Erläuternder Bericht

Buchstabe p: Unternehmen der Zivilluftfahrt

Die Bestimmung unterstellt alle Unternehmen mit einer Bewilligung des Bundesamts für Zivilluftfahrt der Meldepflicht für Cyberangriffe.

Buchstabe q: Rheinschifffahrt

Die Schweizerischen Rheinhäfen bilden den Zugang der Schweiz zu den Weltmeeren und für die Versorgung der Schweiz mit Gütern aller Art von grosser Bedeutung. Die Meldepflicht für Cyberangriffe gilt deshalb für die Schifffahrt auf dem Rhein zur Güterbeförderung nach dem Seeschifffahrtsgesetz vom 23. September 1953³⁴ und für die für den Betrieb und die Funktion vom Hafen Basel relevanten Prozesse.

Buchstabe r: Unentbehrliche Güter des täglichen Bedarfs

In die Versorgung der Bevölkerung mit unentbehrlichen Gütern des täglichen Bedarfs, insbesondere Lebensmittel, ist eine Vielzahl von Akteuren eingebunden. Neben den Produzenten und Importeuren spielen auch die Verarbeiter, die Verteilzentren und die Detailhändler eine bedeutende Rolle. Nicht alle dieser Akteure sind gleichbedeutend für die Versorgungssicherheit der Schweiz. Die Meldepflicht für Cyberangriffe soll nur für jene Akteure gelten, welche in dieser Hinsicht eine wichtige Bedeutung haben. Der Bundesrat wird daher die Meldepflicht im Bereich der Versorgung mit unentbehrlichen Gütern des täglichen Bedarfs gemäss den Kriterien von Art. 74c auf Verordnungsebene einschränken.

Buchstabe s: Hersteller von Hard- und Software

Vermehrt wird festgestellt, dass kritische Infrastrukturen über die Hersteller von Hard- und Software angegriffen werden. Die Cyberangreifer manipulieren dabei die Hard- und Software bereits vor der Auslieferung an die Endkunden, damit sie später Zugriff auf die Systeme erhalten. Für die Cybersicherheit sind deshalb die Hersteller von Hard- und Software von grosser Bedeutung.

Besonders relevant sind Cyberangriffe auf Hersteller von Software, wenn diese über Fernwartungszugänge verfügen. Angreifer können versuchen, über solche legitimen Zugänge direkt in die Systeme der kritischen Infrastrukturen einzudringen. Neben dem Kriterium des Fernwartungszugangs sind Hersteller von Hard- und Software dann meldepflichtig, wenn ihre Produkte in besonders heiklen Bereichen zum Einsatz kommen. Dies betrifft Hard- und Software zur Steuerung und Überwachung von Systemen (Industrial Control Systems) (Ziff. 1) sowie zum Betrieb von Medizintechnik und Fernmeldeanlagen (Ziff. 2). Der Fokus liegt sodann auch auf Hard- und Software, welche zur Gewährleistung der öffentlichen Sicherheit eingesetzt wird (Ziff. 3). Zu denken ist hier insbesondere an die Kommunikation von Blaulichtorganisationen oder die Systeme für die polizeiliche Ermittlung. Zudem sollen die Hersteller von Hard- und Software mit besonders heiklen Funktionen (IT-Sicherheit, Verschlüsselung, Identifikation, Zugriffs- und Zutrittsberechtigung) (Ziff. 4) der Meldepflicht unterstellt werden, da eine Manipulation solcher Produkte, die gerade beim erhöhtem Schutzbedarf eingesetzt werden, in jedem Fall heikel ist.

Artikel 74c Ausnahmen von der Meldepflicht

Der Adressatenkreis der Meldepflicht nach Art. 74b ist breit gefasst und kann auch Unternehmen umfassen, welche für sich alleine betrachtet nicht von essentieller Bedeutung für das Funktionieren der Wirtschaft beziehungsweise das Wohlergehen der Bevölkerung sind, obschon sie in einem kritischen Teilsektor tätig sind. Art. 74c legt daher fest, dass der Bundesrat den Adressatenkreis weiter einschränkt. Er verwendet dazu die aufgelisteten Kriterien. Ein Ausschluss von der Meldepflicht wird vorgenommen, wenn ein Unternehmen oder Kategorien von Unternehmen nur eine geringe Risikoexposition gegenüber Cyberangriffen haben, weil ein solcher als unwahrscheinlich beurteilt werden kann oder die Unternehmen in ihrem Betrieb nur in geringem Ausmass von Informatikmittel abhängen (Buchstabe a). Ein Ausschluss kann auch erfolgen, wenn ein Ausfall oder eine Störung