Erläuternder Bericht

3.3.4 Vollzugstauglichkeit der Meldepflicht

Das NCSC hat im April 2021 unter Betreiberinnen kritischer Infrastrukturen und Behörden eine Umfrage zur geplanten Einführung einer Meldepflicht für Cyberangriffe durchgeführt. Diese hat ergeben, dass die Akzeptanz gegenüber einer Meldepflicht grundsätzlich hoch ist, wenn es gelingt, diese so umzusetzen, dass ein geringer bürokratischer Aufwand entsteht. Abbildung 1 verdeutlicht die hohe grundsätzliche Zustimmung der Befragten.

Zustimmung zur Meldepflicht

(1=überhaupt nicht einverstanden, 5= voll und ganz einverstanden)

164 133 55 1120

1 2 3 45

Abbildung 1 Beurteilung der Meldepflicht

Ein Cyberangriff auf eine kritische Infrastruktur kann neben der Meldepflicht an das NCSC weitere meldepflichtige Vorgänge betreffen und damit gleichzeitig mehrere Meldepflichten auslösen. Es sind beispielsweise folgende Überschneidungen denkbar:

• Für kritische Infrastrukturen, die im Finanzmarktsektor unter der Aufsicht der FINMA tätig 21 sind, gilt bereits seit Mai 2020 eine Meldepflicht für Cybervorfälle gegenüber der FINMA . Damit wird ein Cyberangriff in aller Regel sowohl der FINMA wie auch dem NCSC zu melden sein.

• Ein Cyberangriff auf eine kritische Infrastruktur kann zu einer Verletzung der Datensicherheit, 22

die je nach Schwere der Verletzung gegenüber dem EDÖB meldepflichtig ist .

• Löst ein Cyberangriff Funktionsstörungen bei der kritischen Infrastruktur aus, z.B. einen radioaktiven Vorfall in einer Kernanlage, dann ist dieser Störfall ebenfalls meldepflichtig (ENSI, NAZ usw.).

Die neu einzuführende Meldepflicht für Cyberangriffe wird die bestehenden Meldepflichten nicht ersetzen; letztere gelten unverändert weiter. Deshalb ist es wichtig, dass der Aufwand für die Meldepflichtigen auch dann vertretbar ist, wenn sie gleichzeitig weitere Meldepflichten erfüllen müssen. Aus diesem Grunde wird das NCSC ein System für die elektronische Erfassung der Meldung zur Verfügung stellen (Formular, Meldemaske oder Ähnliches). Die Meldepflichtigen können selber entscheiden, ob sie die elektronisch erfasste Meldung mit möglichen Zusatzangaben an weitere Meldestellen schicken wollen. Sofern andere Meldestellen Hand bieten, könnte die Erfassung der Meldung auch so gegliedert werden, dass neben den allgemeinen Angaben zur kritischen Infrastruktur