Vorlage

Informationssicherheitsgesetz

4. IT-Sicherheit, Verschlüsselung, Identifikation, Zugriffs- und Zutrittsberechtigung.

Art. 74c Ausnahmen von der Meldepflicht

Der Bundesrat nimmt bestimmte Kategorien von Betreiberinnen von kritischen Infrastrukturen von der Meldepflicht aus, wenn durch Cyberangriffe auf ihre Infrastrukturen ausgelöste Funktionsausfälle oder Fehlfunktionen:

a. unwahrscheinlich sind, insbesondere wegen einer geringen Abhängigkeit von Informatikmitteln; oder

b. nur geringe Auswirkungen auf das Funktionieren der Wirtschaft beziehungsweise das Wohlergehen der Bevölkerung haben, insbesondere, weil sie:

1. nur eine geringe Anzahl Personen betreffen,

2. von anderen kritischen Infrastrukturen aufgefangen werden, oder

3. nur ein geringes volkswirtschaftliches Schadenspotenzial haben.

Art. 74d Zu meldende Cyberangriffe

¹ Ein Cyberangriff auf eine kritische Infrastruktur muss gemeldet werden, wenn Anzeichen dafür bestehen, dass:

a. die Funktionsfähigkeit der betroffenen kritischen Infrastruktur oder einer anderen kritischen Infrastruktur gefährdet ist;

b. ein fremder Staat ihn ausgeführt oder veranlasst hat;

c. er zu einem Abfluss oder zur Manipulation von Informationen geführt hat oder führen könnte; oder

d. er länger als 30 Tage unentdeckt blieb.

² Ein Cyberangriff auf eine kritische Infrastruktur muss immer gemeldet werden, wenn er mit Erpressung, Drohung oder Nötigung gegenüber der Betreiberin einer kritischen Infrastruktur oder ihren Mitarbeitenden verbunden ist.

Art. 74e Inhalt der Meldung

¹ Die Meldung muss Informationen zur kritischen Infrastruktur, zur Art und Ausführung des Cyberangriffs, zu seinen Auswirkungen und zum geplanten weiteren Vorgehen der Betreiberin der kritischen Infrastruktur enthalten.

² Sind zum Zeitpunkt der Meldung nicht alle erforderlichen Informationen bekannt, so ergänzt die Betreiberin der kritischen Infrastruktur die Meldung, sobald sie an neue Informationen gelangt.

Art. 74f Übermittlung der Meldung