Erläuternder Bericht

strukturen gezielt angegriffen werden, sei es aus politischen Motiven oder um möglichst hohe Summen zu erpressen. Unternehmen mit Tätigkeiten, die für die Versorgung mit Energie wichtig sind, werden deshalb der Meldepflicht unterstellt.

Buchstabe e: Banken, Versicherungen und Finanzmarktinfrastrukturen

Die Unternehmen des Finanzsektors sind stark betroffen von Cyberangriffen, da sie auf Grund der hohen finanziellen Mittel, welche sie verwalten, ein attraktives Ziel für Kriminelle darstellen. Für die Verlässlichkeit des Finanzplatzes Schweiz ist es wichtig, dass solche Angriffe gemeldet werden. Die bereits bestehende Meldepflicht für Cyberangriffe gegenüber der Finanzmarktaufsicht FINMA bleibt parallel dazu bestehen. Die FINMA und das NCSC werden sich so abgleichen, dass der Aufwand für die Meldepflichtigen so gering wie möglich ausfällt.

Buchstabe f: Digitale Dienste

Als Anbieterinnen digitaler Dienste gelten jene Unternehmen, welche im Internet Dienste anbieten, die in der Schweiz von einer grossen Zahl von Nutzenden beansprucht werden, eine hohe Bedeutung für die digitale Wirtschaft haben oder Sicherheits- und Vertrauensdienste beinhalten. Dies sind insbesondere Anbieterinnen von Online-Marktplätzen von bedeutender Grösse, Cloudcomputing und Suchmaschinen. Die Aufzählung ist nicht abschliessend. Als «weitere digitale Dienste» fallen insbesondere Dienstleistungen in den Bereichen Identitätsmanagement, Signaturen oder E-Voting in Betracht. Ferner werden auch Registrare von Domain-namen und Betreiberinnen von Rechenzentren erwähnt. Auf Verordnungsstufe werden Kriterien wie die Anzahl Nutzende, Anzahl Mitarbeitende, Umsatz oder Art der Tätigkeiten festgelegt, um zu konkretisieren, welche digitalen Dienste der Meldepflicht unterstehen.

Buchstabe g: Spitäler

Die Kantone führen Spitallisten. Die dort aufgeführten kantonalen und ausserkantonalen Spitäler gewährleisten die Deckung des Bedarfs an medizinischer Grundversorgung auf dem jeweiligen Kantonsgebiet. Die Meldepflicht für Cyberangriffe soll für diese Spitäler gelten, weil es zu verhindern gilt, dass die Grundversorgung durch solche Angriffe beeinträchtigt wird.

Buchstabe h: medizinische Laboratorien

Laboratorien, die mikrobiologische Untersuchungen zur Erkennung von übertragbaren Krankheiten durchführen, sind für die Gesundheitsversorgung wichtig. Bei ihren Analysen und in der Zusammenarbeit mit den Grundversorgern sind sie in grossem Ausmass von funktionierenden IT-Infrastrukturen abhängig. Cyberangriffe auf solche Laboratorien sollen deshalb meldepflichtig sein.

Buchstabe i: Herstellung, Inverkehrbringen bzw. Vertrieb sowie Einfuhr von Arznei-

mitteln und Medizinprodukten

Für die medizinische Versorgung der Bevölkerung ist die Herstellung, der Vertrieb und der Import von Arzneimittel von grosser Bedeutung. Unternehmen, welche in diesen Bereichen tätig sind, werden daher der Meldepflicht unterstellt. Zusätzlich sind auch Hersteller oder Distributoren von Medizinprodukten meldepflichtig.

Buchstabe j: Sozialversicherungen

Die Leistungen der Sozialversicherungen wurden in Anlehnung an die definierten Risiken in den Allgemeinen Bestimmungen des Bundesgesetzes über den Allgemeinen Teil des Sozialversicherungsrechts (ATSG; SR 830.1) umschrieben, um möglichst alle Zweige der Sozialversicherungen abzudecken. Es wurde auf die Aufzählung einzelner Gesetze (z.B. IVG, AHVG) verzichtet, um nicht nur gesetzliche, sondern auch überobligatorische Leistungen, beispielsweise der beruflichen Vorsorge oder der Zusatzversicherung zur obligatorischen Krankenkasse, abzudecken. Bei der beruflichen Vorsorge werden alle registrierten und nicht registrierten Vorsorge- und Freizügigkeitseinrichtungen erfasst, jedoch nicht die gebundene oder freiwillige Selbstvorsorge (Säule 3a und 3b). Diese