Was ist das Mindestmass bei Personensicherheitsprüfungen?

Der Bundesrat schreibt als Antwort auf meine Frage 26.7035, dass Personensicherheitsprüfungen auf ein Mindestmass reduziert werden soll. Welche Bereiche, Funktionen, Ämter, Funktionen etc. gehören noch zu diesem Mindestmass und wo liegt der konkrete Unterschied zur vorherigen Regelung?

In der Informationssicherheit gilt der Grundsatz «Need to know» – nur Personen, die Informationen wirklich benötigen, sollen Zugang dazu haben. Diesem Grundsatz wird mit dem Informationssicherheitsgesetz entsprochen. Dadurch sind insgesamt weniger Personensicherheitsprüfungen notwendig.

Personensicherheitsprüfungen werden entsprechend vor allem bei Personen durchgeführt, die mit klassifizierten Informationen arbeiten, bei Administratoren von kritischen Informatiksystemen sowie bei Personen, die Zugang zu geschützten Infrastrukturen benötigen.

Die Kriterien sind in der Verordnung über die Personensicherheitsprüfung festgelegt. In den Funktionenlisten – die Bestandteil der Verordnung sind – ist konkret festgehalten, welche Funktionen eine Personensicherheitsprüfung erfordern.

Bereits vor der Einführung des Informationssicherheitsgesetz arbeitete die Fachstelle mit Funktionenlisten. Diese waren aber teilweise so grob formuliert, dass beinahe von einer flächendeckenden Prüfung gesprochen werden musste. Dadurch wurden viele Personen geprüft, obwohl sie gar keinen Zugang zu klassifizierten Informationen hatten.

Heute gilt deshalb: Eine Funktion wird nur dann in die Funktionenlisten aufgenommen, wenn der Zugang zu sensiblen Informationen oder Systemen tatsächlich erforderlich ist und dies auch nachgewiesen wird. Der Ansatz ist damit risikobasiert und setzt auf Qualität statt Quantität.