige Bundesrecht nicht einer anderen Organisation oder Stelle zuweist.</p></content></paragraph><paragraph eId="art_4/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Mitarbeitenden der Bundesverwaltung sowie die Angehörigen der Armee, die Informationen bearbeiten oder Informatikmittel des Bundes nutzen, sind für die vorschriftskonforme Bearbeitung und Nutzung verantwortlich.</p></content></paragraph><paragraph eId="art_4/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Vorgesetzten aller Stufen sind für die aufgabenbezogene Schulung ihrer Mitarbeitenden beziehungsweise der ihnen unterstellten Angehörigen der Armee im Bereich der Informationssicherheit sowie für die Überprüfung der Einhaltung der Vorschriften durch diese verantwortlich.</p></content></paragraph></article></section><section eId="sec_3"><num>3. Abschnitt: </num><heading>Management der Informationssicherheit</heading><article eId="art_5"><num><b>Art. 5</b></num><heading>Informationssicherheits-Managementsystem</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 ISG)</subheading><paragraph eId="art_5/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c erstellen je ein Informationssicherheits-Managementsystem (ISMS).</p></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie legen die Ziele für ihr ISMS fest, prüfen jährlich, ob die Ziele erreicht werden, und erheben die dafür nötigen Kennzahlen.</p></content></paragraph><paragraph eId="art_5/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie lassen ihr ISMS mindestens alle drei Jahre von einer unabhängigen Stelle oder ihrem Departement überprüfen und sorgen für die kontinuierliche Verbesserung des Systems.</p></content></paragraph><paragraph eId="art_5/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie koordinieren ihr ISMS mit dem ordentlichen Risikomanagement, dem betrieblichen Kontinuitätsmanagement und dem Krisenmanagement.</p></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Pflege der Rechtsgrundlagen und vertraglichen Verpflichtungen</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 ISG)</subheading><paragraph eId="art_6/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c, die Departemente und die Fachstelle des Bundes für Informationssicherheit führen je ein Verzeichnis der in ihrem Zuständigkeitsbereich massgebenden Rechtsgrundlagen und vertraglichen Verpflichtungen zur Informationssicherheit und halten es aktuell.</p></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Inventarisierung der Schutzobjekte</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 ISG)</subheading><paragraph eId="art_7/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c führen ein Inventar ihrer Schutzobjekte und halten es aktuell.</p></content></paragraph><paragraph eId="art_7/para_2"><num>2</num><content><blockList><listIntroduction eId="art_7/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Als Schutzobjekte gelten einzelne oder mehrere gleichartige oder zusammenhängende:</listIntroduction><item eId="art_7/para_2/lbl_a"><num>a. </num><p>Sammlungen von Informationen, die zur Abwicklung eines Geschäftsprozesses des Bundes bearbeitet werden;</p></item><item eId="art_7/para_2/lbl_b"><num>b. </num><p>Informatikmittel nach Artikel 5 Buchstabe a ISG.</p></item></blockList></content></paragraph><paragraph eId="art_7/para_3"><num>3</num><content><blockList><listIntroduction eId="art_7/para_3/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Im Inventar ist festzuhalten:</listIntroduction><item eId="art_7/para_3/lbl_a"><num>a. </num><p>der Schutzbedarf der Schutzobjekte;</p></item><item eId="art_7/para_3/lbl_b"><num>b. </num><p>die Verantwortlichkeiten für die Schutzobjekte;</p></item><item eId="art_7/para_3/lbl_c"><num>c. </num><p>die Beteiligung von Dritten;</p></item><item eId="art_7/para_3/lbl_d"><num>d. </num><p>das Ergebnis der Risikobeurteilung;</p></item><item eId="art_7/para_3/lbl_e"><num>e. </num><p>die Umsetzung der Sicherheitsmassnahmen und der Übernahme der Risiken, die nicht hinreichend reduziert werden können (Restrisiken);</p></item><item eId="art_7/para_3/lbl_f"><num>f. </num><p>die periodischen Kontrollen und Audits;</p></item><item eId="art_7/para_3/lbl_g"><num>g. </num><p>gegebenenfalls: die geteilte Nutzung der Schutzobjekte.</p></item></blockList></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Risikomanagement</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 2 Bst. b und 8 ISG)</subheading><paragraph eId="art_8/para_1"><num>1</num><content><blockList><listIntroduction eId="art_8/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c beurteilen laufend die Risiken für ihre Schutzobjekte und nehmen insbesondere folgende Aufgaben wahr:</listIntroduction><item eId="art_8/para_1/lbl_a"><num>a. </num><p>Sie analysieren regelmässig Bedrohungen und Schwachstellen und bewerten deren Auswirkungen auf die Schutzobjekte.</p></item><item eId="art_8/para_1/lbl_b"><num>b. </num><p>Sie setzen die notwendigen Massnahmen um und kontrollieren die Wirkung.</p></item><item eId="art_8/para_1/lbl_c"><num>c. </num><p>Sie kontrollieren die Einhaltung der Vorgaben.</p></item><item eId="art_8/para_1/lbl_d"><num>d. </num><p>Sie weisen die Akzeptanz der Restrisiken nach.</p></item></blockList></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit, das Bundesamt für Cybersicherheit (BACS), die leistungserbringenden Verwaltungseinheiten und die Sicherheitsorgane des Bundes informieren die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c und die Departemente über aktuelle Bedrohungen und Schwachstellen sowie über Risiken, die sie betreffen. Sie empfehlen bei Bedarf Massnahmen zur Risikominderung.</p></content></paragraph><paragraph eId="art_8/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c berichten über ihre Informationssicherheitsrisiken im Rahmen des ordentlichen Risikomanagementprozesses nach den Vorgaben der Eidgenössischen Finanzverwaltung.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Bewilligung und Verzeichnung von Ausnahmen</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 ISG)</subheading><paragraph eId="art_9/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Kann eine Verwaltungseinheit für ein Schutzobjekt eine für sie verbindliche Vorgabe einer generell-abstrakten Weisung nach Artikel 85 ISG nicht erfüllen, so benötigt sie eine Ausnahmebewilligung der Stelle, welche die Weisungen erlassen hat.</p></content></paragraph><paragraph eId="art_9/para_2"><num><span>2</span></num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"><span> Betrifft eine Ausnahme, die im Kompetenzbereich der Fachstelle des Bundes für Informationssicherheit liegt, auch Vorgaben der BK über die digitale Transformation und die IKT-Lenkung, so hört die Fachstelle vorgängig die DTI-Delegierte oder den DTI-Delegierten an.</span><authorialNote><p> Fassung gemäss Anhang 2 Ziff. II 1 der Digitalisierungsverordnung vom 2. April 2025, in Kraft seit 1. Mai 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/235" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2025</b> 235</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_9/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c, die Departemente und die Fachstelle des Bundes für Informationssicherheit führen je ein Verzeichnis der gültigen Ausnahmebewilligungen.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Zusammenarbeit mit Dritten</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 9 ISG)</subheading><paragraph eId="art_10/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c beurteilen die Risiken für ihre Schutzobjekte bei der Zusammenarbeit mit Dritten und ihre Abhängigkeit von Dritten.</p></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die zentralen Beschaffungsstellen nach Artikel 5 der Verordnung vom 1. Mai 2024<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2024/224" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.056.15</b></ref></p></authorialNote> über die Organisation des öffentlichen Beschaffungswesens der Bundesverwaltung (Org‑VöB) wirken bei der Beurteilung mit und stellen die nötigen Informationen zur Verfügung.<authorialNote><p> Fassung gemäss Art. 44 Abs. 2 Ziff. 1 der V vom 1. Mai 2024 über die Organisation des öffentlichen Beschaffungswesens der Bundesverwaltung, in Kraft seit 1. Juli 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/224" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 224</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_10/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit empfiehlt nach Konsultation des BACS und der Beschaffungskonferenz des Bundes nach Artikel 30 Org‑VöB, welche Bestimmungen zur Informationssicherheit in allen Beschaffungs- und Dienstleistungsverträgen des Bundes enthalten sein sollen.<authorialNote><p> Fassung gemäss Art. 44 Abs. 2 Ziff. 1 der V vom 1. Mai 2024 über die Organisation des öffentlichen Beschaffungswesens der Bundesverwaltung, in Kraft seit 1. Juli 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/224" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 224</ref>).</p></authorialNote></p></content></paragraph></article><article eId="art_11"><num><b>Art. 11</b></num><heading>Schulung und Sensibilisierung</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 und 20 Abs. 1 Bst. c ISG)</subheading><paragraph eId="art_11/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c schulen ihre Mitarbeitenden bei Stellenantritt und anschliessend periodisch so, dass sie ihre Verantwortung in Bezug auf die Informationssicherheit wahrnehmen können. Sie führen ein Verzeichnis über die Schulungen und die Teilnahme daran.</p></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><blockList><listIntroduction eId="art_11/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Inhalt der Schulungen ist insbesondere:</listIntroduction><item eId="art_11/para_2/lbl_a"><num>a. </num><p>die korrekte Identifizierung des Schutzbedarfs von Informationen;</p></item><item eId="art_11/para_2/lbl_b"><num>b. </num><p>der sichere Umgang mit Informationen und Informatikmitteln;</p></item><item eId="art_11/para_2/lbl_c"><num>c. </num><p>die korrekte Reaktion bei Verdacht auf einen Sicherheitsvorfall;</p></item><item eId="art_11/para_2/lbl_d"><num>d. </num><p>die Kenntnis der Sicherheitsorganisation sowie der Kontaktpersonen bei Fragen zur Informationssicherheit;</p></item><item eId="art_11/para_2/lbl_e"><num>e. </num><p>die Kontrollaufgaben der Vorgesetzten;</p></item><item eId="art_11/para_2/lbl_f"><num>f. </num><p>die Umsetzung der Informationssicherheit in Projekten und im Betrieb.</p></item></blockList></content></paragraph><paragraph eId="art_11/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c, die Departemente und die Fachstelle des Bundes für Informationssicherheit sorgen für die regelmässige Sensibilisierung der Mitarbeitenden aller Stufen in Bezug auf die Risiken der Informationssicherheit.</p></content></paragraph><paragraph eId="art_11/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit erstellt Schulungs- und Sensibilisierungshilfsmittel.</p></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Vorfallmanagement</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 und 10 Abs. 1 ISG)</subheading><paragraph eId="art_12/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c legen in Absprache mit ihren Leistungserbringern fest, wie Sicherheitsvorfälle und Sicherheitslücken gemeldet und bewältigt beziehungsweise behandelt werden. Sie legen fest, wer Sofortmassnahmen anordnen kann.</p></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Entdeckt ein Leistungserbringer Sicherheitsvorfälle oder Sicherheitslücken, die eine ihrer leistungsbeziehenden Verwaltungseinheiten betreffen, so meldet er ihr diese unverzüglich und unterstützt sie bei der Bewältigung beziehungsweise Behandlung.</p></content></paragraph><paragraph eId="art_12/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit und das BACS können die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c und die Departemente bei der Bewältigung von Sicherheitsvorfällen und der Behandlung von Sicherheitslücken unterstützen.</p></content></paragraph><paragraph eId="art_12/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c prüfen bei der Bewältigung von Sicherheitsvorfällen, ob eine Meldung nach der Datenschutzgesetzgebung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten erfolgen muss.</p></content></paragraph><paragraph eId="art_12/para_5"><num>5</num><content><blockList><listIntroduction eId="art_12/para_5/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie informieren ihr Departement und die Fachstelle des Bundes für Informationssicherheit unverzüglich über den Sicherheitsvorfall oder die Sicherheitslücke, wenn eine der folgenden Voraussetzungen erfüllt ist:</listIntroduction><item eId="art_12/para_5/lbl_a"><num>a. </num><p>Die Funktionsfähigkeit der Bundesverwaltung könnte gefährdet sein.</p></item><item eId="art_12/para_5/lbl_b"><num>b. </num><p>Ein Informatikmittel der Sicherheitsstufe «hoher Schutz» oder «sehr hoher Schutz» ist betroffen.</p></item><item eId="art_12/para_5/lbl_c"><num>c. </num><p>Es könnten mehrere Departemente betroffen sein.</p></item><item eId="art_12/para_5/lbl_d"><num>d. </num><p>Der Schutz klassifizierter Informationen eines Staats oder einer internationalen Organisation, mit welchem oder welcher der Bundesrat einen völkerrechtlichen Vertrag nach Artikel 87 ISG abgeschlossen hat, könnte gefährdet sein.</p></item><item eId="art_12/para_5/lbl_e"><num>e. </num><p>Der Sicherheitsvorfall oder die Sicherheitslücke könnte eine hohe politische Bedeutung haben.</p></item><item eId="art_12/para_5/lbl_f"><num>f. </num><p>Der Sicherheitsvorfall oder die Sicherheitslücke erfordert Massnahmen ausserhalb des nach Absatz 1 festgelegten Verfahrens.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_6"><num>6</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit beurteilt mit der betroffenen Verwaltungseinheit das Risiko und den Unterstützungsbedarf.</p></content></paragraph><paragraph eId="art_12/para_7"><num>7</num><content><blockList><listIntroduction eId="art_12/para_7/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie kann in Fällen nach Absatz 5 nach Rücksprache mit der betroffenen Verwaltungseinheit und dem betroffenen Departement die Federführung für die Bewältigung eines Sicherheitsvorfalls oder die Behandlung einer Sicherheitslücke übernehmen oder diese mit deren Zustimmung dem BACS übertragen. Dabei haben sie folgende Aufgaben und Kompetenzen:</listIntroduction><item eId="art_12/para_7/lbl_a"><num>a. </num><p>Sie können die betroffenen Verwaltungseinheiten, Leistungserbringer und Dritten verpflichten, ihr alle nötigen Informationen mitzuteilen.</p></item><item eId="art_12/para_7/lbl_b"><num>b. </num><p>Sie können Sofortmassnahmen anordnen.</p></item><item eId="art_12/para_7/lbl_c"><num>c. </num><p>Sie können externe Spezialistinnen und Spezialisten zur Unterstützung einsetzen.</p></item><item eId="art_12/para_7/lbl_d"><num>d. </num><p>Sie informieren die Leitung der betroffenen Verwaltungseinheiten und der Departemente über den Verlauf.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_8"><num>8</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ist nach einem Sicherheitsvorfall oder einer Sicherheitslücke die Informationssicherheit wiederhergestellt und sind die nötigen Folgearbeiten sowie deren Finanzierung definiert, so übergibt die Fachstelle des Bundes für Informationssicherheit oder das BACS die Federführung für die Weiterbearbeitung wieder der betroffenen Verwaltungseinheit.</p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Planung von Kontrollen und Audits</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1, 81 Abs. 2 Bst. c und 83 Abs. 1 Bst. c ISG)</subheading><paragraph eId="art_13/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c und die Departemente legen in je einem jährlichen Kontroll- und Auditplan fest, wie sie die Einhaltung der Vorschriften nach dieser Verordnung und die Wirksamkeit der Massnahmen zur Gewährleistung der Informationssicherheit in ihrem Zuständigkeitsbereich sowie bei beauftragten Dritten risikobasiert überprüfen.</p></content></paragraph><paragraph eId="art_13/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Audits bei Dritten, die über eine Betriebssicherheitserklärung nach Artikel 61 ISG verfügen, müssen mit der Fachstelle Betriebssicherheit koordiniert werden.</p></content></paragraph><paragraph eId="art_13/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit erhebt den Kontroll- und Auditbedarf zur Gewährleistung der Informationssicherheit der gesamten Bundesverwaltung und der Armee.</p></content></paragraph><paragraph eId="art_13/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie kann im Einvernehmen mit der BK oder dem zuständigen Departement Audits durchführen oder die Durchführung der Eidgenössischen Finanzkontrolle beantragen.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Berichterstattung</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1, 81 Abs. 2 Bst. c und 83 Abs. 1 Bst. h ISG)</subheading><paragraph eId="art_14/para_1"><num><span>1</span></num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"><span> Die BK, die Departemente, das BACS und die internen IKT-Leistungserbringer nach </span>Artikel 10 DigiV<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2023/754" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.019.1</b></ref></p></authorialNote><span> erstatten der Fachstelle des Bundes für Informationssicherheit jährlich </span>Bericht<span> über den Stand der Informationssicherheit in ihrem Zuständigkeitsbereich. Sie erheben bei den Verwaltungseinheiten und ihren Leistungserbringern die dafür nötigen Informationen.</span><authorialNote><p> Fassung gemäss Anhang 2 Ziff. II 1 der Digitalisierungsverordnung vom 2. April 2025, in Kraft seit 1. Mai 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/235" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2025</b> 235</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_14/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit erstattet dem Bundesrat jährlich Bericht über den Stand der Informationssicherheit beim Bund.</p></content></paragraph><paragraph eId="art_14/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie koordiniert die Berichterstattung mit den verpflichteten Behörden nach Artikel 2 Absatz 1 ISG.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Vorgaben zum Management der Informationssicherheit</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 85 ISG)</subheading><paragraph eId="art_15/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Die Fachstelle des Bundes für Informationssicherheit erlässt generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1 und 3 über die Mindestanforderungen an das Management der Informationssicherheit nach den Artikeln 5–14.</p></content></paragraph></article></section><section eId="sec_4"><num>4. Abschnitt: </num><heading>Klassifizierte Informationen</heading><article eId="art_16"><num><b>Art. 16</b></num><heading>Grundsätze</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 11 und 14 ISG)</subheading><paragraph eId="art_16/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Bekanntgabe und das Zugänglichmachen klassifizierter Informationen sowie die Erstellung klassifizierter Informationsträger sind auf das Minimum zu beschränken.</p></content></paragraph><paragraph eId="art_16/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Werden Informationen zu einem Sammelwerk zusammengefasst, ist die Klassifizierung neu zu beurteilen.</p></content></paragraph></article><article eId="art_17"><num><b>Art. 17</b></num><heading>Klassifizierende Stellen</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 12 ISG)</subheading><paragraph eId="art_17/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c und die Departemente legen je in einem Klassifizierungskatalog fest, wie Informationen, die in ihrem Zuständigkeitsbereich häufig bearbeitet werden, zu klassifizieren sind und wie lange die Klassifizierung dauern soll.</p></content></paragraph><paragraph eId="art_17/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit überprüft die Klassifizierungskataloge und gibt bei Bedarf eine Empfehlung ab.</p></content></paragraph><paragraph eId="art_17/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie legt nach der Konsultation der Konferenz der Informationssicherheitsbeauftragten in generell-abstrakten Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 fest, wie Informationen, die departementsübergreifend häufig bearbeitet werden, zu klassifizieren sind und wie lange die Klassifizierung dauern soll.</p></content></paragraph><paragraph eId="art_17/para_4"><num>4</num><content><blockList><listIntroduction eId="art_17/para_4/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Folgende Personen und Stellen sind für die Klassifizierung und Entklassifizierung von Informationen, die nicht in den Klassifizierungskatalogen aufgeführt sind, zuständig:</listIntroduction><item eId="art_17/para_4/lbl_a"><num>a. </num><p>die Mitarbeitenden des Bundes sowie die Angehörigen der Armee;</p></item><item eId="art_17/para_4/lbl_b"><num>b. </num><p>die Auftraggeberinnen, wenn Informationen des Bundes durch Dritte bearbeitet werden.</p></item></blockList></content></paragraph><paragraph eId="art_17/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Mitarbeitenden des Bundes, die Angehörigen der Armee und die Dritten sind für die formelle Kennzeichnung der Informationsträger, die sie erstellen, oder der Informationen, die sie mündlich mitteilen, zuständig.</p></content></paragraph></article><article eId="art_18"><num><b>Art. 18</b></num><heading>Klassifizierungsstufe «intern»</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 13 Abs. 1 ISG)</subheading><paragraph eId="art_18/para_1"><num>1</num><content><blockList><listIntroduction eId="art_18/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Als «intern» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d ISG wie folgt beeinträchtigen kann:</listIntroduction><item eId="art_18/para_1/lbl_a"><num>a. </num><p>Ein wichtiger Geschäftsprozess des Bundesrats oder der Bundesverwaltung oder ein wichtiger Führungsprozess der Armee ist erschwert.</p></item><item eId="art_18/para_1/lbl_b"><num>b. </num><p>Die Durchführung von Einsätzen der Strafverfolgungsbehörden, des Nachrichtendiensts des Bundes (NDB), der Armee oder der anderen Sicherheitsorgane des Bundes ist erschwert.</p></item><item eId="art_18/para_1/lbl_c"><num>c. </num><p>Einzelne Personen sind körperlich verletzt.</p></item><item eId="art_18/para_1/lbl_d"><num>d. </num><p>Die nukleare Sicherheit oder die Sicherung von Kernanlagen und Kernmaterialien ist mittelbar gefährdet.</p></item><item eId="art_18/para_1/lbl_e"><num>e. </num><p>Die Schweiz ist aussenpolitisch oder wirtschaftlich benachteiligt.</p></item><item eId="art_18/para_1/lbl_f"><num>f. </num><p>Die Beziehungen zwischen Bund und Kantonen oder zwischen den Kantonen sind gestört.</p></item></blockList></content></paragraph><paragraph eId="art_18/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Als «intern» werden zudem Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte Rückschlüsse auf «vertraulich» oder «geheim» klassifizierte Informationen ermöglichen.</p></content></paragraph></article><article eId="art_19"><num><b>Art. 19</b></num><heading>Klassifizierungsstufe «vertraulich»</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 13 Abs. 2 ISG)</subheading><paragraph eId="art_19/para"><content><blockList><listIntroduction eId="art_19/para/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Als «vertraulich» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d ISG wie folgt erheblich beeinträchtigen kann:</listIntroduction><item eId="art_19/para/lbl_a"><num>a. </num><p>Die Entscheidungs- oder Handlungsfähigkeit des Bundesrats, des Parlaments, mehrerer Verwaltungseinheiten oder mehrerer Truppenkörper der Armee ist über mehrere Tage erschwert.</p></item><item eId="art_19/para/lbl_b"><num>b. </num><p>Die zielkonforme Durchführung von Operationen der Strafverfolgungsbehörden, des NDB, der Armee oder der anderen Sicherheitsorgane des Bundes ist gefährdet.</p></item><item eId="art_19/para/lbl_c"><num>c. </num><p>Die operativen Mittel und Methoden der Nachrichtendienste und Strafverfolgungsbehörden des Bundes oder die Identität von Quellen und exponierten Personen sind offengelegt.</p></item><item eId="art_19/para/lbl_d"><num>d. </num><p>Die Sicherheit der Bevölkerung ist über mehrere Tage gefährdet oder einzelne Personen oder Personengruppen kommen zu Tode.</p></item><item eId="art_19/para/lbl_e"><num>e. </num><p>Die nukleare Sicherheit oder die Sicherung von Kernanlagen und Kernmaterialien ist gefährdet.</p></item><item eId="art_19/para/lbl_f"><num>f. </num><p>Die wirtschaftliche Landesversorgung oder der Betrieb von kritischen Infrastrukturen ist erschwert.</p></item><item eId="art_19/para/lbl_g"><num>g. </num><p>Die Schweiz ist aussenpolitisch oder wirtschaftlich erheblich benachteiligt oder die diplomatischen Beziehungen zu einem Staat oder zu einer internationalen Organisation sind abgebrochen.</p></item><item eId="art_19/para/lbl_h"><num>h. </num><p>Die Verhandlungsposition der Schweiz in wichtigen aussenpolitischen Geschäften ist vorübergehend erheblich geschwächt.</p></item></blockList></content></paragraph></article><article eId="art_20"><num><b>Art. 20</b></num><heading>Klassifizierungsstufe «geheim»</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 13 Abs. 3 ISG)</subheading><paragraph eId="art_20/para"><content><blockList><listIntroduction eId="art_20/para/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Als «geheim» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d ISG wie folgt schwerwiegend beeinträchtigen kann:</listIntroduction><item eId="art_20/para/lbl_a"><num>a. </num><p>Der Bundesrat, das Parlament, mehrere Verwaltungseinheiten oder mehrere Truppenkörper der Armee sind über Tage entscheidungs- oder handlungsunfähig oder ihre Entscheidungs- oder Handlungsfähigkeit ist über Wochen erschwert.</p></item><item eId="art_20/para/lbl_b"><num>b. </num><p>Die Durchführung von strategisch bedeutsamen Operationen der Strafverfolgungsbehörden, des NDB, der Armee oder der anderen Sicherheitsorgane des Bundes ist gefährdet oder über Tage in besonders hohem Mass erschwert.</p></item><item eId="art_20/para/lbl_c"><num>c. </num><p>Strategische Quellen, die Identität besonders exponierter Personen oder die strategischen Mittel und Methoden der Nachrichtendienste und Strafverfolgungsbehörden des Bundes sind offengelegt.</p></item><item eId="art_20/para/lbl_d"><num>d. </num><p>Die Sicherheit der Bevölkerung ist über Wochen in besonders hohem Mass gefährdet oder eine grosse Anzahl Personen kommt zu Tode.</p></item><item eId="art_20/para/lbl_e"><num>e. </num><p>Die nukleare Sicherheit oder die Sicherung von Kernanlagen und Kernmaterialien ist in besonders hohem Mass gefährdet.</p></item><item eId="art_20/para/lbl_f"><num>f. </num><p>Die wirtschaftliche Landesversorgung oder der Betrieb von kritischen Infrastrukturen fallen über Tage aus.</p></item><item eId="art_20/para/lbl_g"><num>g. </num><p>Die Schweiz leidet über Wochen unter besonders hohen aussenpolitischen oder wirtschaftlichen Konsequenzen wie Embargomassnahmen oder Sanktionen.</p></item><item eId="art_20/para/lbl_h"><num>h. </num><p>Die Verhandlungsposition der Schweiz in strategischen aussenpolitischen Geschäften ist über Jahre geschwächt.</p></item></blockList></content></paragraph></article><article eId="art_21"><num><b>Art. 21</b></num><heading>Bearbeitungsvorgaben</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 6 Abs. 2, 84 Abs. 1 und 85 ISG)</subheading><paragraph eId="art_21/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit erlässt generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über die Bearbeitung klassifizierter Informationen und die organisatorischen, personellen, technischen und baulichen Mindestanforderungen für deren Schutz. Dabei trägt sie den einschlägigen internationalen Standards Rechnung.</p></content></paragraph><paragraph eId="art_21/para_2"><num>2</num><content><blockList><listIntroduction eId="art_21/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie hört vorgängig die folgenden Stellen an:</listIntroduction><item eId="art_21/para_2/lbl_a"><num>a. </num><p>das BACS;</p></item><item eId="art_21/para_2/lbl_b"><num>b. </num><p>den kryptografischen Dienst der Armee;</p></item><item eId="art_21/para_2/lbl_c"><num>c.<authorialNote><p> Fassung gemäss Art. 44 Abs. 2 Ziff. 1 der V vom 1. Mai 2024 über die Organisation des öffentlichen Beschaffungswesens der Bundesverwaltung, in Kraft seit 1. Juli 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/224" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 224</ref>).</p></authorialNote> </num><p>das Bundesamt für Rüstung (armasuisse);</p></item><item eId="art_21/para_2/lbl_d"><num>d. </num><p>die für die Objektsicherheit zuständigen Stellen der Bundesverwaltung und der Armee.</p></item></blockList></content></paragraph><paragraph eId="art_21/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die BK regelt die Bearbeitung klassifizierter Bundesratsgeschäfte.</p></content></paragraph><paragraph eId="art_21/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Bearbeitung klassifizierter Informationen aus dem Ausland erfolgt nach den Vorschriften, die der ausländischen Klassifizierungsstufe entsprechen. Vorbehalten bleiben abweichende Vorschriften eines völkerrechtlichen Vertrags nach Artikel 87 ISG.</p></content></paragraph></article><article eId="art_22"><num><b>Art. 22</b></num><heading>Einsatzbezogene Sicherheitsmassnahmen</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 6 Abs. 2 und 85 ISG)</subheading><paragraph eId="art_22/para_1"><num>1</num><content><blockList><listIntroduction eId="art_22/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Werden klassifizierte Informationen im Rahmen eines Einsatzes oder einer Operation bearbeitet und sind diese nur einem geschlossenen, eindeutig bestimmbaren Benutzerkreis zugänglich, so können die folgenden Personen nach Konsultation der Fachstelle des Bundes für Informationssicherheit einsatz- oder operationsspezifisch Vorschriften zur vereinfachten Bearbeitung beschliessen:</listIntroduction><item eId="art_22/para_1/lbl_a"><num>a. </num><p>die Direktorin oder der Direktor des Bundesamts für Polizei;</p></item><item eId="art_22/para_1/lbl_b"><num>b. </num><p>die Direktorin oder der Direktor des NDB;</p></item><item eId="art_22/para_1/lbl_c"><num>c. </num><p>die Chefin oder der Chef der Armee;</p></item><item eId="art_22/para_1/lbl_d"><num>d.  </num><p>die Chefin oder der Chef des Kommandos Operationen;</p></item><item eId="art_22/para_1/lbl_e"><num>e. </num><p>die Direktorin oder der Direktor des Bundesamts für Zoll und Grenzsicherheit.</p></item></blockList></content></paragraph><paragraph eId="art_22/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Personen nach Absatz 1 sorgen dafür, dass auf den Informationsträgern eindeutig erkennbar ist, dass Vorschriften zur vereinfachten Bearbeitung gelten.</p></content></paragraph><paragraph eId="art_22/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ausserhalb des Benutzerkreises sowie für die Aufbewahrung im Hinblick auf die Archivierung gelten die Bearbeitungsvorgaben nach Artikel 21.</p></content></paragraph></article><article eId="art_23"><num><b>Art. 23</b></num><heading>Sicherheitszertifizierung von Informatikmitteln</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (83 Abs. 1 Bst. e ISG)</subheading><paragraph eId="art_23/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Informatikmittel müssen vor der Inbetriebnahme sicherheitsmässig zertifiziert werden, wenn dies für die nationale oder internationale Zusammenarbeit erforderlich ist.</p></content></paragraph><paragraph eId="art_23/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Sicherheitszertifizierung erfolgt durch die Fachstelle des Bundes für Informationssicherheit nach Konsultation des kryptografischen Diensts der Armee und von armasuisse.<authorialNote><p> Fassung gemäss Art. 44 Abs. 2 Ziff. 1 der V vom 1. Mai 2024 über die Organisation des öffentlichen Beschaffungswesens der Bundesverwaltung, in Kraft seit 1. Juli 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/224" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2024</b> 224</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_23/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie belegt, dass das Informatikmittel die Mindestanforderungen für die entsprechende Klassifizierungsstufe erfüllt und die Restrisiken nach dem Stand der Technik tragbar sind.</p></content></paragraph><paragraph eId="art_23/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie wird bei wesentlichen Änderungen der Risiken oder bei wesentlichen Änderungen am Informatikmittel wiederholt.</p></content></paragraph><paragraph eId="art_23/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) legt das Verfahren der Sicherheitszertifizierung fest und berücksichtigt dabei die einschlägigen internationalen Standards.</p></content></paragraph></article><article eId="art_24"><num><b>Art. 24</b></num><heading>Schutz bei der Gefährdung von klassifizierten Informationen</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 10 Abs. 1 und 11 Abs. 1 ISG)</subheading><paragraph eId="art_24/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Wer feststellt, dass klassifizierte Informationen gefährdet, abhandengekommen oder missbräuchlich verwendet worden sind oder Informationen offensichtlich falsch oder fälschlicherweise nicht klassifiziert sind, muss die nötigen Schutzmassnahmen treffen.</p></content></paragraph><paragraph eId="art_24/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie oder er benachrichtigt unverzüglich die klassifizierende Stelle und die zuständigen Sicherheitsorgane.</p></content></paragraph></article><article eId="art_25"><num><b>Art. 25</b></num><heading>Überprüfung von Schutzbedarf und Kreis der Berechtigten</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 11 Abs. 2 ISG)</subheading><paragraph eId="art_25/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Die klassifizierenden Stellen überprüfen den Schutzbedarf ihrer klassifizierten Informationen und den Kreis der Berechtigten mindestens alle fünf Jahre sowie immer, wenn die Informationen dem Bundesarchiv zur Archivierung angeboten werden.</p></content></paragraph></article><article eId="art_26"><num><b>Art. 26</b></num><heading>Archivierung</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 12 Abs. 3 ISG)</subheading><paragraph eId="art_26/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Archivierung klassifizierter Informationen richtet sich nach den Vorschriften der Archivierungsgesetzgebung.</p></content></paragraph><paragraph eId="art_26/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Das Bundesarchiv sorgt dafür, dass die Informationssicherheit nach dieser Verordnung gewährleistet ist.</p></content></paragraph><paragraph eId="art_26/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Klassifizierung von Archivgut entfällt mit Ablauf der Schutzfrist. Verlängerungen der Schutzfrist richten sich nach Artikel 14 der Archivierungsverordnung vom 8. September 1999<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1999/371" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>152.11</b></ref></p></authorialNote>.</p></content></paragraph></article></section><section eId="sec_5"><num>5. Abschnitt: </num><heading>Sicherheit beim Einsatz von Informatikmitteln</heading><article eId="art_27"><num><b>Art. 27</b></num><heading>Sicherheitsverfahren</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 16 ISG)</subheading><paragraph eId="art_27/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c müssen den Schutzbedarf ihrer Schutzobjekte und deren Relevanz für das betriebliche Kontinuitätsmanagement nachweisen können.</p></content></paragraph><paragraph eId="art_27/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie setzen die Mindestvorgaben der jeweiligen Sicherheitsstufe um und prüfen, ob zusätzliche Sicherheitsmassnahmen erforderlich sind.</p></content></paragraph><paragraph eId="art_27/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie weisen Restrisiken aus.</p></content></paragraph><paragraph eId="art_27/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Informationssicherheitsverantwortlichen (Art. 36) entscheiden, ob Restrisiken getragen werden. Sie können diesen Entscheid anderen Mitgliedern der Geschäftsleitung delegieren.</p></content></paragraph><paragraph eId="art_27/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Das Sicherheitsverfahren wird bei wesentlichen Änderungen der Bedrohung, der Technologie, der Aufgaben oder der Organisationsverhältnisse wiederholt.</p></content></paragraph><paragraph eId="art_27/para_6"><num>6</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c prüfen jährlich, ob eine wesentliche Änderung stattgefunden hat.</p></content></paragraph><paragraph eId="art_27/para_7"><num>7 </num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Die Fachstelle des Bundes für Informationssicherheit erlässt generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über das Sicherheitsverfahren nach Artikel 16 ISG.</p></content></paragraph></article><article eId="art_28"><num><b>Art. 28</b></num><heading>Zuordnung zu denSicherheitsstufen «hoher Schutz» und «sehr hoher Schutz»</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 17 ISG)</subheading><paragraph eId="art_28/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Sicherheitsstufe «hoher Schutz» wird einem Informatikmittel zugeordnet, wenn eine Verletzung der Informationssicherheit eine Beeinträchtigung nach Artikel 19 oder einen Schaden von fünfzig bis fünfhundert Millionen Franken zur Folge haben kann.</p></content></paragraph><paragraph eId="art_28/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Sicherheitsstufe «sehr hoher Schutz» wird einem Informatikmittel zugeordnet, wenn eine Verletzung der Informationssicherheit eine Beeinträchtigung nach Artikel 20 oder einen Schaden über fünfhundert Millionen Franken zur Folge haben kann.</p></content></paragraph></article><article eId="art_29"><num><b>Art. 29</b></num><heading>Sicherheitsmassnahmen</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 6 Abs. 3, 18 und 85 ISG)</subheading><paragraph eId="art_29/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit erlässt generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über die Mindestanforderungen für die jeweiligen Sicherheitsstufen nach Artikel 17 ISG.</p></content></paragraph><paragraph eId="art_29/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie berücksichtigt dabei die Anforderungen für die Sicherheit von Personendaten nach der Datenschutzgesetzgebung sowie von anderen Informationen, die der Bund aufgrund gesetzlicher oder vertraglicher Verpflichtungen schützen muss.</p></content></paragraph><paragraph eId="art_29/para_3"><num>3</num><content><blockList><listIntroduction eId="art_29/para_3/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Bei den folgenden Informatikmitteln muss die Wirksamkeit der Sicherheitsmassnahmen vor der Inbetriebnahme, bei wesentlichen Änderungen der Risiken während des Betriebs, mindestens aber alle fünf Jahre überprüft werden:</listIntroduction><item eId="art_29/para_3/lbl_a"><num>a. </num><p>Informatikmittel der Sicherheitsstufe «hoher Schutz», die für die Erfüllung behörden- oder departementsübergreifender Aufgaben eingesetzt werden;</p></item><item eId="art_29/para_3/lbl_b"><num>b. </num><p>Informatikmittel der Sicherheitsstufe «sehr hoher Schutz».</p></item></blockList></content></paragraph><paragraph eId="art_29/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die BK und die Departemente nehmen ihre Informatikmittel der Sicherheitsstufe «sehr hoher Schutz» in ihr Kontinuitätsmanagement auf.</p></content></paragraph></article><article eId="art_30"><num><b>Art. 30</b></num><heading>Sicherheit beim Betrieb</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 19 ISG)</subheading><paragraph eId="art_30/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c stellen sicher, dass die Verantwortlichkeiten für die Informationssicherheit auf der betrieblichen Ebene in den Projekt- und Leistungsvereinbarungen mit den internen Leistungserbringern festgehalten sind.</p></content></paragraph><paragraph eId="art_30/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die internen Leistungserbringer stellen den Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c, den Departementen und der Fachstelle des Bundes für Informationssicherheit die Informationen zur Verfügung, welche diese für die Gewährleistung der Informationssicherheit benötigen.</p></content></paragraph><paragraph eId="art_30/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie stellen sicher, dass sie über die nötigen personellen und finanziellen Kapazitäten und Fähigkeiten zur frühzeitigen Entdeckung, zur technischen Analyse und zur Bewältigung von Sicherheitsvorfällen und Behandlung von Sicherheitslücken verfügen, die sie selber oder, im Rahmen der Vereinbarungen nach Absatz 1, ihre Leistungsbezüger betreffen.</p></content></paragraph><paragraph eId="art_30/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie überwachen die Nutzung ihrer Informatikinfrastruktur und durchsuchen sie regelmässig nach technischen Bedrohungen und Schwachstellen. Sie können Dritte mit der Durchsuchung beauftragen.</p></content></paragraph><paragraph eId="art_30/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Bearbeitung von Personendaten im Rahmen der Überwachung und Durchsuchung nach Absatz 4 richtet sich nach der Verordnung vom 22. Februar 2012<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2012/160" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.010.442</b></ref></p></authorialNote> über die Bearbeitung von Personendaten und Daten juristischer Personen bei der Nutzung der elektronischen Infrastruktur des Bundes.</p></content></paragraph></article></section><section eId="sec_6"><num>6. Abschnitt: </num><heading>Personelle Massnahmen und physischer Schutz</heading><article eId="art_31"><num><b>Art. 31</b></num><heading>Prüfung der Identität von Personen und Maschinen</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 20 und 85 ISG)</subheading><paragraph eId="art_31/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit kann nach Konsultation der oder des DTI-Delegierten generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über die technischen Mindestanforderungen an die risikobasierte Prüfung der Identität von Personen und Maschinen, die Zugang zu Informationen, Informatikmitteln, Räumlichkeiten und anderen Infrastrukturen des Bundes benötigen, erlassen.</p></content></paragraph><paragraph eId="art_31/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Bearbeitung von Personendaten bei der Prüfung der Identität in Identitätsverwaltungs-Systemen nach Artikel 24 ISG richtet sich nach den Bestimmungen der Verordnung vom 19. Oktober 2016<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2016/610" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>172.010.59</b></ref></p></authorialNote> über Identitätsverwaltungs-Systeme und Verzeichnisdienste des Bundes.</p></content></paragraph></article><article eId="art_32"><num><b>Art. 32</b></num><heading>Personensicherheit</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 6 Abs. 2 und 3, 8 sowie 20 Abs. 1 Bst. a und c ISG)</subheading><paragraph eId="art_32/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c stellen sicher, dass Mitarbeitende, die einer Personensicherheitsprüfung nach der Verordnung vom 8. November 2023<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2023/736" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>128.31</b></ref></p></authorialNote> über die Personensicherheitsprüfungen (VPSP) unterliegen, jährlich für die massgebende sicherheitsempfindliche Tätigkeit und die entsprechenden Risiken sensibilisiert werden.</p></content></paragraph><paragraph eId="art_32/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Diese Mitarbeitende sind verpflichtet, ihrem Arbeitgeber Umstände aus ihrem privaten und beruflichen Umfeld, welche die vorschriftskonforme Ausübung der sicherheitsempfindlichen Tätigkeit gefährden können, zu melden.</p></content></paragraph></article><article eId="art_33"><num><b>Art. 33</b></num><heading>Verdacht auf strafbares Verhalten</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 2 Bst. c ISG)</subheading><paragraph eId="art_33/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Kommt bei der Verletzung von Informationssicherheitsvorschriften zugleich eine strafbare Handlung in Betracht, überweisen die BK und die Departemente die Akten mit den Einvernahmeprotokollen der Bundesanwaltschaft oder dem Oberauditor der Schweizer Armee.</p></content></paragraph><paragraph eId="art_33/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie stellen Gegenstände sicher, die geeignet sind, in einem Verfahren als Beweismittel zu dienen.</p></content></paragraph></article><article eId="art_34"><num><b>Art. 34</b></num><heading>Physische Schutzmassnahmen</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 22 und 85 ISG)</subheading><paragraph eId="art_34/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit kann nach Konsultation der für die Objektsicherheit zuständigen Stellen der Bundesverwaltung und der Armee generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über die Mindestanforderungen für den physischen Schutz von Informationen und Informatikmitteln erlassen.</p></content></paragraph><paragraph eId="art_34/para_2"><num>2</num><content><blockList><listIntroduction eId="art_34/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie berücksichtigt dabei:</listIntroduction><item eId="art_34/para_2/lbl_a"><num>a. </num><p>den gesamten Lebenszyklus der Informationen und Informatikmittel;</p></item><item eId="art_34/para_2/lbl_b"><num>b. </num><p>die arbeitsplatzspezifischen Anforderungen;</p></item><item eId="art_34/para_2/lbl_c"><num>c. </num><p>die Unterbringungsstrategien und -konzepte der Bundesverwaltung und der Armee.</p></item></blockList></content></paragraph></article><article eId="art_35"><num><b>Art. 35</b></num><heading>Sicherheitszonen</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 23 und 85 ISG)</subheading><paragraph eId="art_35/para_1"><num>1</num><content><blockList><listIntroduction eId="art_35/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c können folgende Sicherheitszonen einrichten:</listIntroduction><item eId="art_35/para_1/lbl_a"><num>a. </num><p>Sicherheitszone 1: Räumlichkeiten und Bereiche, in denen häufig als «vertraulich» klassifizierte Informationen bearbeitet oder Informatikmittel der Sicherheitsstufe «hoher Schutz» betrieben werden;</p></item><item eId="art_35/para_1/lbl_b"><num>b. </num><p>Sicherheitszone 2: Räumlichkeiten und Bereiche, in denen häufig als «geheim» klassifizierte Informationen bearbeitet oder Informatikmittel der Sicherheitsstufe «sehr hoher Schutz» betrieben werden.</p></item></blockList></content></paragraph><paragraph eId="art_35/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Diese Räumlichkeiten und Bereiche gelten nur als Sicherheitszone, wenn die für die Objektsicherheit zuständige Stelle der Bundesverwaltung oder der Armee vor deren Inbetriebnahme und anschliessend mindestens alle fünf Jahre bestätigt, dass die Sicherheitsanforderungen erfüllt sind.</p></content></paragraph><paragraph eId="art_35/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit erlässt nach Konsultation der für die Objektsicherheit zuständigen Stellen der Bundesverwaltung und der Armee generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über die Sicherheitsanforderungen für die Sicherheitszonen und deren Einrichtung.</p></content></paragraph><paragraph eId="art_35/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c können in der Umgebung von Sicherheitszonen Massnahmen zur Identifizierung von elektromagnetischen Ausspähungen und zum Schutz davor ergreifen.</p></content></paragraph></article></section><section eId="sec_7"><num>7. Abschnitt: </num><heading>Sicherheitsorganisation</heading><article eId="art_36"><num><b>Art. 36</b></num><heading>Informationssicherheitsverantwortliche der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 ISG)</subheading><paragraph eId="art_36/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Bundeskanzlerin oder der Bundeskanzler, die Generalsekretärinnen und Generalsekretäre sowie die Direktorinnen und Direktoren der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c tragen in ihrem Zuständigkeitsbereich die Verantwortung für die Informationssicherheit.</p></content></paragraph><paragraph eId="art_36/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie können die Informationssicherheitsverantwortung einem Mitglied der Geschäftsleitung delegieren, sofern diesem die erforderlichen Befugnisse zustehen, Massnahmen zu veranlassen, zu kontrollieren und zu korrigieren.</p></content></paragraph><paragraph eId="art_36/para_3"><num>3</num><content><blockList><listIntroduction eId="art_36/para_3/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Informationssicherheitsverantwortlichen der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c nehmen insbesondere folgende Aufgaben wahr:</listIntroduction><item eId="art_36/para_3/lbl_a"><num>a. </num><p>Sie stellen den Aufbau, den Betrieb, die Überprüfung und die kontinuierliche Verbesserung des ISMS in ihrem Zuständigkeitsbereich sicher und erlassen die dafür nötigen Vorgaben.</p></item><item eId="art_36/para_3/lbl_b"><num>b. </num><p>Sie treffen alle Entscheide, welche die Informationssicherheit in ihrem Zuständigkeitsbereich massgeblich beeinflussen, insbesondere betreffend Organisation, Prozesse, Risikoakzeptanz und Sicherheitsziele.</p></item><item eId="art_36/para_3/lbl_c"><num>c. </num><p>Sie entscheiden über die erforderlichen Massnahmen, insbesondere über die Durchführung von Schulungs- und Sensibilisierungsmassnahmen.</p></item><item eId="art_36/para_3/lbl_d"><num>d. </num><p>Sie genehmigen den jährlichen Kontroll- und Auditplan und stellen die dafür nötigen Ressourcen zur Verfügung.</p></item></blockList></content></paragraph><paragraph eId="art_36/para_4"><num>4</num><content><blockList><listIntroduction eId="art_36/para_4/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Bundeskanzlerin oder der Bundeskanzler, die Generalsekretärinnen und Generalsekretäre sowie die Direktorinnen und Direktoren der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c beauftragen ihre Informationssicherheitsbeauftragten nach Artikel 37 und sorgen dafür, dass:</listIntroduction><item eId="art_36/para_4/lbl_a"><num>a. </num><p>sie über angemessene Kompetenzen und Ressourcen verfügen; und</p></item><item eId="art_36/para_4/lbl_b"><num>b. </num><p>ihnen keine Aufgaben übertragen werden, die einen Interessenkonflikt mit den Aufgaben nach Artikel 37 zu Folgen haben können.</p></item></blockList></content></paragraph></article><article eId="art_37"><num><b>Art. 37</b></num><heading>Informationssicherheitsbeauftragte der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 ISG)</subheading><paragraph eId="art_37/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c bezeichnen eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten oder mehrere Informationssicherheitsbeauftragte sowie deren oder dessen Stellvertretung.</p></content></paragraph><paragraph eId="art_37/para_2"><num>2</num><content><blockList><listIntroduction eId="art_37/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Informationssicherheitsbeauftragten haben insbesondere folgende Aufgaben und Kompetenzen:</listIntroduction><item eId="art_37/para_2/lbl_a"><num>a. </num><p>Sie betreiben das ISMS der Verwaltungseinheit im Auftrag der oder des Informationssicherheitsverantwortlichen.</p></item><item eId="art_37/para_2/lbl_b"><num>b. </num><p>Sie erarbeiten die nötigen Entscheidgrundlagen zuhanden der oder des Informationssicherheitsverantwortlichen und beantragen ihr oder ihm den Beschluss von Massnahmen.</p></item><item eId="art_37/para_2/lbl_c"><num>c. </num><p>Sie sind die zentrale Anlaufstelle der Verwaltungseinheit für Fragen zur Informationssicherheit und beraten und unterstützen die zuständigen Personen und Stellen bei der Erfüllung ihrer Aufgaben und Pflichten im Bereich der Informationssicherheit.</p></item><item eId="art_37/para_2/lbl_d"><num>d. </num><p>Sie sorgen für die Umsetzung der Informationssicherheitsvorgaben und für die Anwendung des Sicherheitsverfahrens nach Artikel 27.</p></item><item eId="art_37/para_2/lbl_e"><num>e. </num><p>Sie beaufsichtigen das Verzeichnis der Rechtsgrundlagen, das Inventar der Schutzobjekte und das Verzeichnis der Ausnahmebewilligungen.</p></item><item eId="art_37/para_2/lbl_f"><num>f. </num><p>Sie beaufsichtigen die Planung der Schulung und Sensibilisierung nach Artikel 11 und beantragen der oder dem Informationssicherheitsverantwortlichen die Durchführung von zusätzlichen Schulungs- und Sensibilisierungsmassnahmen.</p></item><item eId="art_37/para_2/lbl_g"><num>g. </num><p>Sie stellen Antrag auf Einleitung des Betriebssicherheitsverfahrens nach Artikel 4 der Verordnung vom 8. November 2023<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2023/737" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>128.41</b></ref></p></authorialNote> über das Betriebssicherheitsverfahren (VBSV).</p></item><item eId="art_37/para_2/lbl_h"><num>h. </num><p>Sie koordinieren die Bewältigung von Sicherheitsvorfällen und Behandlung von Sicherheitslücken in der Verwaltungseinheit sowie bei beauftragten Dritten.</p></item><item eId="art_37/para_2/lbl_i"><num>i. </num><p>Sie erstellen den jährlichen Kontroll- und Auditplan und unterbreiten ihn der oder dem Informationssicherheitsverantwortlichen zur Genehmigung.</p></item><item eId="art_37/para_2/lbl_j"><num>j.  </num><p>Sie überprüfen periodisch das Vorhandensein und die Sicherheit von als «geheim» klassifizierten Informationsträgern in ihrem Zuständigkeitsbereich.</p></item><item eId="art_37/para_2/lbl_k"><num>k. </num><p>Sie können im Auftrag der oder des Informationssicherheitsverantwortlichen den Umgang mit Informationen an offenen, geteilten oder nicht abschliessbaren Arbeitsplätzen und in den Informatikmitteln der Verwaltungseinheit kontrollieren oder kontrollieren lassen.</p></item><item eId="art_37/para_2/lbl_l"><num>l. </num><p>Sie berichten der oder dem Informationssicherheitsverantwortlichen halbjährlich über den Stand der Informationssicherheit.</p></item></blockList></content></paragraph></article><article eId="art_38"><num><b>Art. 38</b><authorialNote><p> Fassung gemäss Anhang 2 Ziff. II 1 der Digitalisierungsverordnung vom 2. April 2025, in Kraft seit 1. Mai 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/235" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2025</b> 235</ref>).</p></authorialNote></num><heading>Informationssicherheit bei zentral bereitgestellten Informatikmitteln</heading><paragraph eId="art_38/para_1"><num><span>1</span></num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"><span> Die oder der DTI-Delegierte ist für die Gewährleistung der Informationssicherheit der vom Bereich DTI zentral bereitgestellten Informatikmittel zuständig.</span></p></content></paragraph><paragraph eId="art_38/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie oder er bezeichnet eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten oder mehrere Informationssicherheitsbeauftragte sowie deren oder dessen Stellvertretung.</p></content></paragraph><paragraph eId="art_38/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Informationssicherheitsbeauftragten nehmen für die vom Bereich DTI zentral bereitgestellten Informatikmittel die Aufgaben nach Artikel 37 Absatz 2 wahr und informieren die Bundesverwaltung und die Armee über die Informationssicherheitsrisiken<i>.</i></p></content></paragraph></article><article eId="art_39"><num><b>Art. 39</b></num><heading>Informationssicherheitsverantwortung der Departemente</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 und 81 ISG)</subheading><paragraph eId="art_39/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Departemente sind für die Steuerung und Überwachung der Informationssicherheit in ihrem Zuständigkeitsbereich verantwortlich.</p></content></paragraph><paragraph eId="art_39/para_2"><num>2</num><content><blockList><listIntroduction eId="art_39/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie haben dabei insbesondere folgende Aufgaben:</listIntroduction><item eId="art_39/para_2/lbl_a"><num>a. </num><p>Sie bestimmen die Informationssicherheitspolitik und die Sicherheitsorganisation des Departements, einschliesslich der fachlichen Führung der Informationssicherheitsbeauftragten nach Artikel 37.</p></item><item eId="art_39/para_2/lbl_b"><num>b. </num><p>Sie erlassen die nötigen Weisungen und überwachen die Umsetzung.</p></item><item eId="art_39/para_2/lbl_c"><num>c. </num><p>Sie überwachen die ISMS der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c und erheben die dafür nötigen Kennzahlen.</p></item><item eId="art_39/para_2/lbl_d"><num>d. </num><p>Sie legen jährlich die Sicherheitsziele für die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c fest und überprüfen, ob sie erreicht wurden.</p></item><item eId="art_39/para_2/lbl_e"><num>e. </num><p>Sie genehmigen den jährlichen Kontroll- und Auditplan des Departements und stellen die nötigen Ressourcen zur Verfügung.</p></item><item eId="art_39/para_2/lbl_f"><num>f. </num><blockList><listIntroduction eId="art_39/para_2/lbl_f/listintro">Sie beauftragen ihre Informationssicherheitsbeauftragten nach Artikel 40 und sorgen dafür, dass:</listIntroduction><item eId="art_39/para_2/lbl_f/lbl_1"><num>1. </num><p>sie über angemessene Kompetenzen und Ressourcen verfügen;</p></item><item eId="art_39/para_2/lbl_f/lbl_2"><num>2. </num><p>ihnen keine Aufgaben übertragen werden, die einen Interessenkonflikt mit ihren Aufgaben nach Artikel 40 zur Folge haben können.</p></item></blockList></item></blockList></content></paragraph><paragraph eId="art_39/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie können für ihren Zuständigkeitsbereich Sicherheitsanforderungen festlegen, die über die Mindestanforderungen der Fachstelle des Bundes für Informationssicherheit hinausgehen.</p></content></paragraph><paragraph eId="art_39/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sofern die Departementsvorsteherin oder der Departementsvorsteher nicht anders entscheidet, ist die Generalsekretärin oder der Generalsekretär in deren oder dessen Auftrag für die Informationssicherheit im Departement verantwortlich.</p></content></paragraph></article><article eId="art_40"><num><b>Art. 40</b></num><heading>Informationssicherheitsbeauftragte der Departemente</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 und 81 ISG)</subheading><paragraph eId="art_40/para"><content><blockList><listIntroduction eId="art_40/para/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Die Informationssicherheitsbeauftragten der Departemente haben zusätzlich zu den Aufgaben nach Artikel 81 Absatz 2 ISG folgende Aufgaben:</listIntroduction><item eId="art_40/para/lbl_a"><num>a. </num><p>Sie sorgen für die departementsübergreifende Koordination der Informationssicherheit.</p></item><item eId="art_40/para/lbl_b"><num>b. </num><p>Sie erarbeiten die nötigen Entscheidgrundlagen zuhanden der oder des Informationssicherheitsverantwortlichen und beantragen ihr oder ihm den Beschluss von Massnahmen.</p></item><item eId="art_40/para/lbl_c"><num>c. </num><p>Sie koordinieren die Bewältigung von Sicherheitsvorfällen und die Behandlung von Sicherheitslücken, welche mehrere Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c betreffen.</p></item><item eId="art_40/para/lbl_d"><num>d. </num><p>Sie erstellen den jährlichen Kontroll- und Auditplan des Departements und unterbreiten ihn der oder dem Informationssicherheitsverantwortlichen zur Genehmigung.</p></item><item eId="art_40/para/lbl_e"><num>e. </num><p>Sie vertreten das Departement in Fachgremien.</p></item><item eId="art_40/para/lbl_f"><num>f. </num><p>Sie werden bei der Wahl der Informationssicherheitsbeauftragten der Verwaltungseinheiten nach Artikel 37 konsultiert.</p></item><item eId="art_40/para/lbl_g"><num>g. </num><p>Sie kontrollieren periodisch sowie beim Wechsel oder beim Abgang eines Mitglieds des Bundesrats oder der Bundeskanzlerin oder des Bundeskanzlers, ob alle als «geheim» klassifizierten Informationsträger vollständig vorhanden sind.</p></item><item eId="art_40/para/lbl_h"><num>h. </num><p>Sie berichten der oder dem Informationssicherheitsverantwortlichen des Departements jährlich über den Stand der Informationssicherheit im Departement.</p></item></blockList></content></paragraph></article><article eId="art_41"><num><b>Art. 41</b></num><heading>Informationssicherheitsbeauftragte oder -beauftragter des Bundesrates</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 81 Abs. 1 Bst. a ISG)</subheading><paragraph eId="art_41/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Das VBS ernennt die Informationssicherheitsbeauftragte oder den Informationssicherheitsbeauftragten des Bundesrates sowie deren oder dessen Stellvertretung.</p></content></paragraph></article><article eId="art_42"><num><b>Art. 42</b></num><heading>Fachstelle des Bundes für Informationssicherheit</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 und 83 ISG)</subheading><paragraph eId="art_42/para_1"><num>1</num><content><blockList><listIntroduction eId="art_42/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit hat für die Bundesverwaltung und die Armee folgende Aufgaben und Kompetenzen:</listIntroduction><item eId="art_42/para_1/lbl_a"><num>a. </num><p>Sie erarbeitet Strategien zu sicherheitsrelevanten Themen.</p></item><item eId="art_42/para_1/lbl_b"><num>b. </num><p>Sie kann bei sicherheitsrelevanten Vorhaben Informationen verlangen, dazu Stellung nehmen und Änderungen beantragen.</p></item><item eId="art_42/para_1/lbl_c"><num>c. </num><p>Sie wirkt bei der Ausbildung der Sicherheitsorganisation mit.</p></item><item eId="art_42/para_1/lbl_d"><num>d. </num><p>Sie stellt Vorlagen und Hilfsmittel bereit.</p></item><item eId="art_42/para_1/lbl_e"><num>e. </num><p>Sie unterstützt die Informationssicherheitsbeauftragten bei der Kontrolle der als «geheim» klassifizierten Informationsträger.</p></item><item eId="art_42/para_1/lbl_f"><num>f. </num><p>Sie verantwortet zertifizierte Sicherheitslösungen, die für die gesamte Bundesverwaltung und die Armee eingesetzt werden.</p></item></blockList></content></paragraph><paragraph eId="art_42/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie konsultiert bei der Erfüllung dieser Aufgaben sowie den Aufgaben nach Artikel 83 Absatz 1 ISG die Konferenz der Informationssicherheitsbeauftragten.</p></content></paragraph><paragraph eId="art_42/para_3"><num>3</num><content><blockList><listIntroduction eId="art_42/para_3/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie vertritt im internationalen Verhältnis als nationale Sicherheitsbehörde die Schweiz und nimmt dabei folgende Aufgaben wahr:</listIntroduction><item eId="art_42/para_3/lbl_a"><num>a. </num><p>Sie erarbeitet die völkerrechtlichen Verträge nach Artikel 87 ISG und überwacht deren Umsetzung.</p></item><item eId="art_42/para_3/lbl_b"><num>b. </num><p>Sie stellt sicher, dass Sicherheitsvorfälle, die klassifizierte Informationen von Partnerstaaten betreffen, sachgerecht abgeklärt werden.</p></item><item eId="art_42/para_3/lbl_c"><num>c. </num><p>Sie führt die in den völkerrechtlichen Verträgen vorgesehenen Kontrollen durch oder gibt diese in Auftrag.</p></item><item eId="art_42/para_3/lbl_d"><num>d. </num><p>Sie vertritt die Schweiz in internationalen Fachgremien.</p></item><item eId="art_42/para_3/lbl_e"><num>e. </num><p>Sie bewilligt den Empfang von Personen aus dem Ausland, die für klassifizierte Projekte in die Schweiz reisen, sowie die Entsendung von Personen, die für klassifizierte Projekte ins Ausland reisen.</p></item><item eId="art_42/para_3/lbl_f"><num>f. </num><p>Sie stellt die Sicherheitsbescheinigungen nach Artikel 30 VPSP<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2023/736" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>128.31</b></ref></p></authorialNote> aus.</p></item></blockList></content></paragraph><paragraph eId="art_42/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie ist Teil des Staatssekretariats für Sicherheitspolitik im VBS.</p></content></paragraph></article><article eId="art_43"><num><b>Art. 43</b></num><heading>Aufgaben und Kompetenzen des BACS</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 7 Abs. 1 und 84 Abs. 1 ISG)</subheading><paragraph eId="art_43/para_1"><num>1</num><content><blockList><listIntroduction eId="art_43/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Das BACS hat folgende Aufgaben und Kompetenzen:</listIntroduction><item eId="art_43/para_1/lbl_a"><num>a. </num><p>Es berät die Bundesverwaltung und die Armee sowie die Sicherheitsorgane nach den Artikeln 81–83 ISG in allen Belangen der technischen Informationssicherheit.</p></item><item eId="art_43/para_1/lbl_b"><num>b. </num><p>Es nimmt Einsitz in die Konferenz der Informationssicherheitsbeauftragten nach Artikel 82 ISG.</p></item><item eId="art_43/para_1/lbl_c"><num>c. </num><p>Es kann zur Beurteilung und Verbesserung des Stands der technischen Informationssicherheit des Bundes im Internet oder im Einvernehmen mit den jeweiligen Informationssicherheitsverantwortlichen und Leistungserbringern in der Informatikinfrastruktur der Bundesverwaltung nach technischen Bedrohungen und Schwachstellen suchen; es kann andere Stellen der Bundesverwaltung sowie Dritte damit beauftragen.</p></item></blockList></content></paragraph><paragraph eId="art_43/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Es koordiniert seine Tätigkeiten mit der Fachstelle des Bundes für Informationssicherheit.</p></content></paragraph></article></section><section eId="sec_8"><num>8. Abschnitt: </num><heading>Kosten und Evaluation</heading><article eId="art_44"><num><b>Art. 44</b></num><heading>Kosten</heading><paragraph eId="art_44/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die dezentral anfallenden Kosten für die Informationssicherheit sind Teil der Projekt- und Betriebskosten.</p></content></paragraph><paragraph eId="art_44/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c stellen sicher, dass diese Kosten bei der Planung hinreichend berücksichtigt und ausgewiesen werden.</p></content></paragraph><paragraph eId="art_44/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Für die Ausstellung und Zustellung von Sicherheitsbescheinigungen nach Artikel 30 VPSP<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2023/736" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>128.31</b></ref></p></authorialNote> für Personen, die keine sicherheitsempfindliche Tätigkeit des Bundes erfüllen, erhebt die Fachstelle des Bundes für Informationssicherheit eine Gebühr von 100 Franken.</p></content></paragraph></article><article eId="art_45"><num><b>Art. 45</b></num><heading>Evaluation</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (Art. 88 ISG)</subheading><paragraph eId="art_45/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Die Fachstelle des Bundes für Informationssicherheit beantragt der Eidgenössischen Finanzkontrolle sechs Jahre nach Inkrafttreten dieser Verordnung und anschliessend alle zehn Jahre die Evaluation der Gesetzgebung über die Informationssicherheit beim Bund.</p></content></paragraph></article></section><section eId="sec_9"><num>9. Abschnitt: </num><heading>Bearbeitung von Informationen und Personendaten</heading><article eId="art_46"><num><b>Art. 46</b></num><heading>Allgemeines</heading><paragraph eId="art_46/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Organisationen nach Artikel 2 Absätze 1–3 sowie die Sicherheitsorgane des Bundes können die für die Gewährleistung der Informationssicherheit zweckmässigen Informationen einschliesslich Personendaten bearbeiten.</p></content></paragraph><paragraph eId="art_46/para_2"><num>2</num><content><blockList><listIntroduction eId="art_46/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie können untereinander sowie mit nationalen, internationalen und ausländischen Organisationen des öffentlichen und privaten Rechts Informationen einschliesslich Personendaten nach Absatz 1 austauschen, sofern:</listIntroduction><item eId="art_46/para_2/lbl_a"><num>a. </num><p>dies zur Gewährleistung der Informationssicherheit zweckmässig ist;</p></item><item eId="art_46/para_2/lbl_b"><num>b. </num><p>keine gesetzlichen oder vertraglichen Geheimhaltungspflichten verletzt werden;</p></item><item eId="art_46/para_2/lbl_c"><num>c. </num><p>die Vorgaben der Bundesgesetzgebung über den Datenschutz eingehalten werden; und</p></item><item eId="art_46/para_2/lbl_d"><num>d. </num><p>diese Organisation gesetzliche Aufgaben im Bereich der Informationssicherheit wahrnehmen, die denjenigen der bekanntgebenden Behörde oder Organisation entsprechen.</p></item></blockList></content></paragraph><paragraph eId="art_46/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sofern dies für die Bewältigung eines Sicherheitsvorfalls oder die Behandlung einer Sicherheitslücke erforderlich ist, können sie auch besonders schützenswerte Personendaten nach Artikel 5 Buchstabe c des Datenschutzgesetzes vom 25. September 2020<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>235.1</b></ref></p></authorialNote> von Personen, die daran beteiligt oder davon betroffen sind respektive sein könnten, bearbeiten und untereinander austauschen.</p></content></paragraph><paragraph eId="art_46/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Werden bei einem Sicherheitsvorfall beim Bund oder bei Dritten, die mit dem Bund zusammenarbeiten, Informationen des Bundes entwendet und im Internet veröffentlicht, so dürfen sie die Informationen herunterladen und analysieren, um die Betroffenheit des Bundes zu beurteilen und die nötigen Schutzmassnahmen zu ergreifen. Sie dürfen Daten, die für die Beurteilung nicht relevant sind, nicht bearbeiten.</p></content></paragraph><paragraph eId="art_46/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie dürfen diese Massnahmen bereits bei Vorliegen eines konkreten Verdachts anwenden.</p></content></paragraph></article><article eId="art_47"><num><b>Art. 47</b></num><heading>ISMS-Anwendung</heading><paragraph eId="art_47/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Organisationen nach Artikel 2 Absätze 1–3 können für das Management der Informationssicherheit ein Informationssystem (ISMS-Anwendung) betreiben.</p></content></paragraph><paragraph eId="art_47/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie können in der ISMS-Anwendung alle Informationen im Zusammenhang mit dem Management der Informationssicherheit nach dieser Verordnung sowie die besonders schützenswerten Personendaten nach Artikel 46 Absatz 3 bearbeiten.</p></content></paragraph><paragraph eId="art_47/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sie können ihre ISMS-Anwendungen miteinander verknüpfen und informationssicherheitsrelevante Informationen über automatisierte Schnittstellen austauschen.</p></content></paragraph></article><article eId="art_48"><num><b>Art. 48</b></num><heading>Elektronische Formulardienste</heading><paragraph eId="art_48/para_1"><num>1</num><content><blockList><listIntroduction eId="art_48/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Fachstelle des Bundes für Informationssicherheit kann für die nachfolgenden Zwecke elektronische Formulardienste betreiben und sie mit ihrer ISMS-Anwendung verknüpfen:</listIntroduction><item eId="art_48/para_1/lbl_a"><num>a. </num><p>zur Abwicklung der Reisen nach Artikel 42 Absatz 3 Buchstabe e;</p></item><item eId="art_48/para_1/lbl_b"><num>b. </num><p>zur Ausstellung und Zustellung von Sicherheitsbescheinigungen im internationalen Verhältnis nach Artikel 30 VPSP<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2023/736" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>128.31</b></ref></p></authorialNote>;</p></item><item eId="art_48/para_1/lbl_c"><num>c. </num><p>zur Ausstellung und Zustellung von internationalen Betriebssicherheitsbescheinigungen nach Artikel 66 ISG.</p></item></blockList></content></paragraph><paragraph eId="art_48/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Mit den Formulardiensten nach Absatz 1 können die Personendaten nach Anhang 1 bearbeitet werden. Diese Daten dürfen längstens zehn Jahre aufbewahrt werden.</p></content></paragraph><paragraph eId="art_48/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Organisationen nach Artikel 2 Absätze 1–3 können elektronische Formulardienste zur Meldung von Sicherheitsvorfällen und Sicherheitslücken betreiben und sie mit ihrer ISMS-Anwendung verknüpfen.</p></content></paragraph><paragraph eId="art_48/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Mit den Formulardiensten nach Absatz 3 können sie Personendaten, einschliesslich besonders schützenswerte Personendaten nach Artikel 46 Absatz 3, bearbeiten, sofern sie für die Bewältigung von Sicherheitsvorfällen und Behandlung von Sicherheitslücken erforderlich sind. Sie müssen unmittelbar nach ihrer Bekanntgabe über den Formulardienst gelöscht werden. Sie dürfen vor dem Versand der Meldung während höchstens 24 Stunden vorübergehend gespeichert werden.</p></content></paragraph></article></section><section eId="sec_10"><num>10. Abschnitt: </num><heading>Schlussbestimmungen</heading><article eId="art_49"><num><b>Art. 49</b></num><heading>Besondere Vollzugsbestimmungen</heading><paragraph eId="art_49/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Das VBS kann bestimmte datierte Fassungen der generell-abstrakten Weisungen nach den Artikeln 17 Absatz 3, 21 Absatz 1, 29 Absatz 1 und 34 Absatz 1 für die Kantone als verbindlich erklären.</p></content></paragraph></article><article eId="art_50"><num><b>Art. 50</b></num><heading>Aufhebung und Änderung anderer Erlasse</heading><paragraph eId="art_50/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Die Aufhebung und die Änderung anderer Erlasse werden in Anhang 2 geregelt.</p></content></paragraph></article><article eId="art_51"><num><b>Art. 51</b></num><heading>Übergangsbestimmungen</heading><paragraph eId="art_51/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Vor Inkrafttreten dieser Verordnung durch das Nationale Zentrum für Cybersicherheit (NCSC) erlassene Vorgaben zur Informatiksicherheit und bewilligte Ausnahmen gelten bis höchstens drei Jahre nach Inkrafttreten dieser Verordnung.</p></content></paragraph><paragraph eId="art_51/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Über Änderungen an Vorgaben und bewilligten Ausnahmen, die vor Inkrafttreten dieser Verordnung durch das NCSC erlassen worden sind, entscheidet entweder die Fachstelle des Bundes für Informationssicherheit oder das NCSC.</p></content></paragraph><paragraph eId="art_51/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Vor Inkrafttreten dieser Verordnung durch die Generalsekretärenkonferenz oder durch die Koordinationsstelle für den Informationsschutz im Bund erlassene Vorgaben zum Informationsschutz gelten bis höchstens zwei Jahre nach Inkrafttreten dieser Verordnung.</p></content></paragraph><paragraph eId="art_51/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c müssen ihr ISMS (Art. 5) innert drei Jahren nach Inkrafttreten dieser Verordnung aufbauen.</p></content></paragraph><paragraph eId="art_51/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Die Klassifizierungskataloge (Art. 17) müssen bis spätestens ein Jahr nach Inkrafttreten dieser Verordnung erstellt werden.</p></content></paragraph><paragraph eId="art_51/para_6"><num>6</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Bis zum 30. Juni 2025 nimmt das BACS die Aufgaben und Kompetenzen der Fachstelle des Bundes für Informationssicherheit nach den Artikeln 9 Absätze 2 und 3, 11 Absätze 3 und 4, 12 Absätze 3 und 6–8, 15, 27 Absatz 7, 29 Absatz 1 und 31 Absatz 1 wahr.</p></content></paragraph><paragraph eId="art_51/para_7"><num>7</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Weisungen, die das BACS in Anwendung von Absatz 6 erlässt, gelten bis höchstens zwei Jahre nach Inkrafttreten dieser Verordnung.</p></content></paragraph></article><article eId="art_52"><num><b>Art. 52</b></num><heading>Inkrafttreten</heading><paragraph eId="art_52/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Diese Verordnung tritt am 1. Januar 2024 in Kraft.</p></content></paragraph></article></section></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza dell’8 novembre 2023 sulla sicurezza delle informazioni in seno all’Amministrazione federale e all’esercito (Ordinanza sulla sicurezza delle informazioni, OSIn)" shortForm="OSIn"/><FRBRname xml:lang="de" value="Verordnung vom 8. November 2023 über die Informationssicherheit in der Bundesverwaltung und der Armee (Informationssicherheitsverordnung, ISV)" shortForm="ISV"/><FRBRname xml:lang="fr" value="Ordonnance du 8 novembre 2023 sur la sécurité de l’information dans l’administration fédérale et l’armée (Ordonnance sur la sécurité de l’information, OSI)" shortForm="OSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de/xml"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="num">Anhang 1</block></container></preface><mainBody><p>(Art. 48)</p><level eId="annex_1/lvl_u1"><heading>Datenbearbeitung mit den elektronischen Formulardiensten</heading><intro><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Mit den folgenden Formulardiensten dürfen nachstehende Personendaten bearbeitet werden:</p></intro><level eId="annex_1/lvl_u1/lvl_1"><num>1. </num><heading>Formulardienst für den Zweck nach Artikel 48 Absatz 1 Buchstabe a</heading><content><blockList><item eId="annex_1/lvl_u1/lvl_1/lbl_a"><num>a. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_1/lbl_a/listintro">Angaben zur Person:</listIntroduction><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_1"><num>1. </num><p>Namen und Vornamen*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_2"><num>2. </num><p>AHV-Nummer</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_3"><num>3. </num><p>Anrede, Titel und Rang*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_4"><num>4. </num><p>Geburtsdatum*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_5"><num>5. </num><p>Heimatort und Geburtsort*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_6"><num>6. </num><p>Nationalitäten*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_7"><num>7. </num><p>Identitätskarten- und Passnummer sowie Ausstellungsort und Gültigkeit*</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_1/lbl_b"><num>b. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_1/lbl_b/listintro">Angaben zur beruflichen oder militärischen Funktion der Person:</listIntroduction><item eId="annex_1/lvl_u1/lvl_1/lbl_b/lbl_1"><num>1. </num><p>Funktion in der Organisation oder in der Armee*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_b/lbl_2"><num>2. </num><p>berufliche Adresse, E-Mail-Adresse, Telefonnummer und weitere, insbesondere elektronische Kontaktdaten</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_b/lbl_3"><num>3. </num><p>positiver Entscheid über die Personensicherheitsprüfung, Prüfstufe und Gültigkeitsdauer*</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_1/lbl_c"><num>c. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_1/lbl_c/listintro">Angaben zur antragstellenden Organisation:</listIntroduction><item eId="annex_1/lvl_u1/lvl_1/lbl_c/lbl_1"><num>1. </num><p>Name, Adresse und Kontaktdaten der Organisation*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_c/lbl_2"><num>2. </num><p>Name und Vornamen der Bezugsperson</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_c/lbl_3"><num>3. </num><p>Funktion der Bezugsperson in der Organisation oder in der Armee</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_c/lbl_4"><num>4. </num><p>berufliche Adresse, E-Mail-Adresse, Telefonnummer und elektronische Kontaktdaten der Bezugsperson</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d"><num>d. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_1/lbl_d/listintro">Angaben zum Besuch:</listIntroduction><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_1"><num>1. </num><p>Name, Adresse, E-Mail-Adresse und Kontaktdaten der ausländischen Organisation *</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_2"><num>2. </num><p>Grund des Besuchs*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_3"><num>3. </num><p>Sicherheitsstufe des Besuchs*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_4"><num>4. </num><p>Dauer des Besuchs*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_5"><num>5. </num><p>Grenzübertrittpunkte*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_6"><num>6. </num><p>Transportmittel*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_7"><num>7. </num><p>mitgeführtes Material, einschliesslich Waffen, Munition und Sprengstoffe, Fahrzeuge und sonstige Ausrüstung*</p></item></blockList></item></blockList><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Angaben mit einem Asterisk (*) werden der ausländischen Sicherheitsbehörde kommuniziert.</p></content></level><level eId="annex_1/lvl_u1/lvl_2"><num>2. </num><heading>Formulardienst für den Zweck nach Artikel 48 Absatz 1 Buchstabe b</heading><content><blockList><item eId="annex_1/lvl_u1/lvl_2/lbl_a"><num>a. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_2/lbl_a/listintro">Angaben zur Person:</listIntroduction><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_1"><num>1. </num><p>Namen und Vornamen</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_2"><num>2. </num><p>AHV-Nummer</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_3"><num>3. </num><p>Anrede, Titel und Rang</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_4"><num>4. </num><p>Geburtsdatum</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_5"><num>5. </num><p>Heimatort und Geburtsort</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_6"><num>6. </num><p>Nationalitäten</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_7"><num>7. </num><p>Identitätskarten- und Passnummer sowie Ausstellungsort und Gültigkeit</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_2/lbl_b"><num>b. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_2/lbl_b/listintro">Angaben zur beruflichen oder militärischen Funktion der Person:</listIntroduction><item eId="annex_1/lvl_u1/lvl_2/lbl_b/lbl_1"><num>1. </num><p>Funktion in der Organisation oder in der Armee</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_b/lbl_2"><num>2. </num><p>berufliche Adresse, E-Mail-Adresse, Telefonnummer und weitere, insbesondere elektronische Kontaktdaten</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_b/lbl_3"><num>3. </num><p>positiver Entscheid über die Personensicherheitsprüfung, Prüfstufe und Gültigkeitsdauer</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_2/lbl_c"><num>c. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_2/lbl_c/listintro">Angaben zur antragsstellenden Organisation:</listIntroduction><item eId="annex_1/lvl_u1/lvl_2/lbl_c/lbl_1"><num>1. </num><p>Name, Adresse, E-Mail-Adresse und Kontaktdaten der Organisation</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_c/lbl_2"><num>2. </num><p>Name und Vornamen der Bezugsperson</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_c/lbl_3"><num>3. </num><p>Funktion der Bezugsperson in der Organisation oder in der Armee</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_c/lbl_4"><num>4. </num><p>Berufliche Adresse, E-Mail-Adresse und weitere, insbesondere elektronische Kontaktdaten der Bezugsperson</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_c/lbl_5"><num>5. </num><p>Grund für die Erstellung der Bescheinigung</p></item></blockList></item></blockList></content></level><level eId="annex_1/lvl_u1/lvl_3"><num>3. </num><heading>Formulardienst für den Zweck nach Artikel 48 Absatz 1 Buchstabe c</heading><content><blockList><item eId="annex_1/lvl_u1/lvl_3/lbl_a"><num>a. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_3/lbl_a/listintro">Angaben zum Betrieb:</listIntroduction><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_1"><num>1. </num><p>Vollständiger Name*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_2"><num>2. </num><p>Rechtsform*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_3"><num>3. </num><p>Unternehmens-Identifikationsnummer</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_4"><num>4. </num><p>Adresse, E-Mail-Adresse und weitere, insbesondere elektronische Kontaktdaten*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_5"><num>5. </num><p>Sitz*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_6"><num>6. </num><p>Namen und Vornamen der Bezugsperson*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_7"><num>7. </num><p>Funktion der Bezugsperson im Betrieb</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_8"><num>8. </num><p>berufliche Adresse, E-Mail-Adresse und weitere, insbesondere elektronische Kontaktdaten der Bezugsperson</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_3/lbl_b"><num>b. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_3/lbl_b/listintro">Angaben zur Betriebssicherheitserklärung:</listIntroduction><item eId="annex_1/lvl_u1/lvl_3/lbl_b/lbl_1"><num>1. </num><p>Ausstellungsdatum und Gültigkeitsdauer*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_b/lbl_2"><num>2. </num><p>Anwendungsbereich und Auflagen*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_b/lbl_3"><num>3. </num><p>Höchste zugelassene Klassifizierungs- oder Sicherheitsstufe*</p></item></blockList></item></blockList><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Angaben mit einem Asterisk (*) werden der ausländischen Sicherheitsbehörde kommuniziert.</p></content></level><level eId="annex_1/lvl_u1/lvl_4"><num>4. </num><heading>Formulardienst nach Artikel 48 Absatz 3</heading><content><blockList><item eId="annex_1/lvl_u1/lvl_4/lbl_a"><num>a. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_4/lbl_a/listintro">Angaben zur meldenden Person:</listIntroduction><item eId="annex_1/lvl_u1/lvl_4/lbl_a/lbl_1"><num>1. </num><p>Namen und Vornamen</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_a/lbl_2"><num>2. </num><p>Adresse, E-Mail-Adresse, Telefonnummer und weitere, insbesondere elektronische Kontaktdaten</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_a/lbl_3"><num>3. </num><p>Funktion in der Organisation oder in der Armee</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_4/lbl_b"><num>b. </num><p>Angaben zum Schadensereignis und zur Schadenbemessung</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_c"><num>c. </num><p>Bild-, Ton- oder Videoaufnahmen des Vorfalls oder der Sicherheitslücke</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_d"><num>d. </num><p>Dokumente oder Dateien mit Bezug zum Vorfall oder zur Sicherheitslücke</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_e"><num>e. </num><p>Angaben zu allenfalls am Vorfall beteiligten Personen</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_f"><num>f. </num><p>Erste Abklärungen von Sachverständigen einschliesslich bereits getroffener Massnahmen</p></item></blockList></content></level></level></mainBody></doc></component><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza dell’8 novembre 2023 sulla sicurezza delle informazioni in seno all’Amministrazione federale e all’esercito (Ordinanza sulla sicurezza delle informazioni, OSIn)" shortForm="OSIn"/><FRBRname xml:lang="de" value="Verordnung vom 8. November 2023 über die Informationssicherheit in der Bundesverwaltung und der Armee (Informationssicherheitsverordnung, ISV)" shortForm="ISV"/><FRBRname xml:lang="fr" value="Ordonnance du 8 novembre 2023 sur la sécurité de l’information dans l’administration fédérale et l’armée (Ordonnance sur la sécurité de l’information, OSI)" shortForm="OSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/de/xml"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="num">Anhang 2</block></container></preface><mainBody><p>(Art. 50)</p><level eId="annex_2/lvl_u1"><heading>Aufhebung und Änderung anderer Erlasse</heading><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">I</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Die Cyberrisikenverordnung vom 27. Mai 2020<authorialNote><p>  [<ref href="https://fedlex.data.admin.ch/eli/oc/2020/416" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2020</b> 2107</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2020/988" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">5871 </ref>Anhang Ziff. 1; <ref href="https://fedlex.data.admin.ch/eli/oc/2021/132" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2021</b> 132</ref>]</p></authorialNote> wird aufgehoben.</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">II</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Die nachstehenden Erlasse werden wie folgt geändert:</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">…<authorialNote><p> Die Änderungen können unter <ref href="https://fedlex.data.admin.ch/eli/oc/2023/735" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2023</b> 735 </ref>konsultiert werden.</p></authorialNote></p></content></level></mainBody></doc></component></components></act></akomaNtoso>