Erläuternder Bericht

Absatz 1

Die Obergrenze der Busse wurde auf 100'000 Franken angesetzt, um der Bedeutung von kritischen Infrastrukturen für das ordnungsgemässe Funktionieren von Wirtschaft und Staat gebührend Rechnung zu tragen und deren Verantwortung für die Gewährleistung ihrer Cybersicherheit zu verdeutlichen. Der Höchstbetrag der Busse rechtfertigt sich auch dadurch, dass die Busse erst als ultima ratio nach einer Kaskade von Massnahmen zum Zug kommt. Angesichts der heterogenen Niveaus von Cybersicherheit in den einzelnen Sektoren und der zusätzlichen Anforderungen durch die neu eingeführte Meldepflicht für Cyberangriffe wurde bewusst darauf verzichtet, die Bussobergrenze des revidierten Datenschutzgesetzes von 250'000 Franken zu übernehmen. Eine Bussandrohung von 100'000 Franken sollte ausreichen, um die Verantwortlichen der kritischen Infrastrukturen zu pflichtkonformem Verhalten zu bewegen.

Absatz 2 und 3

Bei der Bussauferlegung an Geschäftsbetriebe wurde die Regelung des revidierten Datenschutzgesetzes sinngemäss übernommen (Art. 64 nDSG). Bis zu einem Betrag von 20'000 Franken kann die Busse somit direkt der kritischen Infrastruktur anstelle der verantwortlichen natürlichen Person auferlegt werden, um aufwändige Ermittlungen zu vermeiden. Angesichts des Höchstbetrages von 100'000 Franken wurde der Betrag für diese «Bagatellfälle» auf 20'000 Franken angesetzt, um die kritischen Infrastrukturen als solche in die Pflicht zu nehmen und auf weitere Untersuchungen betreffend die Verantwortlichen zu verzichten. Wenn man bedenkt, dass die Meldepflicht auf die bedeutendsten kritischen Infrastrukturen fokussiert, die vielfach auch einen entsprechenden Marktanteil beanspruchen, gibt es kaum Argumente, um den Höchstbetrag von 20'000 Franken tiefer anzusetzen.

Absatz 4

Aus Transparenzgründen wird in Absatz 4 – analog zu Art. 65 nDSG – auf die Zuständigkeit der kantonalen Strafverfolgungsbehörden hingewiesen, sollte einer Verfügung des NCSC keine Folge geleistet werden. Es wurde darauf verzichtet, das Anzeigerecht des NCSC zu erwähnen, da sich dieser Umstand aus dem Kontext ergibt.

3. Abschnitt: Datenschutz und Informationsaustausch

Die Artikel 75 bis 79, die neu unter dem 3. Abschnitt zusammengefasst werden, mussten sowohl sprachlich wie auch inhaltlich angepasst werden, um der gesetzlichen Verankerung der Aufgaben des NCSC zu entsprechen. Das NCSC löst mit seiner Meldestelle die gemeinsam durch das damalige Informatiksteuerungsorgan des Bundes (ISB) und den NDB betriebene MELANI ab. Da der NDB einen gesetzlichen Auftrag zur Beurteilung der Bedrohungslage und zur Frühwarnung von Betreiberinnen kritischer Infrastrukturen hat, muss die Zusammenarbeit des NCSC mit dem NDB und die Weitergabe von Informationen und Daten soweit notwendig im ISG geregelt werden.

Artikel 75 Bearbeitung von Personendaten

Absatz 1

Anstelle der generischen Umschreibung der zuständigen Bundesstellen wurde das NCSC eingefügt und verdeutlicht, dass das NCSC nicht nur Personendaten, sondern im Zusammenhang mit Adressierungselementen auch besonders schützenswerte Personendaten bearbeiten darf. Als Adressierungselement gilt gemäss Artikel 3 Buchstabe f FMG eine «Abfolge von Ziffern, Buchstaben oder Zeichen oder andere Informationen zur Identifikation von Personen, Computerprozessen, Maschinen, Geräten oder Fernmeldeanlagen, die an einem fernmeldetechnischen Kommunikationsvorgang beteiligt sind». In Buchstabe a der Begriff «Cybersicherheit» eingefügt.