Vorlage

Informationssicherheitsgesetz

Betreiberinnen handelt, die Beschaffung gleichwertiger Unterstützung auf dem Markt nicht rechtzeitig möglich ist.

⁴ Es kann zur Analyse eines Cybervorfalls mit dem Einverständnis der betroffenen Betreiberin auf deren Informationen und Informatikmittel zugreifen. Das Einverständnis kann unabhängig von allfälligen Geheimhaltungspflichten gewährt werden.

Gliederungstitel vor Art. 74a

2. Abschnitt: Pflicht zur Meldung von Cyberangriffen auf kritische Infrastrukturen

Art. 74a Meldepflicht

Die Betreiberinnen von kritischen Infrastrukturen müssen dem NCSC Cyberangriffe nach deren Entdeckung so rasch als möglich melden, damit das NCSC Angriffsmuster frühzeitig erkennen, mögliche Betroffene warnen und ihnen geeignete Präventions- und Abwehrmassnahmen empfehlen kann.

Art. 74b Bereiche

Die Meldepflicht gilt für:

a. Hochschulen nach Artikel 2 Absatz 2 des Hochschulförderungs- und - koordinationsgesetzes vom 30. September 2011⁵;

b. Bundes-, Kantons- oder Gemeindebehörden sowie interkantonale, kantonale und interkommunale Organisationen;

c. Organisationen mit öffentlich-rechtlichen Aufgaben in den Bereichen Sicherheit und Rettung, Trinkwasserversorgung, Abwasseraufbereitung und Abfallentsorgung;

d. Unternehmen, die in den Bereichen Energieversorgung nach Artikel 6 Absatz 1 des Energiegesetzes vom 30. September 2016⁶, Energiehandel, - messung oder -steuerung tätig sind;

e. Unternehmen, die dem Bankengesetz vom 8. November 1934⁷, dem Versicherungsaufsichtsgesetz vom 17. Dezember 2004⁸ oder dem Finanzmarktinfrastrukturgesetz vom 19. Juni 2015⁹ unterstehen;

f. Anbieterinnen von Online-Marktplätzen, Cloudcomputing, Suchmaschinen und weiteren digitalen Diensten sowie Registrare von Domain-Namen und Betreiberinnen von Rechenzentren, die in der Schweiz:

1. von einer grossen Zahl von Nutzenden beansprucht werden,

2. eine hohe Bedeutung für die digitale Wirtschaft haben, oder

5 SR 414.20

6 SR 730.0

7 SR 952.0

8 SR 961.01

9 SR 958.1