Art. 37 Verordnung vom 8. November 2023 über die Informationssicherheit in der Bundesverwaltung und der Armee (ISV) - Informationssicherheitsbeauftragte der Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c

Die Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe c bezeichnen eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten oder mehrere Informationssicherheitsbeauftragte sowie deren oder dessen Stellvertretung.

Die Informationssicherheitsbeauftragten haben insbesondere folgende Aufgaben und Kompetenzen: a. Sie betreiben das ISMS der Verwaltungseinheit im Auftrag der oder des Informationssicherheitsverantwortlichen. b. Sie erarbeiten die nötigen Entscheidgrundlagen zuhanden der oder des Informationssicherheitsverantwortlichen und beantragen ihr oder ihm den Beschluss von Massnahmen. c. Sie sind die zentrale Anlaufstelle der Verwaltungseinheit für Fragen zur Informationssicherheit und beraten und unterstützen die zuständigen Personen und Stellen bei der Erfüllung ihrer Aufgaben und Pflichten im Bereich der Informationssicherheit. d. Sie sorgen für die Umsetzung der Informationssicherheitsvorgaben und für die Anwendung des Sicherheitsverfahrens nach Artikel 27. e. Sie beaufsichtigen das Verzeichnis der Rechtsgrundlagen, das Inventar der Schutzobjekte und das Verzeichnis der Ausnahmebewilligungen. f. Sie beaufsichtigen die Planung der Schulung und Sensibilisierung nach Artikel 11 und beantragen der oder dem Informationssicherheitsverantwortlichen die Durchführung von zusätzlichen Schulungs- und Sensibilisierungsmassnahmen. g. Sie stellen Antrag auf Einleitung des Betriebssicherheitsverfahrens nach Artikel 4 der Verordnung vom 8. November 2023 über das Betriebssicherheitsverfahren (VBSV). h. Sie koordinieren die Bewältigung von Sicherheitsvorfällen und Behandlung von Sicherheitslücken in der Verwaltungseinheit sowie bei beauftragten Dritten. i. Sie erstellen den jährlichen Kontroll- und Auditplan und unterbreiten ihn der oder dem Informationssicherheitsverantwortlichen zur Genehmigung. j. Sie überprüfen periodisch das Vorhandensein und die Sicherheit von als «geheim» klassifizierten Informationsträgern in ihrem Zuständigkeitsbereich. k. Sie können im Auftrag der oder des Informationssicherheitsverantwortlichen den Umgang mit Informationen an offenen, geteilten oder nicht abschliessbaren Arbeitsplätzen und in den Informatikmitteln der Verwaltungseinheit kontrollieren oder kontrollieren lassen. l. Sie berichten der oder dem Informationssicherheitsverantwortlichen halbjährlich über den Stand der Informationssicherheit.