Fast zwei Jahre nach dem Hackerangriff auf den IT-Dienstleister Xplain hat das Staatssekretariat für Sicherheitspolitik (Sepos) seinen Bericht zur Vermeidung von Datenabflüssen bei Lieferanten vorgelegt. Es war vom Bundesrat beauftragt worden, eine Auslegeordnung zur Sicherheit bei Lieferketten zu erstellen.

Geht es nach dem Sepos, beginnt die Abwägung der Informationssicherheit bereits bei der Bedarfserhebung. Wenn eine Behörde eine Dienstleistung oder ein Produkt benötigt, müsse sie definieren, welche Sicherheitsanforderungen gestellt werden. Die Beschaffungsstelle habe anschliessend dafür zu sorgen, dass die Vorgaben in den Ausschreibungsunterlagen korrekt abgebildet werden. Das Sepos mahnt, dass eine enge Absprache zwischen Bedarfs- und Beschaffungsstelle erforderlich sei.

Das Sepos mahnt weiter, dass sich die Prüfung der Informationssicherheit nicht ausschliesslich auf den Zuschlagsempfänger beschränken dürfe. Eine Dienstleistung oder ein Produkt setze sich häufig aus langen und weitverzweigten Lieferketten zusammen, die auch Komponenten aus dem Ausland enthalten können. Auch sie müssten den Sicherheitsvorgaben genügen, heisst es in der Auslegeordnung.

Den Bedarfsstellen legt das Sepos die Kommunikation mit der Fachstelle des Bundes für Informationssicherheit nahe. Die Behörde biete Beratung und könne auch Projekte des Bundes rechtlich oder technisch beurteilen.