Erläuternder Bericht

der Unternehmen nur geringe Auswirkungen auf die Wirtschaft oder das Wohlergehen der Bevölkerung haben. Messbar sind solche Auswirkungen an der Anzahl der betroffenen Personen, der Substituierbarkeit der Dienstleistung oder dem volkswirtschaftlichen Schadenspotential (Buchstabe b).

Artikel 74d Zu meldende Cyberangriffe

Absatz 1

Der Umfang der Meldepflicht, d.h. welche Art von Cyberangriffen zu melden sind, ist auf Gesetzesebene zu verankern. In Absatz 1 enthalten die Buchstaben a bis d die entsprechenden Kriterien, um bei einem Cyberangriff auf ein erhebliches Schadenspotential oder eine hohe Relevanz für den Schutz anderer kritischer Infrastrukturen schliessen zu können. Erfüllt ein Cyberangriff eines der Kriterien, so ist er meldepflichtig. Die Kriterien sind auf Verordnungsebene bei Bedarf weiter zu präzisieren.

Absatz 2

In Absatz 2 wird statuiert, dass bei strafrechtlich relevanten Begleitumstände ein Cyberangriff immer zu melden ist. Viele Cyberkriminelle versuchen über die Androhung oder Durchführung von Angriffen Betreiberinnen kritischer Infrastrukturen oder einzelne Mitarbeitende dieser Unternehmen zu erpressen (Beispielsweise über die Verschlüsselung mittels Ransomware, der Androhung von Angriffen auf die Verfügbarkeit mittels DDoS-Attacken oder der Androhung der Veröffentlichung von kompromittierenden Informationen über Einzelpersonen). Solche Angriffe sind zu melden, damit eingeschätzt werden kann, wie stark die Bedrohung kritischer Infrastrukturen durch Cyberkriminelle ist.

Artikel 74e Inhalt der Meldung

Die wesentlichen Angaben, die für die Erfüllung der Meldepflicht notwendig sind, werden in Absatz 1 gesetzlich verankert. Der konkrete Inhalt der einzelnen Angaben wird in den Ausführungsbestimmungen präzisiert werden.

Absatz 2 präzisiert die Unverzüglichkeit der Meldungserstattung («so rasch als möglich») gemäss Artikel 74a dahingehend, dass sich diese nur auf die bereits bekannten Informationen bezieht. Bei Cyberangriffen ist sehr oft längere Zeit unklar, wie gravierend der Angriff ist und was genau passiert ist. Wenn diese Informationen zum Zeitpunkt der Meldung nur unvollständig vorliegen, sollen die Betroffenen daher die Möglichkeit haben, die gemäss Absatz 1 verlangten Angaben erst dann zu übermitteln, wenn sie über einen ausreichenden Kenntnisstand dazu verfügen.

Artikel 74f Übermittlung der Meldung

Absatz 1

Damit die Meldepflicht mit möglichst geringem Aufwand erfüllt werden kann, wird das NCSC verpflichtet, ein sicheres elektronisches Meldeformular zur Verfügung zu stellen. Das Meldeformular wird im Gesetzestext angesichts der technologischen Entwicklung generisch mit «System zur Übermittlung der Meldung» umschrieben. Abgesehen von diesem Meldeformular bleibt es jedoch in jedem Fall zulässig, das NCSC auf andere Weise (Mail, telefonisch) über den Cyberangriff in Kenntnis zu setzen.

Absatz 2

Das Meldesystem bietet den Meldenden die Möglichkeit, die Meldung des Cyberangriffs oder seiner Auswirkungen (z.B. auf die Datensicherheit oder auf die Funktionsfähigkeit der kritischen Infrastruktur) als Ganzes oder Teile davon an weitere Stellen und Behörden zu übermitteln. Für diese Übermittlung via Meldesystem des NCSC an weitere Stellen und Behörden wird diesen gegenüber keine gesetzliche Meldepflicht vorausgesetzt; sie steht auch für freiwillige Meldungen an Drittstellen offen. Wichtig ist dabei, dass die Übermittlung der Meldung nur von der Betreiberin der betroffenen kritischen Infrastruktur übermittelt werden kann. Sie alleine bestimmt, welche Stelle oder Behörde –