Verordnung vom 8. November 2023 über die Informationssicherheit in der Bundesverwaltung und der Armee (ISV) - Gegenstand (ISV)

Diese Verordnung regelt die Aufgaben, Verantwortlichkeiten und Kompetenzen sowie die Verfahren zur Gewährleistung der Informationssicherheit bei der Bundesverwaltung und der Armee.

La présente ordonnance régit les tâches, les responsabilités, les compétences et les procédures qui permettent de garantir la sécurité de l’information au sein de l’administration fédérale et de l’armée.

La présente ordonnance s’applique: a. au Conseil fédéral; b. aux départements; c. à la Chancellerie fédérale (ChF), aux secrétariats généraux, aux groupements et aux offices fédéraux; d. à l’armée.

Les dispositions suivantes de la LSI et de la présente ordonnance s’appliquent aux unités de l’administration fédérale décentralisée au sens de l’art. 2, al. 3, de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA) et aux organisations et personnes visées à l’art. 2, al. 4, LOGA: a. les art. 5, 6, 9, 10, 12 à 15, 20 à 23 et 27 à 73 LSI et les art. 16, 21, 24, 26, 32, 34 et 35 de la présente ordonnance, lorsqu’elles traitent des informations classifiées de la Confédération; b. les art. 5, 6, 9, 10 et 16 à 73 LSI et 10 à 12, 27 et 29 à 35 de la présente ordonnance, lorsqu’elles accèdent aux moyens informatiques des fournisseurs internes de prestations informatiques visés à l’art. 10 de l’ordonnance du 2 avril 2025 sur la numérisation (ONum) ou délèguent l’exploitation de leurs moyens informatiques à ces fournisseurs.

La ChF et les départements peuvent, dans leur domaine de compétence, soumettre les unités de l’administration fédérale décentralisée qui exercent constamment des activités sensibles à l’ensemble des dispositions de la LSI.

Les dispositions suivantes de la présente ordonnance s’appliquent aux cantons, sous réserve de l’art. 3, al. 2, LSI: a. les dispositions de la section 4, lors du traitement d’informations classifiées de la Confédération; b. les art. 28 à 30 et 34, lors de l’accès aux moyens informatiques de la Confédération.

Le Groupement Défense assume pour l’armée les tâches, compétences et responsabilités que la présente ordonnance assigne aux unités administratives visées à l’art. 2, al. 1, let. c.

Diese Verordnung gilt für: a. den Bundesrat; b. die Departemente; c. die Bundeskanzlei (BK), die Generalsekretariate, die Gruppen und die Bundesämter; d. die Armee.

Für Verwaltungseinheiten der dezentralen Bundesverwaltung nach Artikel 2 Absatz 3 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997 (RVOG) und Organisationen und Personen nach Artikel 2 Absatz 4 RVOG gelten die folgenden Bestimmungen des ISG und der vorliegenden Verordnung: a. wenn sie klassifizierte Informationen des Bundes bearbeiten: die Artikel 5–6, 9–10, 12–15, 20–23 und 27–73 ISG sowie die Artikel 16, 21, 24, 26 und 32, 34–35 dieser Verordnung; b. wenn sie auf Informatikmittel der internen IKT-Leistungserbringer nach Artikel 10 der Digitalisierungsverordnung vom 2. April 2025 (DigiV) zugreifen oder ihre eigenen Informatikmittel durch diese Leistungserbringer betreiben lassen: die Artikel 5–6, 9–10, 16–73 ISG sowie die Artikel 10–12, 27 und 29–35 dieser Verordnung.

Die BK und die Departemente können in ihrem Zuständigkeitsbereich Verwaltungseinheiten der dezentralen Bundesverwaltung, die ständig sicherheitsempfindliche Tätigkeiten ausüben, dem gesamten ISG unterstellen.

Für die Kantone gelten unter Vorbehalt von Artikel 3 Absatz 2 ISG die folgenden Bestimmungen dieser Verordnung: a. bei der Bearbeitung von klassifizierten Informationen des Bundes: die Bestimmungen des 4. Abschnitts; b. beim Zugriff auf Informatikmittel des Bundes: die Artikel 28–30 und 34.

Die Gruppe Verteidigung übernimmt für die Armee die Aufgaben, Kompetenzen und Verantwortlichkeiten, die diese Verordnung den Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c zuweist.

Les organisations visées à l’art. 2, al. 1, veillent ensemble à protéger leurs informations et leurs moyens informatiques en fonction du risque et à faire preuve d’une résilience appropriée face aux risques pour la sécurité de l’information.

Elles contribuent, en collaborant et en échangeant des informations avec les autres autorités fédérales, les cantons, les communes, les milieux économiques, la société, les milieux scientifiques et les partenaires internationaux, à améliorer la sécurité de l’information de la Suisse.

Elles œuvrent à l’harmonisation, sur le plan national et international, des prescriptions et des niveaux en matière de sécurité afin de permettre l’interaction des autorités fédérales avec d’autres autorités de la Confédération ainsi qu’avec les cantons, les communes et les partenaires internationaux.

Die Organisationen nach Artikel 2 Absatz 1 sorgen gemeinsam für einen risikobasierten Schutz ihrer Informationen und Informatikmittel sowie für eine angemessene Resilienz gegenüber Informationssicherheitsrisiken.

Sie tragen durch die Zusammenarbeit und den Informationsaustausch mit den anderen Bundesbehörden, den Kantonen, den Gemeinden, der Wirtschaft, der Gesellschaft, der Wissenschaft und den internationalen Partnern zur Verbesserung der Informationssicherheit der Schweiz bei.

Sie setzen sich für eine nationale und internationale Harmonisierung der Sicherheitsvorschriften und -niveaus ein, um die Interaktion von Bundesbehörden mit anderen Behörden des Bundes sowie den Kantonen, den Gemeinden und den internationalen Partnern zu ermöglichen.

Les unités administratives sont responsables de la protection des informations qu’elles traitent ou dont elles délèguent le traitement et de la sécurité des moyens informatiques qu’elles exploitent elles-mêmes ou font exploiter par des tiers.

Elles assument toutes les tâches relevant de leur domaine de compétence que la présente ordonnance ou d’autres dispositions du droit fédéral n’attribuent pas à une autre organisation ou à un autre service.

Les collaborateurs de l’administration fédérale et les militaires qui traitent des informations ou utilisent des moyens informatiques de la Confédération sont responsables du respect des prescriptions en la matière.

Les supérieurs de tous les échelons sont responsables de la formation liée à la sécurité de l’information de leurs collaborateurs et des militaires qui leur sont subordonnés en fonction de leurs tâches et s’assurent que ceux-ci respectent les prescriptions.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c sind für den Schutz der Informationen, die sie bearbeiten oder deren Bearbeitung sie in Auftrag geben, sowie die Sicherheit der Informatikmittel, die sie selber betreiben oder durch Dritte betreiben lassen, verantwortlich.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c nehmen in ihrem Zuständigkeitsbereich alle Aufgaben wahr, die diese Verordnung oder das übrige Bundesrecht nicht einer anderen Organisation oder Stelle zuweist.

Die Mitarbeitenden der Bundesverwaltung sowie die Angehörigen der Armee, die Informationen bearbeiten oder Informatikmittel des Bundes nutzen, sind für die vorschriftskonforme Bearbeitung und Nutzung verantwortlich.

Die Vorgesetzten aller Stufen sind für die aufgabenbezogene Schulung ihrer Mitarbeitenden beziehungsweise der ihnen unterstellten Angehörigen der Armee im Bereich der Informationssicherheit sowie für die Überprüfung der Einhaltung der Vorschriften durch diese verantwortlich.

Les unités administratives visées à l’art. 2, al. 1, let. c, établissent chacune un système de management de la sécurité de l’information (SMSI).

Elles fixent les objectifs de leur SMSI, vérifient chaque année si ces objectifs ont été atteints et relèvent les indicateurs nécessaires à cette fin.

Elles font contrôler leur SMSI au moins tous les trois ans par un service indépendant ou par leur département et veillent à améliorer continuellement le système.

Elles coordonnent leur SMSI avec la gestion ordinaire des risques, la gestion de la continuité des activités et la gestion des crises.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c erstellen je ein Informationssicherheits-Managementsystem (ISMS).

Sie legen die Ziele für ihr ISMS fest, prüfen jährlich, ob die Ziele erreicht werden, und erheben die dafür nötigen Kennzahlen.

Sie lassen ihr ISMS mindestens alle drei Jahre von einer unabhängigen Stelle oder ihrem Departement überprüfen und sorgen für die kontinuierliche Verbesserung des Systems.

Sie koordinieren ihr ISMS mit dem ordentlichen Risikomanagement, dem betrieblichen Kontinuitätsmanagement und dem Krisenmanagement.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c, die Departemente und die Fachstelle des Bundes für Informationssicherheit führen je ein Verzeichnis der in ihrem Zuständigkeitsbereich massgebenden Rechtsgrundlagen und vertraglichen Verpflichtungen zur Informationssicherheit und halten es aktuell.

Les unités administratives visées à l’art. 2, al. 1, let. c, les départements et le service spécialisé de la Confédération pour la sécurité de l’information établissent la liste des bases légales déterminantes pour leur domaine de compétence et de leurs obligations contractuelles en matière de sécurité de l’information et la tiennent à jour.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c führen ein Inventar ihrer Schutzobjekte und halten es aktuell.

Als Schutzobjekte gelten einzelne oder mehrere gleichartige oder zusammenhängende: a. Sammlungen von Informationen, die zur Abwicklung eines Geschäftsprozesses des Bundes bearbeitet werden; b. Informatikmittel nach Artikel 5 Buchstabe a ISG.

Im Inventar ist festzuhalten: a. der Schutzbedarf der Schutzobjekte; b. die Verantwortlichkeiten für die Schutzobjekte; c. die Beteiligung von Dritten; d. das Ergebnis der Risikobeurteilung; e. die Umsetzung der Sicherheitsmassnahmen und der Übernahme der Risiken, die nicht hinreichend reduziert werden können (Restrisiken); f. die periodischen Kontrollen und Audits; g. gegebenenfalls: die geteilte Nutzung der Schutzobjekte.

Les unités administratives visées à l’art. 2, al. 1, let. c, dressent l’inventaire de leurs objets à protéger et le tiennent à jour.

Par objets à protéger, on entend des objets indépendants, plusieurs objets de même nature ou des objets connexes: a. les collections d’informations traitées dans le but d’exécuter un processus d’affaires de la Confédération; b. les moyens informatiques visés à l’art. 5, let. a, LSI.

L’inventaire mentionne: a. le besoin de protection des objets à protéger; b. les responsabilités liées aux objets à protéger; c. la participation de tiers; d. le résultat de l’évaluation des risques; e. la mise en œuvre des mesures de sécurité et l’acceptation des risques qui ne peuvent pas être réduits de manière suffisante (risques résiduels); f. les contrôles et les audits périodiques; g. le cas échéant, l’utilisation partagée des objets à protéger.

Les unités administratives visées à l’art. 2, al. 1, let. c, évaluent en continu les risques pour leurs objets à protéger et assument notamment les tâches suivantes: a. elles analysent régulièrement les menaces et les vulnérabilités et en évaluent les répercussions sur les objets à protéger; b. elles mettent en œuvre les mesures nécessaires et en contrôlent les effets; c. elles contrôlent le respect des directives; d. elles démontrent l’acceptation des risques résiduels.

Le service spécialisé de la Confédération pour la sécurité de l’information, l’Office fédéral de la cybersécurité (OFCS), les unités administratives qui fournissent des prestations et les organes de sécurité de la Confédération informent les unités administratives visées à l’art. 2, al. 1, let. c, et les départements des menaces et vulnérabilités actuelles et des risques qui les concernent. Ils recommandent au besoin des mesures de limitation des risques.

Les unités administratives visées à l’art. 2, al. 1, let. c, rendent compte de leurs risques pour la sécurité de l’information dans le cadre du processus ordinaire de gestion des risques conformément aux directives de l’Administration fédérale des finances.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c beurteilen laufend die Risiken für ihre Schutzobjekte und nehmen insbesondere folgende Aufgaben wahr: a. Sie analysieren regelmässig Bedrohungen und Schwachstellen und bewerten deren Auswirkungen auf die Schutzobjekte. b. Sie setzen die notwendigen Massnahmen um und kontrollieren die Wirkung. c. Sie kontrollieren die Einhaltung der Vorgaben. d. Sie weisen die Akzeptanz der Restrisiken nach.

Die Fachstelle des Bundes für Informationssicherheit, das Bundesamt für Cybersicherheit (BACS), die leistungserbringenden Verwaltungseinheiten und die Sicherheitsorgane des Bundes informieren die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c und die Departemente über aktuelle Bedrohungen und Schwachstellen sowie über Risiken, die sie betreffen. Sie empfehlen bei Bedarf Massnahmen zur Risikominderung.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c berichten über ihre Informationssicherheitsrisiken im Rahmen des ordentlichen Risikomanagementprozesses nach den Vorgaben der Eidgenössischen Finanzverwaltung.

Si une unité administrative n’est pas en mesure d’observer une consigne contraignante pour elle d’une directive générale et abstraite visée à l’art. 85 LSI concernant un objet à protéger, elle doit obtenir une autorisation exceptionnelle du service ayant émis la directive.

Si une exception relevant du domaine de compétence du service spécialisé de la Confédération pour la sécurité de l’information concerne également des directives de la ChF sur la transformation numérique et la gouvernance de l’informatique, le service spécialisé consulte au préalable le délégué TNI.

Les unités administratives visées à l’art. 2, al. 1, let. c, les départements et le service spécialisé de la Confédération pour la sécurité de l’information établissent la liste de leurs autorisations exceptionnelles en vigueur.

Kann eine Verwaltungseinheit für ein Schutzobjekt eine für sie verbindliche Vorgabe einer generell-abstrakten Weisung nach Artikel 85 ISG nicht erfüllen, so benötigt sie eine Ausnahmebewilligung der Stelle, welche die Weisungen erlassen hat.

Betrifft eine Ausnahme, die im Kompetenzbereich der Fachstelle des Bundes für Informationssicherheit liegt, auch Vorgaben der BK über die digitale Transformation und die IKT-Lenkung, so hört die Fachstelle vorgängig die DTI-Delegierte oder den DTI-Delegierten an.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c, die Departemente und die Fachstelle des Bundes für Informationssicherheit führen je ein Verzeichnis der gültigen Ausnahmebewilligungen.

Les unités administratives visées à l’art. 2, al. 1, let. c, évaluent les risques pour leurs objets à protéger lors de la collaboration avec des tiers et leur dépendance vis-à-vis de tiers.

Les services d’achat centraux visés à l’art. 5 de l’ordonnance du 1 er mai 2024 sur l’organisation des marchés publics de l’administration fédérale (Org‑OMP) collaborent à l’évaluation et mettent les informations nécessaires à disposition.

Le service spécialisé de la Confédération pour la sécurité de l’information, après avoir consulté l’OFCS et la Conférence des achats de la Confédération visée à l’art. 30 Org OMP, émet des recommandations quant aux dispositions relatives à la sécurité de l’information devant figurer dans tous les contrats d’acquisition ou de prestation de la Confédération.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c beurteilen die Risiken für ihre Schutzobjekte bei der Zusammenarbeit mit Dritten und ihre Abhängigkeit von Dritten.

Die zentralen Beschaffungsstellen nach Artikel 5 der Verordnung vom 1. Mai 2024 über die Organisation des öffentlichen Beschaffungswesens der Bundesverwaltung (Org‑VöB) wirken bei der Beurteilung mit und stellen die nötigen Informationen zur Verfügung.

Die Fachstelle des Bundes für Informationssicherheit empfiehlt nach Konsultation des BACS und der Beschaffungskonferenz des Bundes nach Artikel 30 Org‑VöB, welche Bestimmungen zur Informationssicherheit in allen Beschaffungs- und Dienstleistungsverträgen des Bundes enthalten sein sollen.

Les unités administratives visées à l’art. 2, al. 1, let. c, forment leurs collaborateurs à leur entrée en fonction, puis périodiquement de manière à ce qu’ils puissent assumer leurs responsabilités en matière de sécurité de l’information. Elles établissent la liste des formations et des participants.

Les formations portent notamment sur: a. l’identification correcte du besoin de protection des informations; b. l’utilisation sûre des informations et des moyens informatiques; c. la réaction correcte en cas de soupçon d’incident de sécurité; d. la connaissance de l’organisation de sécurité et des interlocuteurs en cas de questions relatives à la sécurité de l’information; e. les tâches de contrôle des supérieurs; f. la mise en œuvre de la sécurité de l’information dans les projets et dans l’exploitation.

Les unités administratives visées à l’art. 2, al. 1, let. c, les départements et le service spécialisé de la Confédération pour la sécurité de l’information veillent à sensibiliser régulièrement les collaborateurs de tous les échelons aux risques pour la sécurité de l’information.

Le service spécialisé de la Confédération pour la sécurité de l’information établit des outils de formation et de sensibilisation.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c schulen ihre Mitarbeitenden bei Stellenantritt und anschliessend periodisch so, dass sie ihre Verantwortung in Bezug auf die Informationssicherheit wahrnehmen können. Sie führen ein Verzeichnis über die Schulungen und die Teilnahme daran.

Inhalt der Schulungen ist insbesondere: a. die korrekte Identifizierung des Schutzbedarfs von Informationen; b. der sichere Umgang mit Informationen und Informatikmitteln; c. die korrekte Reaktion bei Verdacht auf einen Sicherheitsvorfall; d. die Kenntnis der Sicherheitsorganisation sowie der Kontaktpersonen bei Fragen zur Informationssicherheit; e. die Kontrollaufgaben der Vorgesetzten; f. die Umsetzung der Informationssicherheit in Projekten und im Betrieb.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c, die Departemente und die Fachstelle des Bundes für Informationssicherheit sorgen für die regelmässige Sensibilisierung der Mitarbeitenden aller Stufen in Bezug auf die Risiken der Informationssicherheit.

Die Fachstelle des Bundes für Informationssicherheit erstellt Schulungs- und Sensibilisierungshilfsmittel.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c legen in Absprache mit ihren Leistungserbringern fest, wie Sicherheitsvorfälle und Sicherheitslücken gemeldet und bewältigt beziehungsweise behandelt werden. Sie legen fest, wer Sofortmassnahmen anordnen kann.

Entdeckt ein Leistungserbringer Sicherheitsvorfälle oder Sicherheitslücken, die eine ihrer leistungsbeziehenden Verwaltungseinheiten betreffen, so meldet er ihr diese unverzüglich und unterstützt sie bei der Bewältigung beziehungsweise Behandlung.

Die Fachstelle des Bundes für Informationssicherheit und das BACS können die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c und die Departemente bei der Bewältigung von Sicherheitsvorfällen und der Behandlung von Sicherheitslücken unterstützen.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c prüfen bei der Bewältigung von Sicherheitsvorfällen, ob eine Meldung nach der Datenschutzgesetzgebung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten erfolgen muss.

Sie informieren ihr Departement und die Fachstelle des Bundes für Informationssicherheit unverzüglich über den Sicherheitsvorfall oder die Sicherheitslücke, wenn eine der folgenden Voraussetzungen erfüllt ist: a. Die Funktionsfähigkeit der Bundesverwaltung könnte gefährdet sein. b. Ein Informatikmittel der Sicherheitsstufe «hoher Schutz» oder «sehr hoher Schutz» ist betroffen. c. Es könnten mehrere Departemente betroffen sein. d. Der Schutz klassifizierter Informationen eines Staats oder einer internationalen Organisation, mit welchem oder welcher der Bundesrat einen völkerrechtlichen Vertrag nach Artikel 87 ISG abgeschlossen hat, könnte gefährdet sein. e. Der Sicherheitsvorfall oder die Sicherheitslücke könnte eine hohe politische Bedeutung haben. f. Der Sicherheitsvorfall oder die Sicherheitslücke erfordert Massnahmen ausserhalb des nach Absatz 1 festgelegten Verfahrens.

Die Fachstelle des Bundes für Informationssicherheit beurteilt mit der betroffenen Verwaltungseinheit das Risiko und den Unterstützungsbedarf.

Sie kann in Fällen nach Absatz 5 nach Rücksprache mit der betroffenen Verwaltungseinheit und dem betroffenen Departement die Federführung für die Bewältigung eines Sicherheitsvorfalls oder die Behandlung einer Sicherheitslücke übernehmen oder diese mit deren Zustimmung dem BACS übertragen. Dabei haben sie folgende Aufgaben und Kompetenzen: a. Sie können die betroffenen Verwaltungseinheiten, Leistungserbringer und Dritten verpflichten, ihr alle nötigen Informationen mitzuteilen. b. Sie können Sofortmassnahmen anordnen. c. Sie können externe Spezialistinnen und Spezialisten zur Unterstützung einsetzen. d. Sie informieren die Leitung der betroffenen Verwaltungseinheiten und der Departemente über den Verlauf.

Ist nach einem Sicherheitsvorfall oder einer Sicherheitslücke die Informationssicherheit wiederhergestellt und sind die nötigen Folgearbeiten sowie deren Finanzierung definiert, so übergibt die Fachstelle des Bundes für Informationssicherheit oder das BACS die Federführung für die Weiterbearbeitung wieder der betroffenen Verwaltungseinheit.

Les unités administratives visées à l’art. 2, al. 1, let. c, fixent en accord avec leurs fournisseurs de prestations la manière dont les incidents et les failles de sécurité sont annoncés et maîtrisés ou traités. Elles règlent la compétence d’ordonner des mesures immédiates.

Si un fournisseur de prestations découvre des incidents ou des failles de sécurité qui concernent une unité administrative à laquelle il fournit des prestations, il les lui annonce immédiatement et l’aide à les maîtriser ou à les traiter.

Le service spécialisé de la Confédération pour la sécurité de l’information et l’OFCS peuvent aider les unités administratives visées à l’art. 2, al. 1, let. c, et les départements à maîtriser les incidents de sécurité et à traiter les failles de sécurité.

Les unités administratives visées à l’art. 2, al. 1, let. c, vérifient lors de la maîtrise des incidents de sécurité s’il est nécessaire de faire une annonce au Préposé fédéral à la protection des données et à la transparence en vertu de la législation sur la protection des données.

Elles informent immédiatement leur département et le service spécialisé de la Confédération pour la sécurité de l’information de l’incident ou de la faille de sécurité si l’une des conditions suivantes est remplie: a. le fonctionnement de l’administration fédérale pourrait être compromis; b. un moyen informatique relevant des catégories de sécurité «protection élevée» ou «protection très élevée» est concerné; c. plusieurs départements pourraient être touchés; d. la protection des informations classifiées d’un État ou d’une organisation internationale avec lequel ou laquelle le Conseil fédéral a conclu un traité international visé à l’art. 87 LSI pourrait être menacée; e. l’incident ou la faille de sécurité pourrait avoir une grande importance politique; f. l’incident ou la faille de sécurité requiert des mesures sortant de la procédure fixée à l’al. 1.

Le service spécialisé de la Confédération pour la sécurité de l’information évalue le risque et le soutien requis avec l’unité administrative concernée.

Dans les cas visés à l’al. 5, il peut, en accord avec l’unité administrative et le département concernés, diriger les opérations de maîtrise de l’incident de sécurité ou de traitement de la faille de sécurité ou en déléguer la direction à l’OFCS avec son approbation. Ils ont dans ce cadre les tâches et les compétences suivantes: a. ils peuvent obliger les unités administratives, les fournisseurs de prestations et les tiers concernés à leur communiquer toutes les informations nécessaires; b. ils peuvent ordonner des mesures immédiates; c. ils peuvent demander l’aide de spécialistes externes; d. ils informent la direction des unités administratives concernées et des départements de l’avancement des opérations.

Lorsque la sécurité de l’information a été rétablie à la suite d’un incident ou d’une faille de sécurité et que les travaux de suivi nécessaires et leur financement ont été arrêtés, le service spécialisé de la Confédération pour la sécurité de l’information ou l’OFCS rend la direction des opérations à l’unité administrative concernée.

Les unités administratives visées à l’art. 2, al. 1, let. c, et les départements fixent dans une planification annuelle de contrôle et d’audit la manière de contrôler en fonction du risque le respect des prescriptions de la présente ordonnance et l’efficacité des mesures permettant de garantir la sécurité de l’information dans leur domaine de compétence et auprès des tiers mandatés.

Les audits menés auprès des tiers disposant d’une déclaration de sécurité relative aux entreprises visée à l’art. 61 LSI doivent être coordonnés avec le service spécialisé chargé de mener la procédure de sécurité relative aux entreprises.

Le service spécialisé de la Confédération pour la sécurité de l’information recueille le besoin de contrôle et d’audit pour garantir la sécurité de l’information de l’ensemble de l’administration fédérale et de l’armée.

Il peut, en accord avec la ChF ou le département responsable, réaliser des audits ou en confier la réalisation au Contrôle fédéral des finances.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c und die Departemente legen in je einem jährlichen Kontroll- und Auditplan fest, wie sie die Einhaltung der Vorschriften nach dieser Verordnung und die Wirksamkeit der Massnahmen zur Gewährleistung der Informationssicherheit in ihrem Zuständigkeitsbereich sowie bei beauftragten Dritten risikobasiert überprüfen.

Audits bei Dritten, die über eine Betriebssicherheitserklärung nach Artikel 61 ISG verfügen, müssen mit der Fachstelle Betriebssicherheit koordiniert werden.

Die Fachstelle des Bundes für Informationssicherheit erhebt den Kontroll- und Auditbedarf zur Gewährleistung der Informationssicherheit der gesamten Bundesverwaltung und der Armee.

Sie kann im Einvernehmen mit der BK oder dem zuständigen Departement Audits durchführen oder die Durchführung der Eidgenössischen Finanzkontrolle beantragen.

Die BK, die Departemente, das BACS und die internen IKT-Leistungserbringer nach Artikel 10 DigiV erstatten der Fachstelle des Bundes für Informationssicherheit jährlich Bericht über den Stand der Informationssicherheit in ihrem Zuständigkeitsbereich. Sie erheben bei den Verwaltungseinheiten und ihren Leistungserbringern die dafür nötigen Informationen.

Die Fachstelle des Bundes für Informationssicherheit erstattet dem Bundesrat jährlich Bericht über den Stand der Informationssicherheit beim Bund.

Sie koordiniert die Berichterstattung mit den verpflichteten Behörden nach Artikel 2 Absatz 1 ISG.

La ChF, les départements, l’OFCS et les fournisseurs internes de prestations informatiques visés à l’art. 10 ONum rendent compte chaque année au service spécialisé de la Confédération pour la sécurité de l’information de la situation en matière de sécurité de l’information dans leur domaine de compétence. Ils collectent les informations nécessaires auprès des unités administratives et de leurs fournisseurs de prestations.

Le service spécialisé de la Confédération pour la sécurité de l’information rend compte chaque année au Conseil fédéral de la situation en matière de sécurité de l’information au sein de la Confédération.

Il coordonne les comptes rendus avec les autorités visées à l’art. 2, al. 1, LSI.

Le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 et 3, qui concernent les exigences minimales auxquelles la gestion de la sécurité de l’information visée aux art. 5 à 14 doit répondre.

Die Fachstelle des Bundes für Informationssicherheit erlässt generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1 und 3 über die Mindestanforderungen an das Management der Informationssicherheit nach den Artikeln 5–14.

Die Bekanntgabe und das Zugänglichmachen klassifizierter Informationen sowie die Erstellung klassifizierter Informationsträger sind auf das Minimum zu beschränken.

Werden Informationen zu einem Sammelwerk zusammengefasst, ist die Klassifizierung neu zu beurteilen.

La communication et la mise à disposition d’informations classifiées et l’établissement de supports d’information classifiés doivent être limités autant que possible.

Si des informations sont regroupées dans un recueil, il faut réévaluer la classification.

Les unités administratives visées à l’art. 2, al. 1, let. c, et les départements fixent dans un catalogue de classification la manière de classifier les informations souvent traitées dans leur domaine de compétence et la durée de la classification.

Le service spécialisé de la Confédération pour la sécurité de l’information contrôle les catalogues de classification et émet si nécessaire une recommandation.

Après avoir consulté la Conférence des préposés à la sécurité de l’information, il fixe dans des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, la manière de classifier les informations souvent traitées par plusieurs départements et la durée de la classification.

Les personnes et les services suivants sont compétents pour classifier et déclassifier les informations qui ne figurent pas dans les catalogues de classification: a. le personnel de la Confédération et les militaires; b. les adjudicateurs, lorsque des informations de la Confédération sont traitées par des tiers.

Le personnel de la Confédération, les militaires et les tiers sont compétents pour marquer formellement les supports d’information qu’ils établissent ou les informations qu’ils communiquent oralement.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c und die Departemente legen je in einem Klassifizierungskatalog fest, wie Informationen, die in ihrem Zuständigkeitsbereich häufig bearbeitet werden, zu klassifizieren sind und wie lange die Klassifizierung dauern soll.

Die Fachstelle des Bundes für Informationssicherheit überprüft die Klassifizierungskataloge und gibt bei Bedarf eine Empfehlung ab.

Sie legt nach der Konsultation der Konferenz der Informationssicherheitsbeauftragten in generell-abstrakten Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 fest, wie Informationen, die departementsübergreifend häufig bearbeitet werden, zu klassifizieren sind und wie lange die Klassifizierung dauern soll.

Folgende Personen und Stellen sind für die Klassifizierung und Entklassifizierung von Informationen, die nicht in den Klassifizierungskatalogen aufgeführt sind, zuständig: a. die Mitarbeitenden des Bundes sowie die Angehörigen der Armee; b. die Auftraggeberinnen, wenn Informationen des Bundes durch Dritte bearbeitet werden.

Die Mitarbeitenden des Bundes, die Angehörigen der Armee und die Dritten sind für die formelle Kennzeichnung der Informationsträger, die sie erstellen, oder der Informationen, die sie mündlich mitteilen, zuständig.

Les informations susceptibles de nuire de la manière suivante aux intérêts définis à l’art. 1, al. 2, let. a à d, LSI si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «interne»: a. un important processus d’affaires du Conseil fédéral ou de l’administration fédérale ou un processus de conduite important de l’armée est entravé; b. l’exécution d’engagements des autorités de poursuite pénale, du Service de renseignement de la Confédération (SRC), de l’armée ou des autres organes de sécurité de la Confédération est entravée; c. des personnes subissent des lésions corporelles; d. la sécurité nucléaire ou la sûreté d’installations nucléaires ou de matières nucléaires sont indirectement compromises; e. la Suisse subit un désavantage sur les plans de la politique extérieure ou de l’économie; f. les relations entre la Confédération et les cantons ou entre les cantons sont perturbées.

Sont également classifiées «interne» les informations permettant de tirer des conclusions sur des informations classifiées «confidentiel» ou «secret» si elles sont portées à la connaissance d’une personne non autorisée.

Als «intern» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d ISG wie folgt beeinträchtigen kann: a. Ein wichtiger Geschäftsprozess des Bundesrats oder der Bundesverwaltung oder ein wichtiger Führungsprozess der Armee ist erschwert. b. Die Durchführung von Einsätzen der Strafverfolgungsbehörden, des Nachrichtendiensts des Bundes (NDB), der Armee oder der anderen Sicherheitsorgane des Bundes ist erschwert. c. Einzelne Personen sind körperlich verletzt. d. Die nukleare Sicherheit oder die Sicherung von Kernanlagen und Kernmaterialien ist mittelbar gefährdet. e. Die Schweiz ist aussenpolitisch oder wirtschaftlich benachteiligt. f. Die Beziehungen zwischen Bund und Kantonen oder zwischen den Kantonen sind gestört.

Als «intern» werden zudem Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte Rückschlüsse auf «vertraulich» oder «geheim» klassifizierte Informationen ermöglichen.

Les informations susceptibles de nuire considérablement de la manière suivante aux intérêts définis à l’art. 1, al. 2, let. a à d, LSI si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «confidentiel»: a. la capacité de décision et d’action du Conseil fédéral, du Parlement, de plusieurs unités administratives ou de plusieurs corps de troupe de l’armée sont entravées durant plusieurs jours; b. l’exécution d’opérations des autorités de poursuite pénale, du SRC, de l’armée ou des autres organes de sécurité de la Confédération conforme aux objectifs est compromise; c. les moyens et les méthodes opérationnels des services de renseignement et des autorités de poursuite pénale de la Confédération ou l’identité de sources et de personnes exposées sont divulgués; d. la sécurité de la population est compromise durant plusieurs jours ou des personnes ou des groupes de personnes meurent; e. la sécurité nucléaire ou la sûreté d’installations nucléaires ou de matières nucléaires sont compromises; f. l’approvisionnement économique du pays ou l’exploitation d’infrastructures critiques sont entravés; g. la Suisse subit un désavantage considérable sur les plans de la politique extérieure ou de l’économie ou les relations diplomatiques avec un État ou avec une organisation internationale sont rompues; h. la position de la Suisse est temporairement considérablement affaiblie lors de négociations relatives à des affaires importantes de politique extérieure.

Als «vertraulich» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d ISG wie folgt erheblich beeinträchtigen kann: a. Die Entscheidungs- oder Handlungsfähigkeit des Bundesrats, des Parlaments, mehrerer Verwaltungseinheiten oder mehrerer Truppenkörper der Armee ist über mehrere Tage erschwert. b. Die zielkonforme Durchführung von Operationen der Strafverfolgungsbehörden, des NDB, der Armee oder der anderen Sicherheitsorgane des Bundes ist gefährdet. c. Die operativen Mittel und Methoden der Nachrichtendienste und Strafverfolgungsbehörden des Bundes oder die Identität von Quellen und exponierten Personen sind offengelegt. d. Die Sicherheit der Bevölkerung ist über mehrere Tage gefährdet oder einzelne Personen oder Personengruppen kommen zu Tode. e. Die nukleare Sicherheit oder die Sicherung von Kernanlagen und Kernmaterialien ist gefährdet. f. Die wirtschaftliche Landesversorgung oder der Betrieb von kritischen Infrastrukturen ist erschwert. g. Die Schweiz ist aussenpolitisch oder wirtschaftlich erheblich benachteiligt oder die diplomatischen Beziehungen zu einem Staat oder zu einer internationalen Organisation sind abgebrochen. h. Die Verhandlungsposition der Schweiz in wichtigen aussenpolitischen Geschäften ist vorübergehend erheblich geschwächt.

Les informations susceptibles de nuire gravement de la manière suivante aux intérêts définis à l’art. 1, al. 2, let. a à d, LSI si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «secret»: a. la capacité de décision et d’action du Conseil fédéral, du Parlement, de plusieurs unités administratives ou de plusieurs corps de troupe de l’armée sont annihilées durant des jours ou entravées pendant des semaines; b. l’exécution d’opérations d’importance stratégique des autorités de poursuite pénale, du SRC, de l’armée ou des autres organes de sécurité de la Confédération est compromise ou entravée durant des jours dans une mesure particulièrement importante; c. des sources stratégiques, l’identité de personnes particulièrement exposées ou les moyens et les méthodes stratégiques des services de renseignement et des autorités de poursuite pénale de la Confédération sont divulgués; d. la sécurité de la population est compromise durant des semaines dans une mesure particulièrement importante ou un grand nombre de personnes meurent; e. la sécurité nucléaire ou la sûreté d’installations nucléaires ou de matières nucléaires sont compromises dans une mesure particulièrement importante; f. l’approvisionnement économique du pays ou l’exploitation d’infrastructures critiques ne sont plus assurés durant des jours; g. la Suisse subit durant des semaines des conséquences particulièrement lourdes sur les plans de la politique extérieure ou de l’économie, telles que des mesures d’embargo ou des sanctions; h. la position de la Suisse est affaiblie lors de négociations relatives à des affaires stratégiques de politique extérieure durant des années.

Als «geheim» werden Informationen klassifiziert, deren Kenntnisnahme durch Unberechtigte die Interessen nach Artikel 1 Absatz 2 Buchstaben a–d ISG wie folgt schwerwiegend beeinträchtigen kann: a. Der Bundesrat, das Parlament, mehrere Verwaltungseinheiten oder mehrere Truppenkörper der Armee sind über Tage entscheidungs- oder handlungsunfähig oder ihre Entscheidungs- oder Handlungsfähigkeit ist über Wochen erschwert. b. Die Durchführung von strategisch bedeutsamen Operationen der Strafverfolgungsbehörden, des NDB, der Armee oder der anderen Sicherheitsorgane des Bundes ist gefährdet oder über Tage in besonders hohem Mass erschwert. c. Strategische Quellen, die Identität besonders exponierter Personen oder die strategischen Mittel und Methoden der Nachrichtendienste und Strafverfolgungsbehörden des Bundes sind offengelegt. d. Die Sicherheit der Bevölkerung ist über Wochen in besonders hohem Mass gefährdet oder eine grosse Anzahl Personen kommt zu Tode. e. Die nukleare Sicherheit oder die Sicherung von Kernanlagen und Kernmaterialien ist in besonders hohem Mass gefährdet. f. Die wirtschaftliche Landesversorgung oder der Betrieb von kritischen Infrastrukturen fallen über Tage aus. g. Die Schweiz leidet über Wochen unter besonders hohen aussenpolitischen oder wirtschaftlichen Konsequenzen wie Embargomassnahmen oder Sanktionen. h. Die Verhandlungsposition der Schweiz in strategischen aussenpolitischen Geschäften ist über Jahre geschwächt.

Le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent le traitement des informations classifiées et fixe les exigences de sécurité minimales en matière d’organisation, de personnel et de construction, de même que sur le plan technique. Il tient compte pour ce faire des normes internationales en la matière.

Il consulte au préalable les services suivants: a. l’OFCS; b. le service cryptographique de l’armée; c. l’Office fédéral de l’armement (armasuisse); d. les organes de l’administration fédérale et de l’armée responsables de la sécurité des objets.

La ChF règle le traitement des affaires classifiées du Conseil fédéral.

Le traitement des informations classifiées provenant de l’étranger est régi par les prescriptions correspondant à l’échelon de classification étranger. Les dispositions différentes figurant dans un traité international visé à l’art. 87 LSI sont réservées.

Die Fachstelle des Bundes für Informationssicherheit erlässt generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über die Bearbeitung klassifizierter Informationen und die organisatorischen, personellen, technischen und baulichen Mindestanforderungen für deren Schutz. Dabei trägt sie den einschlägigen internationalen Standards Rechnung.

Sie hört vorgängig die folgenden Stellen an: a. das BACS; b. den kryptografischen Dienst der Armee; c. das Bundesamt für Rüstung (armasuisse); d. die für die Objektsicherheit zuständigen Stellen der Bundesverwaltung und der Armee.

Die BK regelt die Bearbeitung klassifizierter Bundesratsgeschäfte.

Die Bearbeitung klassifizierter Informationen aus dem Ausland erfolgt nach den Vorschriften, die der ausländischen Klassifizierungsstufe entsprechen. Vorbehalten bleiben abweichende Vorschriften eines völkerrechtlichen Vertrags nach Artikel 87 ISG.

Werden klassifizierte Informationen im Rahmen eines Einsatzes oder einer Operation bearbeitet und sind diese nur einem geschlossenen, eindeutig bestimmbaren Benutzerkreis zugänglich, so können die folgenden Personen nach Konsultation der Fachstelle des Bundes für Informationssicherheit einsatz- oder operationsspezifisch Vorschriften zur vereinfachten Bearbeitung beschliessen: a. die Direktorin oder der Direktor des Bundesamts für Polizei; b. die Direktorin oder der Direktor des NDB; c. die Chefin oder der Chef der Armee; d. die Chefin oder der Chef des Kommandos Operationen; e. die Direktorin oder der Direktor des Bundesamts für Zoll und Grenzsicherheit.

Die Personen nach Absatz 1 sorgen dafür, dass auf den Informationsträgern eindeutig erkennbar ist, dass Vorschriften zur vereinfachten Bearbeitung gelten.

Ausserhalb des Benutzerkreises sowie für die Aufbewahrung im Hinblick auf die Archivierung gelten die Bearbeitungsvorgaben nach Artikel 21.

Si des informations classifiées sont traitées dans le cadre d’un engagement ou d’une opération et ne sont accessibles qu’à un cercle fermé d’utilisateurs clairement identifiable, les personnes suivantes peuvent, après avoir consulté le service spécialisé de la Confédération pour la sécurité de l’information, arrêter des directives spécifiques à l’engagement ou à l’opération visant à simplifier le traitement: a. le directeur de l’Office fédéral de la police; b. le directeur du SRC; c. le chef de l’armée; d. le chef du commandement des Opérations; e. le directeur de l’Office fédéral de la douane et de la sécurité des frontières.

Les personnes visées à l’al. 1 veillent à ce qu’il soit clairement indiqué sur les supports d’information que les prescriptions de traitement simplifié s’appliquent.

Les directives relatives au traitement visées à l’art. 21 s’appliquent en dehors du cercle d’utilisateurs et à la conservation des informations en vue de leur archivage.

Les moyens informatiques sont certifiés sur le plan de la sécurité avant leur mise en exploitation si cela est nécessaire à la collaboration nationale ou internationale.

La certification de sécurité est effectuée par le service spécialisé de la Confédération pour la sécurité de l’information, après consultation du service cryptographique de l’armée et d’armasuisse.

Elle atteste que le moyen informatique remplit les exigences minimales correspondant à l’échelon de classification concerné et que les risques résiduels sont acceptables en fonction de l’état des connaissances techniques.

Elle est répétée en cas de changements importants concernant les risques ou le moyen informatique.

Le Département fédéral de la défense, de la protection de la population et des sports (DDPS) fixe la procédure relative à la certification de sécurité en tenant compte des normes internationales en la matière.

Informatikmittel müssen vor der Inbetriebnahme sicherheitsmässig zertifiziert werden, wenn dies für die nationale oder internationale Zusammenarbeit erforderlich ist.

Die Sicherheitszertifizierung erfolgt durch die Fachstelle des Bundes für Informationssicherheit nach Konsultation des kryptografischen Diensts der Armee und von armasuisse.

Sie belegt, dass das Informatikmittel die Mindestanforderungen für die entsprechende Klassifizierungsstufe erfüllt und die Restrisiken nach dem Stand der Technik tragbar sind.

Sie wird bei wesentlichen Änderungen der Risiken oder bei wesentlichen Änderungen am Informatikmittel wiederholt.

Das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) legt das Verfahren der Sicherheitszertifizierung fest und berücksichtigt dabei die einschlägigen internationalen Standards.

Quiconque constate que des informations classifiées ont été compromises, ont disparu ou qu’il en a été fait une utilisation abusive ou encore que des informations n’ont pas été classifiées alors qu’elles auraient dû l’être ou qu’elles ont été classifiées de manière erronée prend les mesures de protection nécessaires.

Il en informe immédiatement l’auteur de la classification et les organes de sécurité concernés.

Wer feststellt, dass klassifizierte Informationen gefährdet, abhandengekommen oder missbräuchlich verwendet worden sind oder Informationen offensichtlich falsch oder fälschlicherweise nicht klassifiziert sind, muss die nötigen Schutzmassnahmen treffen.

Sie oder er benachrichtigt unverzüglich die klassifizierende Stelle und die zuständigen Sicherheitsorgane.

Les auteurs de la classification contrôlent le besoin de protection de leurs informations classifiées et le cercle des personnes autorisées au moins tous les cinq ans et les examinent systématiquement lorsque les informations sont proposées aux Archives fédérales.

Die klassifizierenden Stellen überprüfen den Schutzbedarf ihrer klassifizierten Informationen und den Kreis der Berechtigten mindestens alle fünf Jahre sowie immer, wenn die Informationen dem Bundesarchiv zur Archivierung angeboten werden.

L’archivage des informations classifiées est régi par les dispositions de la législation fédérale sur l’archivage.

Les Archives fédérales veillent à ce que la sécurité de l’information visée dans la présente ordonnance soit garantie.

Les archives cessent d’être classifiées une fois que le délai de protection est échu. La prolongation du délai de protection est régie par l’art. 14 de l’ordonnance du 8 septembre 1999 sur l’archivage .

Die Archivierung klassifizierter Informationen richtet sich nach den Vorschriften der Archivierungsgesetzgebung.

Das Bundesarchiv sorgt dafür, dass die Informationssicherheit nach dieser Verordnung gewährleistet ist.

Die Klassifizierung von Archivgut entfällt mit Ablauf der Schutzfrist. Verlängerungen der Schutzfrist richten sich nach Artikel 14 der Archivierungsverordnung vom 8. September 1999 .

Les unités administratives visées à l’art. 2, al. 1, let. c, doivent pouvoir démontrer le besoin de protection de leurs objets à protéger et leur importance pour la gestion de la continuité des activités.

Elles mettent en œuvre les consignes minimales des différentes catégories de sécurité et vérifient si des mesures de sécurité supplémentaires sont nécessaires.

Elles démontrent les risques résiduels.

Les responsables de la sécurité de l’information (art. 36) décident si les risques résiduels sont acceptables. Ils peuvent déléguer cette décision à d’autres membres de la direction.

La procédure de sécurité est répétée en cas de changements importants concernant la menace, la technologie, les tâches ou la situation de l’organisation.

Les unités administratives visées à l’art. 2, al. 1, let. c, contrôlent chaque année si un changement important a eu lieu.

Le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent la procédure de sécurité visée à l’art. 16 LSI.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c müssen den Schutzbedarf ihrer Schutzobjekte und deren Relevanz für das betriebliche Kontinuitätsmanagement nachweisen können.

Sie setzen die Mindestvorgaben der jeweiligen Sicherheitsstufe um und prüfen, ob zusätzliche Sicherheitsmassnahmen erforderlich sind.

Sie weisen Restrisiken aus.

Die Informationssicherheitsverantwortlichen (Art. 36) entscheiden, ob Restrisiken getragen werden. Sie können diesen Entscheid anderen Mitgliedern der Geschäftsleitung delegieren.

Das Sicherheitsverfahren wird bei wesentlichen Änderungen der Bedrohung, der Technologie, der Aufgaben oder der Organisationsverhältnisse wiederholt.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c prüfen jährlich, ob eine wesentliche Änderung stattgefunden hat.

Die Fachstelle des Bundes für Informationssicherheit erlässt generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über das Sicherheitsverfahren nach Artikel 16 ISG.

La catégorie de sécurité «protection élevée» est attribuée à un moyen informatique lorsqu’une violation de la sécurité de l’information est susceptible de provoquer un préjudice visé à l’art. 19 ou un dommage de 50 à 500 millions de francs.

La catégorie de sécurité «protection très élevée» est attribuée à un moyen informatique lorsqu’une violation de la sécurité de l’information est susceptible de provoquer un préjudice visé à l’art. 20 ou un dommage supérieur à 500 millions de francs.

Die Sicherheitsstufe «hoher Schutz» wird einem Informatikmittel zugeordnet, wenn eine Verletzung der Informationssicherheit eine Beeinträchtigung nach Artikel 19 oder einen Schaden von fünfzig bis fünfhundert Millionen Franken zur Folge haben kann.

Die Sicherheitsstufe «sehr hoher Schutz» wird einem Informatikmittel zugeordnet, wenn eine Verletzung der Informationssicherheit eine Beeinträchtigung nach Artikel 20 oder einen Schaden über fünfhundert Millionen Franken zur Folge haben kann.

Die Fachstelle des Bundes für Informationssicherheit erlässt generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über die Mindestanforderungen für die jeweiligen Sicherheitsstufen nach Artikel 17 ISG.

Sie berücksichtigt dabei die Anforderungen für die Sicherheit von Personendaten nach der Datenschutzgesetzgebung sowie von anderen Informationen, die der Bund aufgrund gesetzlicher oder vertraglicher Verpflichtungen schützen muss.

Bei den folgenden Informatikmitteln muss die Wirksamkeit der Sicherheitsmassnahmen vor der Inbetriebnahme, bei wesentlichen Änderungen der Risiken während des Betriebs, mindestens aber alle fünf Jahre überprüft werden: a. Informatikmittel der Sicherheitsstufe «hoher Schutz», die für die Erfüllung behörden- oder departementsübergreifender Aufgaben eingesetzt werden; b. Informatikmittel der Sicherheitsstufe «sehr hoher Schutz».

Die BK und die Departemente nehmen ihre Informatikmittel der Sicherheitsstufe «sehr hoher Schutz» in ihr Kontinuitätsmanagement auf.

Le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent les exigences minimales pour les catégories de sécurité visées à l’art. 17 LSI.

Il tient compte des exigences concernant la sécurité des données personnelles au sens de la législation sur la protection des données et celle des autres informations que la Confédération doit protéger en vertu de ses obligations légales ou contractuelles.

L’efficacité des mesures de sécurité applicables aux moyens informatiques suivants doit être contrôlée avant leur mise en exploitation, ainsi que durant l’exploitation en cas de changements importants des risques, mais au moins tous les cinq ans: a. les moyens informatiques de la catégorie de sécurité «protection élevée» qui sont utilisés pour accomplir des tâches dépassant le cadre d’une autorité ou d’un département; b. les moyens informatiques de la catégorie de sécurité «protection très élevée».

La ChF et les départements intègrent leurs moyens informatiques de la catégorie de sécurité «protection très élevée» dans leur gestion de la continuité.

Les unités administratives visées à l’art. 2, al. 1, let. c, veillent à ce que les responsabilités en matière de sécurité de l’information au niveau opérationnel soient consignées dans les accords de projets et les conventions de prestations conclus avec les fournisseurs internes de prestations.

Les fournisseurs internes de prestations mettent à la disposition des unités administratives visées à l’art. 2, al. 1, let. c, des départements et du service spécialisé de la Confédération pour la sécurité de l’information les informations dont ceux-ci ont besoin pour assurer la sécurité de l’information.

Ils veillent à disposer, sur le plan du personnel et des finances, des capacités et compétences nécessaires à la détection précoce, à l’analyse technique et à la maîtrise ou au traitement des incidents et des failles de sécurité qui les concernent ou qui concernent les bénéficiaires de leurs prestations dans le cadre des accords et conventions visés à l’al. 1.

Ils surveillent l’utilisation de leur infrastructure informatique et l’examinent régulièrement à la recherche de menaces et de vulnérabilités techniques. Ils peuvent charger des tiers d’effectuer cet examen.

Le traitement des données personnelles dans le cadre de la surveillance et de l’examen visés à l’al. 4 est régi par l’ordonnance du 22 février 2012 sur le traitement des données personnelles et des données des personnes morales lors de l’utilisation de l’infrastructure électronique de la Confédération .

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c stellen sicher, dass die Verantwortlichkeiten für die Informationssicherheit auf der betrieblichen Ebene in den Projekt- und Leistungsvereinbarungen mit den internen Leistungserbringern festgehalten sind.

Die internen Leistungserbringer stellen den Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c, den Departementen und der Fachstelle des Bundes für Informationssicherheit die Informationen zur Verfügung, welche diese für die Gewährleistung der Informationssicherheit benötigen.

Sie stellen sicher, dass sie über die nötigen personellen und finanziellen Kapazitäten und Fähigkeiten zur frühzeitigen Entdeckung, zur technischen Analyse und zur Bewältigung von Sicherheitsvorfällen und Behandlung von Sicherheitslücken verfügen, die sie selber oder, im Rahmen der Vereinbarungen nach Absatz 1, ihre Leistungsbezüger betreffen.

Sie überwachen die Nutzung ihrer Informatikinfrastruktur und durchsuchen sie regelmässig nach technischen Bedrohungen und Schwachstellen. Sie können Dritte mit der Durchsuchung beauftragen.

Die Bearbeitung von Personendaten im Rahmen der Überwachung und Durchsuchung nach Absatz 4 richtet sich nach der Verordnung vom 22. Februar 2012 über die Bearbeitung von Personendaten und Daten juristischer Personen bei der Nutzung der elektronischen Infrastruktur des Bundes.

Die Fachstelle des Bundes für Informationssicherheit kann nach Konsultation der oder des DTI-Delegierten generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über die technischen Mindestanforderungen an die risikobasierte Prüfung der Identität von Personen und Maschinen, die Zugang zu Informationen, Informatikmitteln, Räumlichkeiten und anderen Infrastrukturen des Bundes benötigen, erlassen.

Die Bearbeitung von Personendaten bei der Prüfung der Identität in Identitätsverwaltungs-Systemen nach Artikel 24 ISG richtet sich nach den Bestimmungen der Verordnung vom 19. Oktober 2016 über Identitätsverwaltungs-Systeme und Verzeichnisdienste des Bundes.

Après avoir consulté le délégué TNI, le service spécialisé de la Confédération pour la sécurité de l’information peut émettre des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent les exigences techniques minimales auxquelles doit satisfaire la vérification, en fonction du risque, de l’identité des personnes et des machines qui ont besoin d’accéder à des informations, à des moyens informatiques, à des locaux et à d’autres infrastructures de la Confédération.

Le traitement des données personnelles effectué lors de la vérification de l’identité dans les systèmes de gestion des données d’identification visés à l’art. 24 LSI est régi par les dispositions de l’ordonnance du 19 octobre 2016 sur les systèmes de gestion des données d’identification et les services d’annuaires de la Confédération .

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c stellen sicher, dass Mitarbeitende, die einer Personensicherheitsprüfung nach der Verordnung vom 8. November 2023 über die Personensicherheitsprüfungen (VPSP) unterliegen, jährlich für die massgebende sicherheitsempfindliche Tätigkeit und die entsprechenden Risiken sensibilisiert werden.

Diese Mitarbeitende sind verpflichtet, ihrem Arbeitgeber Umstände aus ihrem privaten und beruflichen Umfeld, welche die vorschriftskonforme Ausübung der sicherheitsempfindlichen Tätigkeit gefährden können, zu melden.

Les unités administratives visées à l’art. 2, al. 1, let. c, veillent à ce que les collaborateurs soumis à un contrôle de sécurité relatif aux personnes visé dans l’ordonnance du 8 novembre 2023 sur les contrôles de sécurité relatifs aux personnes (OCSP) soient sensibilisés chaque année à l’activité sensible déterminante et aux risques qui y sont liés.

Ces collaborateurs sont tenus d’annoncer à leur employeur les circonstances privées ou professionnelles susceptibles de les empêcher d’exercer leur activité sensible dans le respect des prescriptions.

Lorsque la violation des prescriptions en matière de sécurité de l’information paraît constituer en même temps une infraction, la ChF et les départements transmettent le dossier de l’enquête et les procès-verbaux d’audition au Ministère public de la Confédération ou à l’auditeur en chef de l’armée suisse.

Ils saisissent les objets qui sont à même de servir de moyens de preuve dans une procédure.

Kommt bei der Verletzung von Informationssicherheitsvorschriften zugleich eine strafbare Handlung in Betracht, überweisen die BK und die Departemente die Akten mit den Einvernahmeprotokollen der Bundesanwaltschaft oder dem Oberauditor der Schweizer Armee.

Sie stellen Gegenstände sicher, die geeignet sind, in einem Verfahren als Beweismittel zu dienen.

Die Fachstelle des Bundes für Informationssicherheit kann nach Konsultation der für die Objektsicherheit zuständigen Stellen der Bundesverwaltung und der Armee generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über die Mindestanforderungen für den physischen Schutz von Informationen und Informatikmitteln erlassen.

Sie berücksichtigt dabei: a. den gesamten Lebenszyklus der Informationen und Informatikmittel; b. die arbeitsplatzspezifischen Anforderungen; c. die Unterbringungsstrategien und -konzepte der Bundesverwaltung und der Armee.

Après avoir consulté les organes de l’administration fédérale et de l’armée responsables de la sécurité des objets, le service spécialisé de la Confédération pour la sécurité de l’information peut émettre des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent les exigences minimales de protection physique des informations et des moyens informatiques.

Il tient compte à cet égard: a. du cycle de vie entier des informations et des moyens informatiques; b. des exigences spécifiques à la place de travail; c. des stratégies et des plans d’hébergement de l’administration fédérale et de l’armée.

Les unités administratives visées à l’art. 2, al. 1, let. c, peuvent établir les zones de sécurité suivantes: a. zone de sécurité 1: les locaux et les espaces dans lesquels des informations classifiées «confidentiel» sont fréquemment traitées ou des moyens informatiques de la catégorie de sécurité «protection élevée» sont exploités; b. zone de sécurité 2: les locaux et les espaces dans lesquels des informations classifiées «secret» sont fréquemment traitées ou des moyens informatiques de la catégorie de sécurité «protection très élevée» sont exploités.

Ces locaux et ces espaces ne sont considérés comme des zones de sécurité que si l’organe de l’administration fédérale ou de l’armée responsable de la sécurité des objets confirme avant leur mise en exploitation et ensuite au moins tous les cinq ans que les exigences en matière de sécurité sont remplies.

Après avoir consulté les organes de l’administration fédérale et de l’armée responsables de la sécurité des objets, le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent les exigences en matière de sécurité pour les zones de sécurité et leur établissement.

Les unités administratives visées à l’art. 2, al. 1, let. c, peuvent prendre des mesures aux alentours des zones de sécurité afin d’identifier les actes d’espionnage électromagnétique et de s’en protéger.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c können folgende Sicherheitszonen einrichten: a. Sicherheitszone 1: Räumlichkeiten und Bereiche, in denen häufig als «vertraulich» klassifizierte Informationen bearbeitet oder Informatikmittel der Sicherheitsstufe «hoher Schutz» betrieben werden; b. Sicherheitszone 2: Räumlichkeiten und Bereiche, in denen häufig als «geheim» klassifizierte Informationen bearbeitet oder Informatikmittel der Sicherheitsstufe «sehr hoher Schutz» betrieben werden.

Diese Räumlichkeiten und Bereiche gelten nur als Sicherheitszone, wenn die für die Objektsicherheit zuständige Stelle der Bundesverwaltung oder der Armee vor deren Inbetriebnahme und anschliessend mindestens alle fünf Jahre bestätigt, dass die Sicherheitsanforderungen erfüllt sind.

Die Fachstelle des Bundes für Informationssicherheit erlässt nach Konsultation der für die Objektsicherheit zuständigen Stellen der Bundesverwaltung und der Armee generell-abstrakte Weisungen mit Geltung für alle Organisationen nach Artikel 2 Absätze 1–3 über die Sicherheitsanforderungen für die Sicherheitszonen und deren Einrichtung.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c können in der Umgebung von Sicherheitszonen Massnahmen zur Identifizierung von elektromagnetischen Ausspähungen und zum Schutz davor ergreifen.

Le chancelier de la Confédération, les secrétaires généraux et les directeurs des unités administratives visées à l’art. 2, al. 1, let. c, sont responsables de la sécurité de l’information dans leur domaine de compétence.

Ils peuvent déléguer la responsabilité en matière de sécurité de l’information à un membre de la direction s’il dispose des pouvoirs nécessaires pour prendre des mesures, les contrôler et les corriger.

Les responsables de la sécurité de l’information des unités administratives visées à l’art. 2, al. 1, let. c, assument notamment les tâches suivantes: a. ils assurent la mise en place, l’exploitation, le contrôle et l’amélioration continue du SMSI dans leur domaine de compétence et émettent les directives nécessaires; b. ils prennent toutes les décisions qui ont une influence déterminante sur la sécurité de l’information dans leur domaine de compétence, notamment concernant l’organisation, les processus, l’acceptation des risques et les objectifs de sécurité; c. ils décident des mesures nécessaires, notamment concernant la formation et la sensibilisation; d. ils approuvent la planification annuelle de contrôle et d’audit et mettent les ressources nécessaires à disposition.

Le chancelier de la Confédération, les secrétaires généraux et les directeurs des unités administratives visées à l’art. 2, al. 1, let. c, confient des tâches à leurs préposés à la sécurité de l’information visés à l’art. 37 et s’assurent: a. qu’ils disposent des compétences et des ressources appropriées, et b. qu’ils ne se voient confier aucune tâche susceptible d’entraîner un conflit d’intérêts avec les tâches visées à l’art. 37.

Die Bundeskanzlerin oder der Bundeskanzler, die Generalsekretärinnen und Generalsekretäre sowie die Direktorinnen und Direktoren der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c tragen in ihrem Zuständigkeitsbereich die Verantwortung für die Informationssicherheit.

Sie können die Informationssicherheitsverantwortung einem Mitglied der Geschäftsleitung delegieren, sofern diesem die erforderlichen Befugnisse zustehen, Massnahmen zu veranlassen, zu kontrollieren und zu korrigieren.

Die Informationssicherheitsverantwortlichen der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c nehmen insbesondere folgende Aufgaben wahr: a. Sie stellen den Aufbau, den Betrieb, die Überprüfung und die kontinuierliche Verbesserung des ISMS in ihrem Zuständigkeitsbereich sicher und erlassen die dafür nötigen Vorgaben. b. Sie treffen alle Entscheide, welche die Informationssicherheit in ihrem Zuständigkeitsbereich massgeblich beeinflussen, insbesondere betreffend Organisation, Prozesse, Risikoakzeptanz und Sicherheitsziele. c. Sie entscheiden über die erforderlichen Massnahmen, insbesondere über die Durchführung von Schulungs- und Sensibilisierungsmassnahmen. d. Sie genehmigen den jährlichen Kontroll- und Auditplan und stellen die dafür nötigen Ressourcen zur Verfügung.

Die Bundeskanzlerin oder der Bundeskanzler, die Generalsekretärinnen und Generalsekretäre sowie die Direktorinnen und Direktoren der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c beauftragen ihre Informationssicherheitsbeauftragten nach Artikel 37 und sorgen dafür, dass: a. sie über angemessene Kompetenzen und Ressourcen verfügen; und b. ihnen keine Aufgaben übertragen werden, die einen Interessenkonflikt mit den Aufgaben nach Artikel 37 zu Folgen haben können.

Les unités administratives visées à l’art. 2, al. 1, let. c, désignent un ou plusieurs préposés à la sécurité de l’information et leurs suppléants.

Les préposés à la sécurité de l’information accomplissent les tâches et assument les compétences suivantes: a. ils exploitent le SMSI de l’unité administrative sur mandat du responsable de la sécurité de l’information; b. ils élaborent les bases de décision nécessaires à l’intention du responsable de la sécurité de l’information et lui proposent des mesures à prendre; c. ils sont les interlocuteurs principaux de l’unité administrative pour les questions de sécurité de l’information et conseillent les personnes et les services responsables et les aident à accomplir leurs tâches et à exécuter leurs obligations dans le domaine de la sécurité de l’information; d. ils veillent à la mise en œuvre des directives en matière de sécurité de l’information et à l’application de la procédure de sécurité visée à l’art. 27; e. ils exercent la surveillance de la liste des bases légales, de l’inventaire des objets à protéger et de la liste des autorisations exceptionnelles; f. ils exercent la surveillance de la planification de la formation et de la sensibilisation visées à l’art. 11 et proposent au responsable de la sécurité de l’information l’organisation de mesures de formation et de sensibilisation supplémentaires; g. ils demandent l’ouverture de la procédure de sécurité relative aux entreprises visée à l’art. 4 de l’ordonnance du 8 novembre 2023 sur la procédure de sécurité relative aux entreprises (OPSEnt) ; h. ils coordonnent la maîtrise des incidents de sécurité et le traitement des failles de sécurité dans l’unité administrative et auprès des tiers mandatés; i. ils établissent la planification annuelle de contrôle et d’audit et la soumettent au responsable de la sécurité de l’information pour approbation; j. ils contrôlent périodiquement la présence de supports d’information classifiés «secret» et la sécurité de ceux-ci dans leur domaine de compétence; k. sur mandat du responsable de la sécurité de l’information, ils peuvent contrôler ou faire contrôler l’utilisation des informations aux postes de travail ouverts, partagés ou non verrouillables et dans les moyens informatiques de l’unité administrative; l. ils rendent compte chaque semestre au responsable de la sécurité de l’information de la situation en matière de sécurité de l’information.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c bezeichnen eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten oder mehrere Informationssicherheitsbeauftragte sowie deren oder dessen Stellvertretung.

Die Informationssicherheitsbeauftragten haben insbesondere folgende Aufgaben und Kompetenzen: a. Sie betreiben das ISMS der Verwaltungseinheit im Auftrag der oder des Informationssicherheitsverantwortlichen. b. Sie erarbeiten die nötigen Entscheidgrundlagen zuhanden der oder des Informationssicherheitsverantwortlichen und beantragen ihr oder ihm den Beschluss von Massnahmen. c. Sie sind die zentrale Anlaufstelle der Verwaltungseinheit für Fragen zur Informationssicherheit und beraten und unterstützen die zuständigen Personen und Stellen bei der Erfüllung ihrer Aufgaben und Pflichten im Bereich der Informationssicherheit. d. Sie sorgen für die Umsetzung der Informationssicherheitsvorgaben und für die Anwendung des Sicherheitsverfahrens nach Artikel 27. e. Sie beaufsichtigen das Verzeichnis der Rechtsgrundlagen, das Inventar der Schutzobjekte und das Verzeichnis der Ausnahmebewilligungen. f. Sie beaufsichtigen die Planung der Schulung und Sensibilisierung nach Artikel 11 und beantragen der oder dem Informationssicherheitsverantwortlichen die Durchführung von zusätzlichen Schulungs- und Sensibilisierungsmassnahmen. g. Sie stellen Antrag auf Einleitung des Betriebssicherheitsverfahrens nach Artikel 4 der Verordnung vom 8. November 2023 über das Betriebssicherheitsverfahren (VBSV). h. Sie koordinieren die Bewältigung von Sicherheitsvorfällen und Behandlung von Sicherheitslücken in der Verwaltungseinheit sowie bei beauftragten Dritten. i. Sie erstellen den jährlichen Kontroll- und Auditplan und unterbreiten ihn der oder dem Informationssicherheitsverantwortlichen zur Genehmigung. j. Sie überprüfen periodisch das Vorhandensein und die Sicherheit von als «geheim» klassifizierten Informationsträgern in ihrem Zuständigkeitsbereich. k. Sie können im Auftrag der oder des Informationssicherheitsverantwortlichen den Umgang mit Informationen an offenen, geteilten oder nicht abschliessbaren Arbeitsplätzen und in den Informatikmitteln der Verwaltungseinheit kontrollieren oder kontrollieren lassen. l. Sie berichten der oder dem Informationssicherheitsverantwortlichen halbjährlich über den Stand der Informationssicherheit.

Le délégué TNI est chargé de garantir la sécurité de l’information dans les moyens informatiques mis à disposition de manière centralisée par le secteur TNI.

Il désigne un ou plusieurs préposés à la sécurité de l’information et leurs suppléants.

Les préposés à la sécurité de l’information assument les tâches visées à l’art. 37, al. 2, pour les moyens informatiques mis à disposition de manière centralisée par le secteur TNI et informent l’administration fédérale et l’armée des risques pour la sécurité de l’information .

Die oder der DTI-Delegierte ist für die Gewährleistung der Informationssicherheit der vom Bereich DTI zentral bereitgestellten Informatikmittel zuständig.

Sie oder er bezeichnet eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten oder mehrere Informationssicherheitsbeauftragte sowie deren oder dessen Stellvertretung.

Die Informationssicherheitsbeauftragten nehmen für die vom Bereich DTI zentral bereitgestellten Informatikmittel die Aufgaben nach Artikel 37 Absatz 2 wahr und informieren die Bundesverwaltung und die Armee über die Informationssicherheitsrisiken .

Les départements sont responsables du pilotage et de la surveillance de la sécurité de l’information dans leur domaine de compétence.

Ils accomplissent à cet égard notamment les tâches suivantes: a. ils déterminent la politique en matière de sécurité de l’information et l’organisation de sécurité du département, y compris la conduite technique des préposés à la sécurité de l’information visés à l’art. 37; b. ils édictent les directives nécessaires et en surveillent la mise en œuvre; c. ils surveillent le SMSI des unités administratives visées à l’art. 2, al. 1, let. c, et relèvent les indicateurs nécessaires à cette fin; d. ils fixent des objectifs annuels de sécurité pour les unités administratives visées à l’art. 2, al. 1, let. c, et vérifient qu’elles les ont atteints; e. ils approuvent la planification annuelle de contrôle et d’audit du département et mettent les ressources nécessaires à disposition; f. ils confient des tâches à leurs préposés à la sécurité de l’information visés à l’art. 40 et s’assurent: 1. qu’ils disposent des compétences et des ressources appropriées, et 2. qu’ils ne se voient confier aucune tâche susceptible d’entraîner un conflit d’intérêts avec les tâches visées à l’art. 40.

Ils peuvent fixer pour leur domaine de compétence des exigences en matière de sécurité qui dépassent les exigences minimales du service spécialisé de la Confédération pour la sécurité de l’information.

Pour autant que le chef de département n’en décide pas autrement, la sécurité de l’information dans le département relève de la responsabilité du secrétaire général qui agit sous son mandat.

Die Departemente sind für die Steuerung und Überwachung der Informationssicherheit in ihrem Zuständigkeitsbereich verantwortlich.

Sie haben dabei insbesondere folgende Aufgaben: a. Sie bestimmen die Informationssicherheitspolitik und die Sicherheitsorganisation des Departements, einschliesslich der fachlichen Führung der Informationssicherheitsbeauftragten nach Artikel 37. b. Sie erlassen die nötigen Weisungen und überwachen die Umsetzung. c. Sie überwachen die ISMS der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c und erheben die dafür nötigen Kennzahlen. d. Sie legen jährlich die Sicherheitsziele für die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c fest und überprüfen, ob sie erreicht wurden. e. Sie genehmigen den jährlichen Kontroll- und Auditplan des Departements und stellen die nötigen Ressourcen zur Verfügung. f. Sie beauftragen ihre Informationssicherheitsbeauftragten nach Artikel 40 und sorgen dafür, dass: 1. sie über angemessene Kompetenzen und Ressourcen verfügen; 2. ihnen keine Aufgaben übertragen werden, die einen Interessenkonflikt mit ihren Aufgaben nach Artikel 40 zur Folge haben können.

Sie können für ihren Zuständigkeitsbereich Sicherheitsanforderungen festlegen, die über die Mindestanforderungen der Fachstelle des Bundes für Informationssicherheit hinausgehen.

Sofern die Departementsvorsteherin oder der Departementsvorsteher nicht anders entscheidet, ist die Generalsekretärin oder der Generalsekretär in deren oder dessen Auftrag für die Informationssicherheit im Departement verantwortlich.

Les préposés à la sécurité de l’information des départements accomplissent les tâches suivantes en plus de celles qui sont visées à l’art. 81, al. 2, LSI: a. ils assurent la coordination interdépartementale de la sécurité de l’information; b. ils élaborent les bases de décision nécessaires à l’intention du responsable de la sécurité de l’information et lui proposent des mesures à prendre; c. ils coordonnent la maîtrise des incidents de sécurité et le traitement des failles de sécurité impliquant plusieurs unités administratives visées à l’art. 2, al. 1, let. c; d. ils établissent la planification annuelle de contrôle et d’audit du département et la soumettent au responsable de la sécurité de l’information pour approbation; e. ils représentent le département au sein d’organes spécialisés; f. ils sont consultés pour le choix des préposés à la sécurité de l’information des unités administratives visés à l’art. 37; g. ils vérifient périodiquement et en cas de changement ou de départ d’un membre du Conseil fédéral ou du chancelier de la Confédération que tous les supports d’information classifiés «secret» sont présents et au complet; h. ils rendent compte chaque année au responsable de la sécurité de l’information du département de la situation en matière de sécurité de l’information dans le département.

Die Informationssicherheitsbeauftragten der Departemente haben zusätzlich zu den Aufgaben nach Artikel 81 Absatz 2 ISG folgende Aufgaben: a. Sie sorgen für die departementsübergreifende Koordination der Informationssicherheit. b. Sie erarbeiten die nötigen Entscheidgrundlagen zuhanden der oder des Informationssicherheitsverantwortlichen und beantragen ihr oder ihm den Beschluss von Massnahmen. c. Sie koordinieren die Bewältigung von Sicherheitsvorfällen und die Behandlung von Sicherheitslücken, welche mehrere Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c betreffen. d. Sie erstellen den jährlichen Kontroll- und Auditplan des Departements und unterbreiten ihn der oder dem Informationssicherheitsverantwortlichen zur Genehmigung. e. Sie vertreten das Departement in Fachgremien. f. Sie werden bei der Wahl der Informationssicherheitsbeauftragten der Verwaltungseinheiten nach Artikel 37 konsultiert. g. Sie kontrollieren periodisch sowie beim Wechsel oder beim Abgang eines Mitglieds des Bundesrats oder der Bundeskanzlerin oder des Bundeskanzlers, ob alle als «geheim» klassifizierten Informationsträger vollständig vorhanden sind. h. Sie berichten der oder dem Informationssicherheitsverantwortlichen des Departements jährlich über den Stand der Informationssicherheit im Departement.

Le DDPS nomme le préposé à la sécurité de l’information du Conseil fédéral et son suppléant.

Das VBS ernennt die Informationssicherheitsbeauftragte oder den Informationssicherheitsbeauftragten des Bundesrates sowie deren oder dessen Stellvertretung.

Die Fachstelle des Bundes für Informationssicherheit hat für die Bundesverwaltung und die Armee folgende Aufgaben und Kompetenzen: a. Sie erarbeitet Strategien zu sicherheitsrelevanten Themen. b. Sie kann bei sicherheitsrelevanten Vorhaben Informationen verlangen, dazu Stellung nehmen und Änderungen beantragen. c. Sie wirkt bei der Ausbildung der Sicherheitsorganisation mit. d. Sie stellt Vorlagen und Hilfsmittel bereit. e. Sie unterstützt die Informationssicherheitsbeauftragten bei der Kontrolle der als «geheim» klassifizierten Informationsträger. f. Sie verantwortet zertifizierte Sicherheitslösungen, die für die gesamte Bundesverwaltung und die Armee eingesetzt werden.

Sie konsultiert bei der Erfüllung dieser Aufgaben sowie den Aufgaben nach Artikel 83 Absatz 1 ISG die Konferenz der Informationssicherheitsbeauftragten.

Sie vertritt im internationalen Verhältnis als nationale Sicherheitsbehörde die Schweiz und nimmt dabei folgende Aufgaben wahr: a. Sie erarbeitet die völkerrechtlichen Verträge nach Artikel 87 ISG und überwacht deren Umsetzung. b. Sie stellt sicher, dass Sicherheitsvorfälle, die klassifizierte Informationen von Partnerstaaten betreffen, sachgerecht abgeklärt werden. c. Sie führt die in den völkerrechtlichen Verträgen vorgesehenen Kontrollen durch oder gibt diese in Auftrag. d. Sie vertritt die Schweiz in internationalen Fachgremien. e. Sie bewilligt den Empfang von Personen aus dem Ausland, die für klassifizierte Projekte in die Schweiz reisen, sowie die Entsendung von Personen, die für klassifizierte Projekte ins Ausland reisen. f. Sie stellt die Sicherheitsbescheinigungen nach Artikel 30 VPSP aus.

Sie ist Teil des Staatssekretariats für Sicherheitspolitik im VBS.

Le service spécialisé de la Confédération pour la sécurité de l’information accomplit les tâches et assume les compétences suivantes pour l’administration fédérale et l’armée: a. il élabore des stratégies sur des thèmes pertinents pour la sécurité; b. il peut demander des informations, émettre des avis et proposer des modifications concernant des projets dans le domaine de la sécurité; c. il participe à la formation des membres de l’organisation de sécurité; d. il prépare des modèles et des aides; e. il aide les préposés à la sécurité de l’information à contrôler les supports d’information classifiés «secret»; f. il assume la responsabilité des solutions de sécurité certifiées utilisées dans toute l’administration fédérale et l’armée.

Il consulte la Conférence des préposés à la sécurité de l’information lors de l’accomplissement de ces tâches et de celles visées à l’art. 83, al. 1, LSI.

Il représente la Suisse dans les relations internationales en tant qu’autorité nationale de sécurité et assume dans ce contexte les tâches suivantes: a. il élabore les traités internationaux visés à l’art. 87 LSI et en contrôle la mise en œuvre; b. il veille à ce que les incidents de sécurité qui concernent des informations classifiées d’États partenaires soient clarifiés de manière appropriée; c. il exécute les contrôles prévus dans les traités internationaux ou les fait exécuter; d. il représente la Suisse dans des organismes internationaux spécialisés; e. il autorise l’arrivée d’étrangers en Suisse pour participer à des projets classifiés et l’envoi de personnes à l’étranger pour participer à des projets classifiés; f. il délivre les certificats de sécurité visés à l’art. 30 OCSP .

Il fait partie du Secrétariat d’État à la politique de sécurité du DDPS.

Das BACS hat folgende Aufgaben und Kompetenzen: a. Es berät die Bundesverwaltung und die Armee sowie die Sicherheitsorgane nach den Artikeln 81–83 ISG in allen Belangen der technischen Informationssicherheit. b. Es nimmt Einsitz in die Konferenz der Informationssicherheitsbeauftragten nach Artikel 82 ISG. c. Es kann zur Beurteilung und Verbesserung des Stands der technischen Informationssicherheit des Bundes im Internet oder im Einvernehmen mit den jeweiligen Informationssicherheitsverantwortlichen und Leistungserbringern in der Informatikinfrastruktur der Bundesverwaltung nach technischen Bedrohungen und Schwachstellen suchen; es kann andere Stellen der Bundesverwaltung sowie Dritte damit beauftragen.

Es koordiniert seine Tätigkeiten mit der Fachstelle des Bundes für Informationssicherheit.

L’OFCS accomplit les tâches et assume les compétences suivantes: a. il conseille l’administration fédérale et l’armée ainsi que les organes de sécurité visés aux art. 81 à 83 LSI pour toutes les questions liées à la sécurité technique de l’information; b. il siège à la Conférence des préposés à la sécurité de l’information visée à l’art. 82 LSI; c. il peut, afin d’évaluer et d’améliorer la situation en matière de sécurité technique de l’information de la Confédération, rechercher des menaces et des vulnérabilités techniques sur Internet ou, en concertation avec les responsables de la sécurité de l’information et les fournisseurs de prestations, dans l’infrastructure informatique de l’administration fédérale; il peut en charger d’autres services de l’administration fédérale ou des tiers.

Il coordonne ses activités avec celles du service spécialisé de la Confédération pour la sécurité de l’information.

Die dezentral anfallenden Kosten für die Informationssicherheit sind Teil der Projekt- und Betriebskosten.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c stellen sicher, dass diese Kosten bei der Planung hinreichend berücksichtigt und ausgewiesen werden.

Für die Ausstellung und Zustellung von Sicherheitsbescheinigungen nach Artikel 30 VPSP für Personen, die keine sicherheitsempfindliche Tätigkeit des Bundes erfüllen, erhebt die Fachstelle des Bundes für Informationssicherheit eine Gebühr von 100 Franken.

Les coûts décentralisés de la sécurité de l’information font partie des coûts de projet et d’exploitation.

Les unités administratives visées à l’art. 2, al. 1, let. c, veillent à ce que les coûts soient suffisamment pris en compte et démontrés lors de la planification.

Le service spécialisé de la Confédération pour la sécurité de l’information perçoit un émolument de 100 francs pour établir et envoyer les certificats de sécurité visés à art. 30 OCSP pour les personnes qui n’exercent pas d’activité sensible de la Confédération.

Six ans après l’entrée en vigueur de la présente ordonnance et ensuite tous les dix ans, le service spécialisé de la Confédération pour la sécurité de l’information demande au Contrôle fédéral des finances d’évaluer la législation sur la sécurité de l’information au sein de la Confédération.

Die Fachstelle des Bundes für Informationssicherheit beantragt der Eidgenössischen Finanzkontrolle sechs Jahre nach Inkrafttreten dieser Verordnung und anschliessend alle zehn Jahre die Evaluation der Gesetzgebung über die Informationssicherheit beim Bund.

Les organisations visées à l’art. 2, al. 1 à 3, et les organes de sécurité de la Confédération peuvent traiter les informations utiles à la sécurité de l’information, y compris les données personnelles.

Ils peuvent échanger les informations, y compris les données personnelles, visées à l’al. 1 entre eux et avec des organisations nationales, internationales ou étrangères de droit public ou privé, dans la mesure où: a. cela est utile à la sécurité de l’information; b. aucune obligation de maintien du secret légale ou contractuelle n’est violée; c. les dispositions de la législation fédérale en matière de protection des données sont respectées, et d. ces organisations assument des tâches légales dans le domaine de la sécurité de l’information qui correspondent à celles de l’autorité ou de l’organisation qui communique les informations.

Pour autant que cela soit nécessaire pour maîtriser un incident de sécurité ou traiter une faille de sécurité, ils peuvent également traiter et échanger des données sensibles visées à l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données de personnes qui ont ou auraient participé à l’incident ou à la faille de sécurité ou qui sont ou seraient concernées par l’incident ou la faille de sécurité.

Si, lors d’un incident de sécurité survenant au sein de la Confédération ou auprès de tiers collaborant avec la Confédération, des informations de la Confédération sont dérobées et publiées sur Internet, ils peuvent télécharger et analyser ces informations afin d’évaluer l’atteinte portée à la Confédération et de prendre les mesures de protection nécessaires. Ils ne peuvent pas traiter les données qui ne sont pas utiles à cette évaluation.

Ils peuvent appliquer ces mesures en cas de soupçon concret.

Die Organisationen nach Artikel 2 Absätze 1–3 sowie die Sicherheitsorgane des Bundes können die für die Gewährleistung der Informationssicherheit zweckmässigen Informationen einschliesslich Personendaten bearbeiten.

Sie können untereinander sowie mit nationalen, internationalen und ausländischen Organisationen des öffentlichen und privaten Rechts Informationen einschliesslich Personendaten nach Absatz 1 austauschen, sofern: a. dies zur Gewährleistung der Informationssicherheit zweckmässig ist; b. keine gesetzlichen oder vertraglichen Geheimhaltungspflichten verletzt werden; c. die Vorgaben der Bundesgesetzgebung über den Datenschutz eingehalten werden; und d. diese Organisation gesetzliche Aufgaben im Bereich der Informationssicherheit wahrnehmen, die denjenigen der bekanntgebenden Behörde oder Organisation entsprechen.

Sofern dies für die Bewältigung eines Sicherheitsvorfalls oder die Behandlung einer Sicherheitslücke erforderlich ist, können sie auch besonders schützenswerte Personendaten nach Artikel 5 Buchstabe c des Datenschutzgesetzes vom 25. September 2020 von Personen, die daran beteiligt oder davon betroffen sind respektive sein könnten, bearbeiten und untereinander austauschen.

Werden bei einem Sicherheitsvorfall beim Bund oder bei Dritten, die mit dem Bund zusammenarbeiten, Informationen des Bundes entwendet und im Internet veröffentlicht, so dürfen sie die Informationen herunterladen und analysieren, um die Betroffenheit des Bundes zu beurteilen und die nötigen Schutzmassnahmen zu ergreifen. Sie dürfen Daten, die für die Beurteilung nicht relevant sind, nicht bearbeiten.

Sie dürfen diese Massnahmen bereits bei Vorliegen eines konkreten Verdachts anwenden.

Die Organisationen nach Artikel 2 Absätze 1–3 können für das Management der Informationssicherheit ein Informationssystem (ISMS-Anwendung) betreiben.

Sie können in der ISMS-Anwendung alle Informationen im Zusammenhang mit dem Management der Informationssicherheit nach dieser Verordnung sowie die besonders schützenswerten Personendaten nach Artikel 46 Absatz 3 bearbeiten.

Sie können ihre ISMS-Anwendungen miteinander verknüpfen und informationssicherheitsrelevante Informationen über automatisierte Schnittstellen austauschen.

Les organisations visées à l’art. 2, al. 1 à 3, peuvent exploiter un système d’information pour gérer la sécurité de l’information (application SMSI).

Elles peuvent traiter dans l’application SMSI toutes les informations liées à la gestion de la sécurité de l’information en vertu de la présente ordonnance et les données sensibles visées à l’art. 46, al. 3.

Elles peuvent relier leurs applications SMSI et échanger des informations pertinentes pour la sécurité de l’information par des interfaces automatisées.

Le service spécialisé de la Confédération pour la sécurité de l’information peut exploiter des services électroniques de formulaire et les relier à son application SMSI dans les buts suivants: a. gérer les déplacements visés à l’art. 42, al. 3, let. e; b. établir et envoyer les certificats internationaux de sécurité visés à l’art. 30 OCSP ; c. établir et envoyer les certificats internationaux de sécurité visés à l’art. 66 LSI.

Les données personnelles figurant dans l’annexe 1 peuvent être traitées à l’aide des services de formulaire visés à l’al. 1. Elles peuvent être conservées pendant dix ans au plus.

Les organisations visées à l’art. 2, al. 1 à 3, peuvent exploiter des services électroniques de formulaire pour annoncer des incidents et des failles de sécurité et les relier à leur application SMSI.

À l’aide des services de formulaire visés à l’al. 3, elles peuvent traiter les données personnelles, y compris les données sensibles visées à l’art. 46, al. 3, qui sont nécessaires à la maîtrise des incidents de sécurité et au traitement des failles de sécurité. Elles doivent effacer ces données du service de formulaire immédiatement après leur communication. Elles peuvent provisoirement les enregistrer avant l’envoi durant 24 heures au plus.

Die Fachstelle des Bundes für Informationssicherheit kann für die nachfolgenden Zwecke elektronische Formulardienste betreiben und sie mit ihrer ISMS-Anwendung verknüpfen: a. zur Abwicklung der Reisen nach Artikel 42 Absatz 3 Buchstabe e; b. zur Ausstellung und Zustellung von Sicherheitsbescheinigungen im internationalen Verhältnis nach Artikel 30 VPSP ; c. zur Ausstellung und Zustellung von internationalen Betriebssicherheitsbescheinigungen nach Artikel 66 ISG.

Mit den Formulardiensten nach Absatz 1 können die Personendaten nach Anhang 1 bearbeitet werden. Diese Daten dürfen längstens zehn Jahre aufbewahrt werden.

Die Organisationen nach Artikel 2 Absätze 1–3 können elektronische Formulardienste zur Meldung von Sicherheitsvorfällen und Sicherheitslücken betreiben und sie mit ihrer ISMS-Anwendung verknüpfen.

Mit den Formulardiensten nach Absatz 3 können sie Personendaten, einschliesslich besonders schützenswerte Personendaten nach Artikel 46 Absatz 3, bearbeiten, sofern sie für die Bewältigung von Sicherheitsvorfällen und Behandlung von Sicherheitslücken erforderlich sind. Sie müssen unmittelbar nach ihrer Bekanntgabe über den Formulardienst gelöscht werden. Sie dürfen vor dem Versand der Meldung während höchstens 24 Stunden vorübergehend gespeichert werden.

Le DDPS peut déclarer contraignantes pour les cantons des versions datées des directives générales et abstraites visées aux art. 17, al. 3, 21, al. 1, 29, al. 1 et 34, al. 1.

Das VBS kann bestimmte datierte Fassungen der generell-abstrakten Weisungen nach den Artikeln 17 Absatz 3, 21 Absatz 1, 29 Absatz 1 und 34 Absatz 1 für die Kantone als verbindlich erklären.

L’abrogation et la modification d’autres actes sont réglées dans l’annexe 2.

Die Aufhebung und die Änderung anderer Erlasse werden in Anhang 2 geregelt.

Vor Inkrafttreten dieser Verordnung durch das Nationale Zentrum für Cybersicherheit (NCSC) erlassene Vorgaben zur Informatiksicherheit und bewilligte Ausnahmen gelten bis höchstens drei Jahre nach Inkrafttreten dieser Verordnung.

Über Änderungen an Vorgaben und bewilligten Ausnahmen, die vor Inkrafttreten dieser Verordnung durch das NCSC erlassen worden sind, entscheidet entweder die Fachstelle des Bundes für Informationssicherheit oder das NCSC.

Vor Inkrafttreten dieser Verordnung durch die Generalsekretärenkonferenz oder durch die Koordinationsstelle für den Informationsschutz im Bund erlassene Vorgaben zum Informationsschutz gelten bis höchstens zwei Jahre nach Inkrafttreten dieser Verordnung.

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c müssen ihr ISMS (Art. 5) innert drei Jahren nach Inkrafttreten dieser Verordnung aufbauen.

Die Klassifizierungskataloge (Art. 17) müssen bis spätestens ein Jahr nach Inkrafttreten dieser Verordnung erstellt werden.

Bis zum 30. Juni 2025 nimmt das BACS die Aufgaben und Kompetenzen der Fachstelle des Bundes für Informationssicherheit nach den Artikeln 9 Absätze 2 und 3, 11 Absätze 3 und 4, 12 Absätze 3 und 6–8, 15, 27 Absatz 7, 29 Absatz 1 und 31 Absatz 1 wahr.

Weisungen, die das BACS in Anwendung von Absatz 6 erlässt, gelten bis höchstens zwei Jahre nach Inkrafttreten dieser Verordnung.

Les directives en matière de sécurité informatique émises par le Centre national pour la cybersécurité (NCSC) et les exceptions qu’il a autorisées avant l’entrée en vigueur de la présente ordonnance conservent leur validité durant trois ans au plus après l’entrée en vigueur de la présente ordonnance.

Le service spécialisé de la Confédération pour la sécurité de l’information ou le NCSC prend les décisions concernant les changements des directives et des exceptions autorisées émises par le NCSC avant l’entrée en vigueur de la présente ordonnance.

Les directives en matière de protection de l’information émises par la Conférence des secrétaires généraux ou l’organe de coordination pour la protection des informations au sein de la Confédération avant l’entrée en vigueur de la présente ordonnance conservent leur validité durant deux ans au plus après l’entrée en vigueur de la présente ordonnance.

Les unités administratives visées à l’art. 2, al. 1, let. c, mettent en place leur SMSI (art. 5) dans les trois ans après l’entrée en vigueur de la présente ordonnance.

Les catalogues de classification (art. 17) doivent être établis au plus tard un an après l’entrée en vigueur de la présente ordonnance.

L’OFCS assume jusqu’au 30 juin 2025 les tâches et les compétences du service spécialisé de la Confédération pour la sécurité de l’information visées aux art. 9, al. 2 et 3, 11, al. 3 et 4, 12, al. 3 et 6 à 8, 15, 27, al. 7, 29, al. 1, et 31, al. 1.

Les directives émises par l’OFCS en application de l’al. 6 conservent leur validité durant deux ans au plus après l’entrée en vigueur de la présente ordonnance.

La présente ordonnance entre en vigueur le 1 er janvier 2024.

Diese Verordnung tritt am 1. Januar 2024 in Kraft.