Erläuternder Bericht

Bestimmungen zu den Aufgaben des NCSC aufgenommen. Zur besseren Übersicht wurde das 5. Kapitel daher neu in 3 Abschnitte gegliedert.

1. Abschnitt: Allgemeine Bestimmungen

Artikel 73a Grundsatz

In diesem Artikel werden die Aufgaben des NCSC unter Buchstabe a bis f beschrieben. Es handelt sich um eine nicht abschliessende Aufzählung. Im Zusammenhang mit der Entgegennahmen und Bearbeitung von Meldungen (Buchstabe e) ist zu präzisieren, dass es hier sowohl um die freiwilligen Meldungen zu Cybervorfällen und Schwachstellen geht wie auch um die Meldungen zu Cyberangriffe auf kritische Infrastrukturen, die meldepflichtig sind.

Die einzelnen Aufgaben sowie die Zusammenarbeit mit Behörden im In- und Ausland bilden Gegenstand von weiteren Artikeln, die deren Inhalt konkretisieren.

Artikel 73b Bearbeitung von Meldungen zu Cybervorfällen und Schwachstellen

Das NCSC betreibt seit dem 1. Januar 2020 eine nationale Anlaufstelle für Cyberrisiken (vgl. Art. 12 Abs. 1 Bst. a CyRV), die Meldungen zu Cybervorfällen und Schwachstellen erfasst und bearbeitet. Die Meldestelle des NCSC wurde auf der Grundlage von MELANI aufgebaut, welche seit 2004 Meldungen entgegennimmt. Die Meldestelle des NCSC wird von Unternehmen und Bevölkerung rege genutzt. Im Jahr 2020 gingen 10’834 Meldungen bei ihr ein²³.

Das NCSC wurde am 28. September 2021 Teil des weltweiten Netzwerks zur Verwaltung von Schwachstellen in Informatiksystemen und ist seither berechtigt, den gemeldeten Schwachstellen eine eindeutige Identifikationsnummer gemäss internationalem Referenzsystem zu vergeben²⁴. Es ist deshalb wichtig zu präzisieren, dass das NCSC neben Meldungen zu Cybervorfällen auch solche zu Schwachstellen entgegennimmt.

Absatz 1

Cybervorfälle und Schwachstellen können dem NCSC nicht nur von den Betroffenen selber, sondern auch von Dritten – und falls gewünscht auch anonym – gemeldet werden. Das NCSC analysiert die Vorfälle und beurteilt, welche Bedeutung sie für den Schutz der Schweiz vor Cyberrisiken haben. Sofern die Meldungen nicht anonym erfolgen, kann das NCSC auf Wunsch der Meldenden basierend auf diesen Analysen auch Einschätzungen zum Vorfall und Empfehlungen für das weitere Vorgehen abgeben. Zudem verwendet das NCSC die Meldungen für statistische Zwecke und für die Warnung der Öffentlichkeit vor Cyberbedrohungen. Dabei werden keine Angaben der Meldenden oder der Betroffenen publiziert.

Das NCSC behandelt die Meldungen vertraulich. Diese Vertraulichkeit der Meldungen ist eine wichtige Voraussetzung, damit überhaupt Meldungen eingehen und der Meldestelle Vertrauen entgegengebracht wird.

Absatz 2

Das NCSC kann Informationen zu Cybervorfällen veröffentlichen oder an interessierte Behörden und Organisationen weiterleiten, sofern die Informationen keine Personendaten oder Daten juristischer Personen enthalten. Eine Veröffentlichung von Personendaten im Falle von Cybervorfällen ist ausgeschlossen. Weiterhin möglich ist die Veröffentlichung von Informationen aus der Meldung mit Zustimmung der betroffenen Person oder Organisation, wie beispielsweise im Falle des Missbrauchs von Logos bei Phishing-Angriffen.