Erläuternder Bericht

Artikel 74 Unterstützung für Betreiberinnen von kritischen Infrastrukturen

Ergänzend zu den allgemeinen Aufgaben in Artikel 73a und der Bearbeitung von Meldungen zu Cybervorfällen und Schwachstellen gemäss Artikel 73b erbringt das NCSC für Betreiberinnen von kritischen Infrastrukturen weitergehende Leistungen beim Schutz vor Cyberrisiken (Absatz 1). Dabei ist zu beachten, dass die Definition für kritische Infrastrukturen gemäss Artikel 5 ISG sehr weit gefasst ist und daher eine gewisse Unschärfe besteht, wann eine Organisation als kritische Infrastruktur gilt und wann nicht. Das NCSC orientiert sich dabei an den in der Strategie zum Schutz kritischer

25

Infrastrukturen (SKI) aufgelisteten Sektoren und Teilsektoren.

Absatz 2

Das NCSC stellt den Betreiberinnen kritischer Infrastrukturen zu diesem Zweck Hilfsmittel zur Verfügung. Die wichtigsten davon werden in diesem Absatz beispielhaft aufgelistet. Es handelt sich um eine nicht abschliessende Aufzählung.

Buchstabe a

Der gegenseitige Informationsaustausch ist ein sehr wichtiges Mittel zum Schutz vor Cyberrisiken. Die hohe Dynamik bei der Entwicklung der Bedrohungslage und die Notwendigkeit von möglichen Schutzmassnahmen bedingen, dass die Verantwortlichen stets über den aktuellsten Wissensstand verfügen. Dieser lässt sich am effizientesten im Austausch mit anderen Verantwortlichen erreichen. Das NCSC bietet in Fortführung der bewährten Zusammenarbeit über MELANI den Betreiberinnen kritischer Infrastrukturen eine Plattform für diesen Informationsaustausch.

Buchstabe b

Informationen zu aktuellen Cyberrisiken und Schwachstellen sowie Empfehlungen für präventive Massnahmen beschränken sich auf Inhalte, die für kritische Infrastrukturen allgemein nützlich sein können. Es wird keine unternehmensspezifische Beratung durchgeführt.

Buchstabe c

Hilfsmittel und Anleitungen für die Früherkennung werden teilweise so konzipiert, dass sie allgemein für alle kritischen Infrastrukturen hilfreich sind. Sie können aber auch spezifisch für gewisse Gruppen von kritischen Infrastrukturen oder für bestimmte Tätigkeitsbereiche zugeschnitten sein. Sie ersetzen nicht die Schutzdispositive einzelner Unternehmen, sondern müssen in diese eingebunden werden.

Absatz 3

Bei Cybervorfällen unterstützt das NCSC die Betreiberinnen kritischer Infrastrukturen mit technischer Beratung. Die technische Unterstützung durch das NCSC erfolgt subsidiär zu den IT-Leistungen, die auf dem Markt erhältlich sind, sofern es sich um private Betreiberinnen handelt. Entscheidend ist dabei die Trägerschaft, nicht die Rechtsform. Es gilt ferner für alle Betreiberinnen, dass die Unterstützung durch das NCSC nur dann erfolgt, wenn sie zeitkritisch ist und ein erheblicher Schaden droht.

Absatz 4

Bei Cybervorfällen, insbesondere in Form von Cyberangriffen, soll das NCSC die Möglichkeit haben, zur Vorfallbewältigung oder zur Schadensbegrenzung auf die Systeme der betroffenen kritischen Infrastruktur zuzugreifen Dies natürlich unter dem Vorbehalt, dass die Betreiberin der kritischen Infrastruktur ihr Einverständnis erteilt. Die Betreiberin ist gegenüber dem NCSC von ihren Geheimhal-