Erläuternder Bericht

tungspflichten entbunden. Der zweite Satz bildet die gesetzliche Grundlage dafür, dass die Betreiberin dem NCSC den Zugriff auf ihre Informationen und Informatikmittel erlauben kann, ohne ihre gesetzlichen und vertraglichen Geheimhaltungspflichten zu verletzen.

2. Abschnitt: Pflicht zur Meldung von Cyberangriffen auf kritische Infrastrukturen

Artikel 74a Meldepflicht

In diesem Artikel wird die Meldepflicht in den Grundzügen definiert. Es wird festgehalten, dass Betreiberinnen kritischer Infrastrukturen im Falle von Cyberangriffen der Meldepflicht unterstellt sind und dass sie die Meldung des Cyberangriffs nach dessen Entdeckung so rasch wie möglich dem NCSC zu erstatten haben. Es ist für die Frühwarnung und die Prävention entscheidend, dass Angriffe unmittelbar nach deren Entdeckung gemeldet werden. In Artikel 74e wird präzisiert, dass die Anforderung der Unverzüglichkeit nicht für die gesamten verlangten Angaben gilt, sondern nur für die Erstmeldung auf der Basis der zu diesem Zeitpunkt verfügbaren Informationen.

Artikel 74b Bereiche

Die Definition kritischer Infrastrukturen nach Artikel 5 ist breit gefasst. Sie ist nicht eindeutig genug, um zu bestimmen, welche Unternehmen oder Organisationen als kritische Infrastruktur gelten und darum unter die Meldepflicht fallen. Art. 74b listet deshalb konkret auf, für welche Unternehmen und Organisationen die Meldepflicht gelten soll. Grundlage für die Auflistung sind die in der Nationalen Strategie zum Schutz kritischer Infrastrukturen aufgeführten kritischen Teilsektoren. Der Geltungsbereich der Meldepflicht wird für diese Bereiche, soweit möglich, mit Verweisen auf bestehende rechtliche Grundlagen bestimmt. In Bereichen, in welchen kein solcher Verweis möglich ist – da keine rechtlichen Grundlagen bestehen, die für eine solche Eingrenzung geeignet sind – wird der betreffende Bereich möglichst genau bezeichnet. Dieses Vorgehen stellt sicher, dass ausreichende Klarheit darüber besteht, wer der Meldepflicht unterstellt ist.

Buchstabe a: Hochschulen

Hochschulen sind für den Bildungs- und Wirtschaftsstandort Schweiz von grosser Bedeutung. Insbesondere ihre Forschung ist ein Treiber der Innovation. Dadurch sind Hochschulen aber auch ein attraktives Ziel für Cyberangriffe. Der Meldepflicht unterstellt sind die kantonalen Universitäten, die Eidgenössischen Technischen Hochschulen, die Fachhochschulen und die pädagogischen Hochschulen.

Buchstabe b: Behörden

Cyberangriffe auf Behörden aller föderalen Ebene sind meldepflichtig, da es wichtig ist zu wissen, wie oft und durch wen Behörden angegriffen werden. So können die Abwehrdispositive jeweils auf die relevanten Bedrohungen ausgerichtet werden. Die Meldepflicht gilt dabei nur für das hoheitliche Handeln dieser Behörden und Organisationen.

Buchstabe c: Organisationen mit öffentlich-rechtlichen Aufgaben

Organisationen, welche öffentlich-rechtliche Aufgaben in bestimmten Bereichen wahrnehmen, sind der Meldepflicht unterstellt. Buchstabe c zählt auf, welche Tätigkeiten damit konkret gemeint sind. Im Bereich Sicherheit und Rettung liegt der Fokus auf den Blaulichtorganisationen (Polizei, Feuerwehr, Sanität- und Rettungsdienste). Daneben sind auch Organisationen der Trinkwasserversorgung, der Abwasseraufbereitung und der Abfallentsorgung meldepflichtig.

Buchstabe d: Energieversorgung, -handel, -messung und -steuerung

Die Versorgung mit Energie ist für die Wirtschaft und Gesellschaft essentiell. Verschiedene Angriffe auf die Stromversorgung oder auf Pipelines in anderen Staaten haben gezeigt, dass diese Infra-