Ruag-IT bereitet der GPK noch Bauchweh

Sind die Ruag-Daten "sauber", die in die VBS-Systeme integriert werden sollen? Dies wird nun auch die ETH Zürich prüfen.
 
Hat der Bundesrat in Sachen Ruag-Hack von 2016 die richtigen Massnahmen ergriffen? Wo gibt es Verbesserungspotential? Und wie steht es um die IT-Sicherheit? Diesen Fragen ging die Geschäftsprüfungskommission des Nationalrats (GPK-N) nach. Sie kommt zum Schluss: Es seien von der Regierung im Wesentlichen die richtigen Entscheide auf Grundlage des GPK-Berichts von 2018 getroffen worden, aber einiges müsse noch verbessert werden.
 
Bereits in ihrem damaligen Bericht hatte die GPK festgehalten, dass der Bundesrat und das VBS grundsätzlich angemessen reagiert hätten. Auch jetzt schreibt die Kommission, der Entscheid zur Neustrukturierung und Entflechtung sei nachvollziehbar, insbesondere auch aus Gründen der Informatik-Sicherheit.
 
Das VBS müsse intensiv am Prozess teilnehmen und bei Veränderungen der Rahmenbedingungen an den Bundesrat rapportiert werden. Ebenfalls soll die Eidgenössische Finanzverwaltung (EFV) die Transformation "eng und kritisch" begleiten und die nötigen Ressourcen bereitstellen.
 
Und es gibt in der GPK Bedenken in Sachen Informatik. So etwa, wenn es um die Integration der IT und der Daten von Ruag in die Systeme der Armee geht. Man könne nämlich noch nicht sicher sagen, ob die Daten "sauber" seien. "Die GPK-N begrüsst, dass das VBS eine weitere Überprüfung eingeleitet hat, um sicherzustellen, dass sich in den zu integrierenden Daten keine Schadsoftware mehr verbirgt. Sie erwartet, dass das VBS gestützt auf die Erkenntnisse dieser Überprüfung bei Bedarf weitere Massnahmen trifft", heisst es dazu. Seitens VBS wurde die ETH Zürich mit einer Prüfung der Daten beauftragt.
 
Problematisch sei zudem, dass MRO Schweiz – die Ruag-Sparte, die sich auch um IKT-Systeme kümmert – Aufträge an Dritte vergebe. Dies könne aus Gründen der Informatiksicherheit problematisch sein und zu neuen Verflechtungen führen, so die nationalrätliche Kommission. Darauf müsse man ein besonderes Augenmerk legen, mahnt die Kommission und kritisiert, dass "im Rahmen der vom Bundesrat angeordneten Überprüfung der Corporate Governance durch Experten die Verflechtungs-Problematik keine Rolle gespielt hat." Die GPK fordert diesbezüglich weitere Auskünfte von der Regierung bis zum 20. Februar 2020.
 
Desweiteren bemängelt die GPK, dass der Bundesrat keinen Bundesvertreter in den Verwaltungsrat von Ruag entsenden will. Dies obwohl man seitens der Regierung noch im Sommer 2018 den möglichen Einsitz eines VBS-Vertreters begrüsst hatte.
 
Anfang 2020 wird Ruag zu einer Holdinggesellschaft mit zwei getrennt geführten Gruppen: Die Sparte MRO Schweiz mit rund 2500 Mitarbeitenden wird weiterhin für die Schweizer Armee tätig sein. Ruag International hingegen mit rund 6500 Mitarbeitenden – davon zwei Drittel im Ausland – wird in ein privates Unternehmen überführt. (ts)