Vorlage
Vernehmlassung 2021/70: Meldepflicht von Betreiberinnen kritischer Infrastrukturen für Cyberangriffe · 10 Seiten
Fedlex · Vorlage · Seite 3Fedlex · Vorlage
Informationssicherheitsgesetz
3 Werden dem NCSC Schwachstellen gemeldet, so informiert es umgehend den Hersteller und setzt ihm zur Behebung der Schwachstelle eine angemessene Frist. Behebt der Hersteller die Schwachstelle nicht innert dieser Frist, so veröffentlicht das NCSC die Schwachstelle unter Angabe der betroffenen Soft- oder Hardware, sofern dies zum Schutz vor Cyberrisiken beiträgt.
Art. 73c Weiterleitung von Informationen
1 Ergeben sich aus der Meldung eines Cybervorfalls oder dessen Analyse Informationen, die für das frühzeitige Erkennen und Verhindern von Bedrohungen der inneren oder äusseren Sicherheit, für die Beurteilung der Bedrohungslage oder für die nachrichtendienstliche Frühwarnung zum Schutz von kritischen Infrastrukturen nach Artikel 6 Absätze 1 Buchstabe a, 2 und 5 des Nachrichtendienstgesetzes vom 25. September 20152 (NDG) relevant sind, so leitet das NCSC diese Informationen an den NDB weiter.
2 Für Mitarbeitende des NCSC entfällt die Anzeigepflicht gemäss Artikel 22a des Bundespersonalgesetzes vom 24. März 20003, wenn sie im Zusammenhang mit der Meldung eines Cybervorfalls oder dessen Analyse Hinweise auf eine mögliche Straftat erhalten. Die Leiterin oder der Leiter des NCSC kann Anzeige erstatten, sofern dies aufgrund der Schwere der möglichen Straftat geboten scheint.
3 Informationen, die von einer Person im Rahmen einer Meldung dem NCSC bekanntgegeben wurden, dürfen in einem Strafverfahren gegen diese Person nur mit deren Einverständnis verwendet werden.
4 Informationen, die strafrechtlich geschützte Geheimnisse offenbaren, darf das NCSC nur nach den Vorgaben von Artikel 320 StGB4 weiterleiten.
Art. 74 Unterstützung von Betreiberinnen von kritischen Infrastrukturen
1 Das NCSC unterstützt die Betreiberinnen von kritischen Infrastrukturen beim Schutz vor Cyberrisiken.
2 Es stellt ihnen dazu insbesondere folgende Hilfsmittel zur Verfügung:
a. ein Kommunikationssystem für den sicheren Informationsaustausch;
b. technische Informationen zu aktuellen Cyberrisiken und Schwachstellen sowie Empfehlungen für präventive Massnahmen;
c. technische Instrumente und Anleitungen zur Erkennung von Cybervorfällen, die auf den erhöhten Schutzbedarf von kritischen Infrastrukturen ausgerichtet sind.
3 Es berät und unterstützt sie bei der Bewältigung von Cybervorfällen und der Behebung von Schwachstellen, wenn für die kritische Infrastruktur ein unmittelbares Risiko von gravierenden Auswirkungen besteht und, sofern es sich um private
2SR 121