Erläuternder Bericht

4 Erläuterungen zu einzelnen Artikeln

Die gesetzlichen Grundlagen der Meldepflicht für Cyberangriffe, sollen – abgesehen von wenigen Anpassungen im 1. Kapitel – im 5. Kapitel des ISG eingefügt werden. Das 5. Kapitel wurde grundlegend überarbeitet, um darin auch die Aufgaben des NCSC – die über die Meldepflicht hinausgehen und nicht spezifisch auf kritische Infrastrukturen ausgerichtet sind – aufnehmen zu können. Entsprechend wurde auch die Kapitelüberschrift angepasst («5. Kapitel: Massnahmen des Bundes zum Schutz der Schweiz vor Cyberrisiken»).

Die wesentlichen Regelungsinhalte der gesetzlichen Bestimmungen wurden in der Botschaft zum ISG (BBl 2017 3062 ff.) und unter den vorstehenden Ziffern teilweise bereits ausführlich beschrieben und begründet. Die Kommentierung der nachfolgende Artikel beschränkt sich daher auf Ergänzungen dazu.

1. Kapitel: Allgemeine Bestimmungen

Im ersten Kapitel betreffen die Anpassungen nur die Artikel 1, 2 und 5. Die restlichen Artikel wurden nicht verändert.

Artikel 1 Zweck

Der Zweckartikel des ISG wurde in Absatz 1 ergänzt und zu diesem Zweck eine Unterteilung in Buchstabe a und b vorgenommen. In Buchstabe a wurde die ursprüngliche Formulierung übernommen, während in Buchstabe b die Zweckbestimmung in Bezug auf Cyberrisiken ergänzt wurde. Diese erweiterte Zweckbestimmung dient dazu, den durch die Einführung einer Meldepflicht für Cyberangriffe und der gesetzlichen Regelung der Aufgaben des NCSC eingefügten Aspekte Rechnung zu tragen.

Artikel 2 Verpflichtete Behörden und Organisationen

Hier wurde der Verweis in Absatz 5 auf die Bestimmungen, die für kritische Infrastrukturen gelten, angepasst, da Kapitel 5 neu mit Artikel 73a beginnt und mit Artikel 79 aufhört. Es wurde keine inhaltliche Anpassung dieses Artikels vorgenommen.

Artikel 5 Begriffe

Die Begriffsdefinitionen in Buchstabe a, b und c wurden nicht verändert.

Buchstabe d

Die neu aufgenommene Definition von «Cybervorfall» wurde aus Artikel 3 Buchstabe b CyRV übernommen und leicht angepasst. Die Definition umfasst auch den Missbrauch von Informatikmitteln, wie dies z.B. bei Phishing-Versuchen der Fall ist.

Buchstabe e

Neu definiert wurde der Begriff «Cyberangriff», der eine mögliche Erscheinungsform des Cybervorfalls darstellt. Der Begriff «Cyberangriff» ist als Abgrenzung zum Oberbegriff «Cybervorfall» deshalb von Bedeutung, weil nur die Angriffe auf kritische Infrastrukturen meldepflichtig sind, während Cybervorfälle und Schwachstellen freiwillig und von jeder Person gemeldet werden können.

5. Kapitel: Massnahmen des Bundes zum Schutz der Schweiz vor Cyberrisiken

Im zweiten, dritten und vierten Kapitel wurden keine Anpassungen vorgenommen. Im fünften Kapitel wurden neben der Meldepflicht für Cyberangriffe auf kritische Infrastrukturen auch grundsätzliche