Sicherheit bei Beschaffungen des Bundes: SEPOS publiziert Standards für Verträge
Um die Informationssicherheit besser in Beschaffungsverträgen des Bundes zu verankern, legt das Staatssekretariat für Sicherheitspolitik (SEPOS) eine Sammlung von Standardbestimmungen vor. Im Sinne eines vertraglichen Grundschutzes sollen diese die Informationssicherheit des Bundes erhöhen und Datenabflüsse bei Lieferanten verhindern.
Die Bestimmungen richten sich als Empfehlung an die Bedarfs- und Beschaffungsstellen des Bundes. Sie zeigen auf, wie die Behörden ihre Lieferanten für Vorgaben der Informationssicherheit wirksam, wirtschaftlich und risikobasiert instruieren können. Die Massnahme geht auf die Lehren aus dem Hackerangriff auf die Firma XPlain zurück. Die Empfehlungen sind per 1. Januar 2026 wirksam.
Der Bundesrat hat das Staatssekretariat für Sicherheitspolitik (SEPOS) mit der Ausarbeitung von Musterklauseln für Beschaffungsverträge beauftragt. Die im SEPOS zuständige Fachstelle des Bundes für Informationssicherheit legt diese Bestimmungen mit entsprechenden Anleitungen und Kommentaren nun vor. Sie wurden zusammen mit Beschaffungsstellen und Ämtern aus verschiedenen Departementen erarbeitet und sollen künftig die Informationssicherheit der Beschaffungsverträge regeln. Externe Lieferanten werden damit verpflichtet, die Informationssicherheit sicherzustellen. Dies ist eine der Massnahmen, welche der Bundesrat nach dem Hackerangriff auf Xplain beschlossen hat.
Bedarf definiert die Anforderungen an die Informationssicherheit
Informationssicherheit bei Lieferanten beginnt nicht erst mit dem Abschluss des Vertrages, sondern bereits zu Beginn, wenn der Bedarf definiert wird. Dies wurde im Bericht https://www.news.admin.ch/de/newnsb/7FhV2HOJnJl8IuY1XSxKb zur Lieferantenaufsicht vom 1. Mai 2025 aufgezeigt. Die sogenannte Bedarfsstelle – jene Stelle innerhalb der Verwaltung, die eine Dienstleistung oder ein Produkt benötigt – definiert frühzeitig, welche Sicherheitsanforderungen gestellt werden. Die Beschaffungsstelle – verantwortlich für die Durchführung des Beschaffungsverfahrens – sorgt dafür, dass diese Vorgaben in den Ausschreibungsunterlagen korrekt abgebildet werden. Auf diese Weise wird potenziellen Lieferanten schon zum Zeitpunkt ihrer Offerteinreichung transparent dargelegt, welche sicherheitsmässigen Voraussetzungen sie erfüllen müssen.
Wird Informationssicherheit nicht von Beginn an vereinbart, lässt sich dies später kaum oder nur gegen zusätzliche Kosten nachholen.
«Dialog für die Sicherheit»: das SEPOS im Austausch mit der Wirtschaft
Lieferanten sind grundsätzlich nicht an die Bundesvorgaben zur Informationssicherheit gebunden. Für die Zusammenarbeit mit Bundesstellen müssen entsprechende Verpflichtungen ausdrücklich im Vertrag festgelegt werden. Gleichzeitig ist die verfassungsmässig garantierte Wirtschaftsfreiheit zu berücksichtigen, welche den Bund einerseits zu Zurückhaltung verpflichtet und die Lieferanten andererseits vor zu tiefgreifenden Einschränkungen des Wettbewerbs schützt.
Damit Sicherheitsvorgaben also genutzt und erfolgreich eingesetzt werden, braucht es die entsprechende Akzeptanz der Beteiligten. Das SEPOS hatte deshalb die betroffenen Wirtschaftsverbände zu den Entwürfen der Standardbestimmungen angehört und gleichzeitig in Aussicht gestellt, diesen begonnenen «Dialog für die Sicherheit» weiterzuführen.
Die Fachstelle des Bundes für Informationssicherheit ist die Vorgabe- und Aufsichtsstelle für die Sicherheit des Gesamtsystems «Bund», einschliesslich der Firmen, die Aufträge des Bundes erfüllen. Die Fachstelle ist beauftragt, die Informationssicherheit im Bund einheitlich zu steuern. Neben der Beratung und Unterstützung der Behörden und Organisationen des Bundes kann sie auch Beurteilungen rechtlicher oder technischer Art vornehmen, wie die Fachstelle dies mit den nun publizierten Vertragsklauseln tut.
Quelle: Staatssekretariat für Sicherheitspolitik SEPOS
13.10.2025
