Verordnung vom 8. November 2023 über die Personensicherheitsprüfungen (VPSP)

Der Schweizerische Bundesrat,

gestützt auf Artikel 48, 83 Absatz 3, 84 Absatz 1 und 86 Absatz 4 des Informationssicherheitsgesetzes vom 18. Dezember 2020[^1] (ISG),

Artikel 41 *b* Absatz 5 des Ausländer- und Integrationsgesetzes vom 16. Dezember 2005[^2] (AIG),

Artikel 119 des Asylgesetzes vom 26. Juni 1998[^3] (AsylG),

Artikel 6 *a* Absatz 5 des Ausweisgesetzes vom 22. Juni 2001[^4] (AwG),

Artikel 37 Absatz 1 des Bundespersonalgesetzes vom 24. März 2000[^5] (BPG), Artikel 14 Absatz 2 und 150 Absatz 1 des Militärgesetzes vom 3. Februar 1995[^6] (MG),

Artikel 24 Absatz 4 des Kernenergiegesetzes vom 21. März 2003[^7] (KEG) sowie Artikel 20*a* Absatz 2 des Stromversorgungsgesetzes vom 23. März 2007[^8] (StromVG),

verordnet:

1. Abschnitt: Allgemeine Bestimmungen

Art. 1 Gegenstand

¹ Diese Verordnung regelt die folgenden Verfahren:

• a. die Personensicherheitsprüfungen (PSP) nach dem ISG;

• b. die Sicherheitsprüfungen nach den Artikeln 41b Absatz 2 AIG und 6a Absatz 2 AwG;

• c. die Prüfungen der Vertrauenswürdigkeit nach den Artikeln 29a AsylG, 20b BPG, 14 MG und 20a StromVG;

• d. die Personensicherheitsprüfungen nach den Artikeln 23 Absatz 2 Buchstabe d und 103 Absatz 3 Buchstabe d MG;

• e. die Beurteilungen des Gefährdungs- oder Missbrauchspotenzials nach Artikel 113 Absatz 4 Buchstabe d MG;

• f. die Zuverlässigkeitskontrollen nach Artikel 24 Absatz 1 KEG.

² Sie regelt zudem:

• a. die Organisation der für die Durchführung der Personensicherheitsprüfungen zuständigen Fachstellen (Fachstellen PSP);

• b. die Sicherheitsbescheinigung für Personen;

• c. die Verantwortung für den Datenschutz in Zusammenhang mit dem Informationssystem nach Artikel 45 ISG sowie die Datensicherheit;

• d. die periodische Kontrolle der Bearbeitung von Personendaten im Rahmen der Personensicherheitsprüfungen durch eine externe Stelle.

³ Sie legt im Zuständigkeitsbereich des Bundesrats fest:

• a. die Funktionen, die eine Prüfung nach Absatz 1 erfordern;

• b. die Zuordnung der sicherheitsempfindlichen Tätigkeiten zu den Prüfstufen;

• c. die zuständigen einleitenden und entscheidenden Stellen.

Art. 2 Geltungsbereich

¹ Diese Verordnung gilt für:

• a. die verpflichteten Behörden nach Artikel 2 Absatz 1 ISG;

• b. die Verwaltungseinheiten der zentralen Bundesverwaltung nach Artikel 7 der Regierungs- und Verwaltungsorganisationsverordnung vom 25. November 1998[^9];

• c. die Armee;

• d. die Kantone.

² Die Geltung dieser Verordnung für die Verwaltungseinheiten der dezentralen Bundesverwaltung nach Artikel 2 Absatz 3 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997[^10] (RVOG) und Organisationen nach Artikel 2 Absatz 4 RVOG richtet sich nach Artikel 2 Absätze 2 und 3 der Informationssicherheitsverordnung vom 8. November 2023[^11] (ISV).

³ Vorbehalten bleiben die eigenen Ausführungsbestimmungen nach Artikel 84 Absatz 1 ISG der verpflichteten Behörden über:

• a. die Funktionen, für welche die Ausübung einer sicherheitsempfindlichen Tätigkeit erforderlich ist;

• b. die Zuordnung der sicherheitsempfindlichen Tätigkeiten zu den Prüfstufen;

• c. die zuständigen einleitenden und entscheidenden Stellen.

2. Abschnitt: Funktionenlisten

Art. 3 Zuordnung

¹ Für die Bundesverwaltung und Organisationen nach Artikel 2 Absatz 4 RVOG[^12] gelten folgende Funktionenlisten:

• a. für Personensicherheitsprüfungen nach dem ISG: die Funktionenliste nach Anhang 1;

• b. für Prüfungen der Vertrauenswürdigkeit nach dem AsylG: die Funktionenliste nach Anhang 2;

• c. für Prüfungen der Vertrauenswürdigkeit nach dem BPG: die Funktionenliste nach Anhang 3.

² Für die Armee gelten folgende Funktionenlisten:

• a. für Personensicherheitsprüfungen nach dem ISG: die Funktionenliste nach Anhang 4;

• b. für Prüfungen der Vertrauenswürdigkeit nach Artikel 14 MG: die Funktionenliste nach Anhang 5.

³ Für Funktionen nach Artikel 20a Absatz 1 StromVG gilt die Funktionenliste nach Anhang 6.

⁴ Die Projektanten einer neuen Kernanlage, Inhaber einer Rahmen-, Bau- oder Betriebsbewilligung und die Adressaten einer Stilllegungsverfügung für Kernanlagen führen eine Liste der Funktionen, die eine Zuverlässigkeitskontrolle nach Artikel 24 Absatz 1 KEG erfordern. Das Eidgenössische Nuklearsicherheitsinspektorat (ENSI) legt die Anforderungen an diese Listen und deren Aktualisierung in Richtlinien fest.

Art. 4 Änderung

Das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) kann auf Antrag der Departemente und der Bundeskanzlei über die Ergänzung oder Änderung der Funktionenlisten nach den Anhängen 1–6 entscheiden. Es konsultiert vorgängig die Fachstelle des Bundes für Informationssicherheit.

Art. 5 Veröffentlichung, Aufbewahrung und Bekanntgabe

¹ Die Anhänge 1, 4 und 6 werden nach Artikel 6 des Publikationsgesetzes vom 18. Juni 2004[^13] nicht in der Amtlichen Sammlung veröffentlicht.

² Das VBS bewahrt die Funktionenlisten nach den Anhängen 1, 4 und 6 auf und gibt sie den Stellen und Personen bekannt, welche Aufgaben nach dieser Verordnung erfüllen.

Art. 6 Aktualitätsprüfung

¹ Die Departemente und die Bundeskanzlei prüfen die Aktualität der Funktionenlisten in ihrem Zuständigkeitsbereich:

• a. mindestens alle drei Jahre;

• b. bei Reorganisationen oder der Übernahme oder Abgabe von Aufgaben.

² Sie erstatten dem VBS darüber Bericht und stellen bei Bedarf Antrag auf Änderung nach Artikel 4.

3. Abschnitt: Prüfungen ohne Funktionenlisten

Art. 7 Ausserordentliche Prüfung

Das VBS entscheidet über ausserordentliche Prüfungen nach Artikel 29 Absatz 3 ISG. Es konsultiert vorgängig die Fachstelle des Bundes für Informationssicherheit.

Art. 8 Prüfungen bei kantonalen Angestellten und Dritten

¹ Das VBS entscheidet auf Antrag des Kantons, ob eine Funktion von kantonalen Angestellten die Ausübung einer sicherheitsempfindlichen Tätigkeit beinhaltet. Es konsultiert vorgängig die Fachstelle des Bundes für Informationssicherheit. Vorbehalten bleibt Artikel 10 Absatz 2 Buchstabe e.

² Bevor bei Dritten eine Personensicherheitsprüfung durchgeführt wird, prüfen folgende Stellen, ob eine sicherheitsempfindliche Tätigkeit vorliegt:

• a. im Rahmen des Betriebssicherheitsverfahrens: die Fachstelle für Betriebssicherheit;

• b. in allen anderen Fällen: die Informationssicherheitsbeauftragte oder der Informationssicherheitsbeauftragte des jeweiligen Departements beziehungsweise der Bundeskanzlei.

Art. 9 Ausserordentliche Zuverlässigkeitskontrolle des ENSI

Funktionen, welche die Voraussetzungen nach Artikel 24 Absatz 1 KEG nur kurzzeitig erfüllen, werden nicht in den Funktionenlisten nach Artikel 3 Absatz 4 aufgeführt. Über die Zuverlässigkeit von Personen entscheidet das ENSI. Es kann dabei auf die Zuverlässigkeitskontrolle nach Artikel 24 Absatz 1 KEG verzichten und sich stattdessen insbesondere auf Auskünfte folgender Stellen stützen:

• a. eines in- oder ausländischen Unternehmens, für das die zu prüfende Person tätig war oder ist;

• b. einer in- oder ausländischen Handelskammer;

• c. einer ausländischen Behörde aus dem Herkunftsland der zu prüfenden Person.

4. Abschnitt: Zuordnung zu den Prüfstufen

Art. 10 Personensicherheitsprüfungen nach dem ISG

¹ Einer Grundsicherheitsprüfung sind folgende sicherheitsempfindliche Tätigkeiten nach dem ISG zugeordnet:

• a. die Bearbeitung als «vertraulich» klassifizierter Informationen;

• b. die Verwaltung, der Betrieb, die Wartung oder die Überprüfung von Informatikmitteln der Sicherheitsstufe «hoher Schutz»;

• c. der Zugang zu einer Sicherheitszone 1 nach Artikel 35 Absatz 1 Buchstabe a ISV[^14] oder einer Schutzzone 2 nach Artikel 3 Absatz 2 Buchstabe b der Anlageschutzverordnung vom 2. Mai 1990[^15];

• d. Tätigkeiten, die aufgrund eines völkerrechtlichen Vertrags einer Prüfung auf dieser Prüfstufe unterzogen werden müssen.

² Einer erweiterten Personensicherheitsprüfung sind folgende sicherheitsempfindliche Tätigkeiten nach dem ISG zugeordnet:

• a. die Bearbeitung als «geheim» klassifizierter Informationen;

• b. die Verwaltung, der Betrieb, die Wartung oder die Überprüfung von Informatikmitteln der Sicherheitsstufe «sehr hoher Schutz»;

• c. der Zugang zu einer Sicherheitszone 2 nach Artikel 35 Absatz 1 Buchstabe b ISV oder einer Schutzzone 3 nach Artikel 3 Absatz 2 Buchstabe c der Anlageschutzverordnung;

sicherheitsempfindliche Tätigkeiten von Angestellten des Bundes und externen Mitarbeitenden:

• 1. beim Nachrichtendienst des Bundes (NDB),

• 1. beim militärischen Nachrichtendienst (MND),

• 1. beim Dienst Cyber und elektromagnetische Aktionen (CEA),

• 1. bei der unabhängigen Aufsichtsbehörde über die nachrichtendienstlichen Tätigkeiten (AB-ND);

• d.

• e. sicherheitsempfindliche Tätigkeiten von Mitarbeitenden der kantonalen Vollzugsbehörden nach Artikel 9 Absatz 1 des Nachrichtendienstgesetzes vom 25. September 2015[^16] (NDG);

• f. Tätigkeiten, die aufgrund eines völkerrechtlichen Vertrags einer Prüfung auf dieser Prüfstufe unterzogen werden müssen.

Art. 11 Prüfung der Vertrauenswürdigkeit nach dem BPG

¹ Einer Grundsicherheitsprüfung sind folgende Tätigkeiten nach Artikel 20b BPG zugeordnet:

• a. hoheitliche Tätigkeiten nach Artikel 20b Absatz 1 Buchstabe a BPG von im Ausland eingesetzten Angestellten des Bundes und von versetzungspflichtigen Angestellten des Eidgenössischen Departements für auswärtige Angelegenheiten;

• b. Tätigkeiten nach Artikel 20b Absatz 1 Buchstabe b BPG, bei deren ungetreuer Ausführung ein Schaden von fünfzig Millionen bis fünfhundert Millionen Franken entstehen kann;

• c. Tätigkeiten nach Artikel 20b Absatz 1 Buchstabe c BPG des Personals des Bundesamts für Polizei (fedpol), des Bundesamts für Justiz sowie des Bundesamts für Zoll und Grenzsicherheit, insbesondere in Bezug auf die operativen Mittel und Methoden zur Bekämpfung von Verbrechen oder Vergehen oder auf die Identität exponierter Personen;

² Einer erweiterten Personensicherheitsprüfung sind folgende Tätigkeiten nach Artikel 20b BPG zugeordnet:

• a. Tätigkeiten im Rahmen von Arbeitsverhältnissen, für deren Begründung, Änderung und Beendigung nach Artikel 2 Absatz 1 der Bundespersonalverordnung vom 3. Juli 2001[^17] (BPV) der Bundesrat zuständig ist;

• b. Tätigkeiten im Rahmen von Arbeitsverhältnissen, für deren Begründung, Änderung und Beendigung nach Artikel 2 Absatz 1^bis BPV die Departementsvorsteherin oder der Departementsvorsteher zuständig ist;

• c. Tätigkeiten von Leiterinnen und Leitern von dezentralen Verwaltungseinheiten nach Artikel 2 Absatz 1 Buchstabe e BPG;

• d. Tätigkeiten nach Artikel 20b Absatz 1 Buchstabe b BPG, bei deren ungetreuen Ausführung ein Schaden von über fünfhundert Millionen Schweizer Franken entstehen kann;

• e. Tätigkeiten nach Artikel 20b Absatz 1 Buchstabe c BPG des Personals von fedpol, bei deren vorschriftswidriger oder unsachgemässer Ausübung die Bekämpfung von Schwerstkriminalität in Bundeskompetenz schwerwiegend gefährdet werden kann;

• f. Tätigkeiten der Angestellten der Fachstellen PSP.

Art. 12 Prüfungen nach dem MG

¹ Einer Grundsicherheitsprüfung sind folgende Tätigkeiten und Prüfungen nach dem MG zugeordnet:

• a. im Ausland in Uniform ausgeübte Tätigkeiten nach Artikel 14 Absatz 1 Buchstabe a MG, die in hoheitlicher Vertretung der Schweiz oder im Bereich der militärischen Diplomatie ausgeübt werden;

• b. Tätigkeiten nach Artikel 14 Absatz 1 Buchstabe b MG, bei deren ungetreuer Ausführung ein Schaden von fünfzig bis fünfhundert Millionen Franken entstehen kann;

• c. Prüfungen nach Artikel 23 Absatz 2 Buchstabe d MG.

² Eine Personensicherheitsprüfung nach Artikel 103 Absatz 3 Buchstabe d MG darf für Anwärterinnen und Anwärter nur verlangt werden, wenn:

• a. für die neue Funktion ein Prüfgrund nach Absatz 1 oder nach Artikel 10 vorliegt; und

• b. die Mindestfrist der Wiederholung nach Artikel 43 Absatz 1 ISG abgelaufen ist.

³ Einer Beurteilung des Gefährdungs- oder Missbrauchspotenzials nach Artikel 113 Absatz 4 Buchstabe d MG werden auf Antrag des Kommando Ausbildung unterzogen:

• a. alle Stellungspflichtigen;

• b. alle Angehörigen des Rotkreuzdienstes, die mit einer persönlichen Waffe ausgerüstet werden;

Angehörige der Armee, wenn ein Verdacht gemeldet wurde, dass:

• 1. sie sich selbst oder Dritte mit der persönlichen Waffe gefährden könnten, oder

• 1. sie oder Dritte die persönliche Waffe missbrauchen könnten.

• c.

⁴ Bei Stellungspflichtigen erfolgen die Prüfverfahren im Rahmen der Rekrutierung.

Art. 13 Zuverlässigkeitskontrollen nach dem KEG

¹ Einer Grundsicherheitsprüfung sind die Zuverlässigkeitskontrollen nach Artikel 24 Absatz 1 KEG von folgenden Personen zugeordnet:

• a. Personen, die Zugang zu als «vertraulich» klassifizierten Informationen über Kernanlagen und Kernmaterialien haben;

• b. Personen, die Tätigkeiten ausüben, welche bei ungetreuer Ausübung die Einhaltung der grundlegenden Schutzziele nach Artikel 1 Buchstabe d der Verordnung des UVEK vom 17. Juni 2009[^18] über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen erheblich beinträchtigen können;

• c. Personen, die im Sicherungsbereich von Kernanlagen tätig sind, insbesondere das Wachpersonal.

² Einer erweiterten Personensicherheitsprüfung sind die Zuverlässigkeitskontrollen von Personen zugeordnet, die Zugang zu als «geheim» klassifizierten Informationen über Kernanlagen und Kernmaterialien haben.

Art. 14 Prüfungen der Vertrauenswürdigkeit nach dem StromVG

¹ Einer Grundsicherheitsprüfung sind Tätigkeiten für die nationale Netzgesellschaft nach Artikel 18 StromVG zugeordnet, zu deren Erfüllung ein Zugang zu kritischen Informationen mit Bezug auf die Versorgungssicherheit, zu kritischen Applikationen oder zu kritischen Infrastrukturen benötigt wird.

² Einer erweiterten Personensicherheitsprüfung sind Tätigkeiten für die nationale Netzgesellschaft zugeordnet, zu deren Erfüllung ein Zugang zu höchstkritischen Informationen mit Bezug auf die Versorgungssicherheit, zu höchstkritischen Applikationen oder zu höchstkritischen Infrastrukturen benötigt wird.

5. Abschnitt: Durchführung

Art. 15 Einleitende und entscheidende Stellen

¹ Die Departemente und die Bundeskanzlei legen in ihrem Zuständigkeitsbereich die einleitenden und entscheidenden Stellen fest und teilen diese den Fachstellen PSP mit.

² Ist der Bundesrat für die Wahl oder die Übertragung des Amtes oder der Funktion zuständig, so ist er entscheidende Stelle.

³ Wird gestützt auf Artikel 53 Absatz 2 ISG auf die Durchführung des Betriebssicherheitsverfahrens verzichtet, so ist die Auftraggeberin die einleitende und entscheidende Stelle.

⁴ Für Zuverlässigkeitskontrollen nach Artikel 24 Absatz 1 KEG gelten folgende Zuständigkeiten:

• a. einleitende Stellen: die Projektanten einer neuen Kernanlage, die Inhaber von Rahmen-, Bau- oder Betriebsbewilligungen oder die Adressaten von Stilllegungsverfügungen für Kernanlagen;

• b. entscheidende Stelle: das ENSI.

⁵ Für Prüfungen der Vertrauenswürdigkeit nach Artikel 20a StromVG ist die nationale Netzgesellschaft einleitende und entscheidende Stelle.

⁶ Die verpflichteten Behörden und die Kantone teilen den Fachstellen PSP mit, welche Stellen in ihrem Zuständigkeitsbereich einleitende und entscheidende Stellen sind.

⁷ Die einleitende Stelle ist für den Nachweis der Einwilligung zur Durchführung der Prüfungen zuständig, sofern das Informationssystem nach Artikel 45 ISG diesen nicht erbringt.

Art. 16 Fachstellen PSP

¹ Die Fachstellen PSP sind:

• a. die Fachstelle PSP der Bundeskanzlei (Fachstelle PSP BK);

• b. die Fachstelle PSP des VBS (Fachstelle PSP VBS).

² Die Fachstelle PSP VBS ist Teil des Staatssekretariats für Sicherheitspolitik im VBS.

³ Die Fachstelle PSP BK ist zuständig für die Prüfung von Personen, die eine der folgenden Funktionen ausüben:

• a. Funktionen nach Artikel 2 Absatz 1 BPV[^19], mit Ausnahme von Funktionen innerhalb der Bundeskanzlei;

• b. Funktionen nach Artikel 2 Absatz 1^bis BPV;

• c. Funktionen innerhalb der Fachstelle PSP VBS;

• d. Funktionen innerhalb des VBS, die Führungsaufgaben gegenüber der Fachstelle PSP VBS beinhalten.

⁴ Die Fachstelle PSP VBS ist zuständig für alle übrigen Prüfungen.

Art. 17 Überprüfung der Voraussetzungen für die Prüfung

¹ Nach der Einleitung einer Prüfung überprüfen die Fachstellen PSP, ob die folgenden formellen Voraussetzungen erfüllt sind:

• a. Die betreffende Funktion ist auf der Funktionenliste enthalten oder die Voraussetzungen nach den Artikel 7 oder 8 sind erfüllt.

• b. Die Prüfung ist von der dafür zuständigen Stelle eingeleitet worden.

• c. Die zu prüfende Person hat in die Durchführung der Prüfung eingewilligt, sofern dies erforderlich ist.

• d. Alle Angaben der zu prüfenden Person, die für die Datenerhebung und die Verfahrensführung notwendig sind, liegen vor.

² Bei der ausserordentlichen Wiederholung einer Prüfung überprüfen sie, ob die Wiederholung hinreichend begründet ist.