Erläuternder Bericht

Absatz 3

Bei Schwachstellen hingegen kann die schnelle Veröffentlichung der Schwachstelle mit Nennung der betroffenen Soft- oder Hardware notwendig sein, um weitere Cyberangriffe zu verhindern. Das Ausnutzen von Schwachstellen ist eine der häufigsten Vorgehensweisen bei Cyberangriffen. Nur mit diesen Informationen ist es den Nutzenden der Soft- oder Hardware möglich, umgehend die nötigen Massnahmen zum Schutz vor Cyberangriffen zu ergreifen. Absatz 3 bildet die gesetzliche Grundlage, damit das NCSC bei der Veröffentlichung der Schwachstellen die betroffene Hard- und Software – und damit implizit deren Hersteller – namentlich nennen darf.

Artikel 73c Weiterleitung von Informationen

Artikel 73c definiert die Voraussetzungen, unter welchen es dem NCSC erlaubt ist, gewisse Informationen, die in einer Meldung enthalten sind, an den NDB oder die Strafverfolgungsbehörden weiterzuleiten (Absatz 1 und 2). Schliesslich wird auch der Umgang mit Informationen geregelt, sollte sich ein Strafverfahren gegen eine meldende Person richten (Absatz 3).

Absatz 1

Absatz 1 hält fest, dass es dem NCSC erlaubt ist, Informationen an den NDB weiterzuleiten, wenn diese Informationen der Früherkennung und Verhinderung von Bedrohungen der inneren oder äusseren Sicherheit, für die Beurteilung der Bedrohungslage oder für die nachrichtendienstliche Frühwarnung zum Schutz von kritischen Infrastrukturen nach Artikel 6 Absätzen 1 Buchstabe a, 2 und 5 NDG relevant sind. Diese Weiterleitung ist nötig, damit der NDB seine Aufgaben auch in Bezug auf Cyberbedrohungen erfüllen kann. Sie beschränkt sich jedoch auf die dafür nötigen Informationen.

Absatz 2

Absatz 2 regelt die Weitergabe von Informationen an die Strafverfolgungsbehörden. Die für Bundesangestellte geltende Anzeigepflicht entfällt für Informationen, welche das NCSC bei der Meldung eines Cybervorfalls oder bei dessen Analyse erhält, da diese Anzeigepflicht in einem Spannungsfeld zum Grundsatz der vertraulichen Behandlung der Meldung steht. Die Leiterin oder der Leiter des NCSC ist jedoch berechtigt, Informationen an die Strafverfolgungsbehörden weiterzuleiten. Sie oder er wägt dabei das Interesse des Staates an einer Strafverfolgung gegen das Interesse der meldenden Person an der Vertraulichkeit der Meldung ab. Diese Möglichkeit der Weiterleitung der Meldung nach entsprechender Interessenabwägung wurde vorgesehen, damit das NCSC bei schweren Straftaten an die Strafverfolgungsbehörden gelangen kann.

Absatz 3

Über die Bestimmung von Absatz 3 wird sichergestellt, dass die meldende Person in einem gegen sie selber gerichteten Strafverfahren nicht gegen ihren Willen durch Informationen aus der Meldung belastet wird. In der Regel wird sich ein Strafverfahren gegen die Verursacher des Cybervorfalls, d.h. gegen die Angreifer, richten und nicht gegen die meldende Person. Sollte sich ein Strafverfahren ausnahmsweise gegen das Opfer eines Cyberangriffs richten, wurde eine analoge Regelung wie in Artikel 24 Absatz 6 nDSG aufgenommen. Diese Bestimmung setzt im Bereich der Meldepflicht bei Cyberangriffen den Grundsatz des Selbstbelastungszwangsverbots um (nemo tenetur). Sie ist also insbesondere für diejenigen Meldungen von Bedeutung, die in Erfüllung der Meldepflicht für Cyberangriffe erfolgen. Darüber hinaus soll dieses Privileg aber auch für freiwillige Meldungen gelten.

Absatz 4

Für die Ausnahmefälle, in denen eine Weiterleitung von Informationen an den NDB oder Strafverfolgungsbehörden gemäss Absätzen 1 und 2 in Frage kommt, muss sich das NCSC gemäss den Vorgaben von Art. 320 StGB vom Amtsgeheimnis entbinden lassen, sofern die Informationen strafrechtlich geschützte Geheimnisse sind.