Erläuternder Bericht

3.3 Umsetzungsfragen

3.3.1 Notwendigkeit einer gesetzlichen Grundlage

Aus dem Legalitätsprinzip (Art. 5 Abs. 1 der Bundesverfassung, BV15) und den Bestimmungen zur Gesetzgebung von Artikel 164 Absatz 1 BV ergibt sich, dass die Meldepflicht für Cyberangriffe mindestens in den Grundzügen auf Gesetzesebene zu regeln ist. Entsprechend enthält die Vernehmlassungsvorlage die wesentlichen Elemente der Meldepflicht für Cyberangriffe. Dazu zählen der Auslöser und Umfang der Meldepflicht (Cyberangriffe mit Schadenspotential), der Adressatenkreis der Meldepflichtigen (Betreiberinnen kritischer Infrastrukturen, die in bestimmten Bereichen tätig sind), der Inhalt der Meldungen sowie deren Verwendung durch das NCSC. Die Meldepflicht stellt für die meldepflichtigen Betreiberinnen kritischen Infrastrukturen einen Eingriff in Rechte von Privaten oder, bei kantonaler oder kommunaler Trägerschaft, in deren föderalistische Autonomie dar. Die Meldepflicht ist aber nicht ein Eingriff von grosser Tragweite und hat kaum finanzielle Auswirkungen auf die betroffenen Unternehmen.

3.3.2 ISG als geeignete Rechtsgrundlage

Im Rahmen der Vorarbeiten wurde geprüft, ob die neuen Regelungen in einem eigenständigen Gesetz oder in einen bestehenden Erlass eingefügt werden sollen, dessen Zweck, Gegenstand und Anwendungsbereich mit einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen vereinbar ist¹⁶. Für die Verankerung der Meldepflicht kamen als gesetzliche Grundlagen insbesondere Erlasse in Betracht, die bereits Bestimmungen zum Schutz kritischer Infrastrukturen enthielten und den Schutz der öffentlichen Ordnung im Fokus hatten (BZG¹⁷, LVG¹⁸, BWIS¹⁹, NDG und ISG²⁰). Nach eingehender Prüfung erwies sich von diesen Erlassen nur das ISG als passendes Gefäss. Sein Ziel, die Sicherheit für die vom Bund bearbeiteten Informationen und eingesetzten Informatikmittel zu gewährleisten, hat einen direkten Bezug zur Cybersicherheit (obwohl das Gesetz den Begriff nicht verwendet). Dazu kommt, dass im ISG bereits Bestimmungen zur Unterstützung für kritische Infrastrukturen durch den Bund vorgesehen waren. Dieser Teil des Aufgabenbereichs des NCSC war damit bereits gesetzlich verankert. Damit war das ISG nicht nur geeignet, sondern eine ideale Basis, um die Meldepflicht für Cyberangriffe zu verankern. Dafür spricht auch, dass in den parlamentarischen Beratungen zum Gesetzesentwurf die Einführung einer Meldepflicht für KI-Betreibende bei «erheblichen Vorfällen» diskutiert, aber im Juni 2020 von der Mehrheit des Nationalrats jedoch abgelehnt wurde, nachdem der Bundesrat darauf hingewiesen hat, dass dazu eine Vorlage erarbeitet werden wird.

3.3.3 Ausführungsbestimmungen

Die gesetzlichen Vorgaben werden durch eine Verordnung konkretisiert. Diese wird die Aufgaben des NCSC und die Zusammenarbeit mit weiteren Stellen genauer umschreiben und präzisieren, wer wann welche Cyberangriffe über welche Verfahren zu melden hat. Die Verordnung wird jene Bestimmungen der heutigen CyRV integrieren, welche das Verhältnis des Bundes zur Öffentlichkeit und insbesondere zu den Betreiberinnen kritischer Infrastrukturen betreffen. Bei den Bestimmungen zum Adressatenkreis ist jeweils zu prüfen, ob eine Präzisierung in der Verordnung zur Meldepflicht oder in sektorspezifischen Verordnungen zu bevorzugen ist.