Erläuternder Bericht

ausser dem NCSC – die Meldung des Cyberangriffes oder seiner Auswirkungen erhalten soll. Das NCSC leitet keine Meldungen an andere Stellen und Behörden weiter. Vorbehalten sind die Ausnahmefälle in Artikel 73c Absatz 1 und 2.

Absatz 3

Das NCSC kann das Meldesystem – auf Wunsch und in Zusammenarbeit mit weiteren Meldestellen

– so ausgestalten, dass die meldepflichtige Betreiberin einer kritischen Infrastruktur allfällige zusätzliche Angaben erfassen kann, die für die Meldung an das NCSC nicht notwendig sind, um diese an eine oder mehrere weitere Meldestellen zu übermitteln. Diese Funktion soll dazu dienen, den Aufwand der Meldenden möglichst gering zu halten. Sie hilft ihnen, insbesondere bei Zusammentreffen von mehreren Meldepflichten, die entsprechenden Stellen und Behörden möglichst rasch, zeitnah und ohne grossen Aufwand informieren zu können. Diese zusätzlichen Informationen, die die Meldenden für andere Stellen und Behörden im Meldesystem des NCSC erfassen, werden von diesem nur übermittelt, ohne diese zu speichern. Das NCSC selber hat keine Zugriffsmöglichkeit auf diese Informationen.

Artikel 74g Auskunftspflicht

Die Auskunftspflicht ist auf Informationen beschränkt, die benötigt werden, um das Angriffsmuster und die Angriffsmethode eines gemeldeten Cyberangriffs identifizieren (Frühwarnung) und damit Auswirkungen des Cyberangriffs auf andere kritische Infrastrukturen verhindern zu können.

Artikel 74h Verletzung der Melde- oder Auskunftspflicht

Absatz 1

Im Falle einer Verletzung der Melde- oder Auskunftspflicht macht das NCSC in einem ersten Schritt die Betreiberin der kritischen Infrastruktur auf die Pflichtverletzung aufmerksam. Diese hat somit nochmals Gelegenheit, ihren Pflichten nachzukommen. Sollten dazu Missverständnisse vorliegen, dann können diese geklärt werden. Das NCSC ist zu dieser ersten Kontaktaufnahme verpflichtet. Sie ist eine Voraussetzung für den Erlass einer Verfügung nach Absatz 2.

Absatz 2

In einem zweiten Schritt, d.h. wenn die Betreiberin trotz offensichtlicher Pflichtverletzung nichts unternimmt, erlässt das NCSC eine Verfügung mit Bussandrohung. Das NCSC konkretisiert die verletzten Pflichten in der Verfügung soweit, dass für die Betreiberin der kritischen Infrastruktur kein Zweifel besteht, was sie zu tun oder zu lassen hat. Dies erleichtert auch die Arbeit der Strafverfolgungsbehörden, die im Falle der Missachtung dieser Verfügung auf Anzeige des NCSC hin den Sachverhalt ermitteln und ein Urteil bzw. einen Strafbefehl erlassen müssen (vgl. Artikel 74i).

Artikel 74i Widerhandlungen gegen Verfügungen des NCSC

Dieser Artikel übernimmt weitgehend die Regelung, die in Artikel 63 ff. nDSG im Falle der Missachtung von Verfügungen des Beauftragten durch Geschäftsbetriebe vorgesehen wird. Wie in der Botschaft zum revidierten Datenschutzgesetz³⁵ ausgeführt wurde, gilt auch hier, dass sich diejenige Person strafbar macht, die innerhalb der kritischen Infrastruktur hätte dafür sorgen müssen, dass der Verfügung des NCSC Folge geleistet wird (vgl. Artikel 29 StGB³⁶). Die verletzte Pflicht, die dem Unternehmen obliegt, wird der natürlichen Person zugerechnet. Der Verweis auf Artikel 6 des Bundesgesetzes vom 22. März 1974³⁷ über das Verwaltungsstrafrecht adressiert eine strafrechtliche Verantwortung an die Leitungsebene von Unternehmen, also an Führungspersonen, die Entscheidungs- und Weisungsbefugnisse haben. Dies ermöglicht eine sachgerechte Zuweisung der strafrechtlichen Verantwortung bei kritischen Infrastrukturen.