Erläuternder Bericht

Absatz 2

Die Formulierung in Absatz 2 übernimmt im Wesentlichen den alten Absatz 3, wurde aber von passiv auf aktiv geändert, wodurch deutlicher wird, dass die Datenbearbeitung vom NCSC vorgenommen wird. Zusätzlich wurden die Voraussetzungen konkretisiert, die vorliegen müssen, wenn die betroffene Person über die Datenbearbeitung nicht informiert wird.

Absatz 3

In Absatz 3 wurde inhaltlich präzisiert, dass die vom Missbrauch von Adressierungselementen betroffene Person über diesen Umstand zu informieren ist.

Artikel 76 Zusammenarbeit im Inland

Dieser Artikel bildet die gesetzliche Grundlage für den Informationsaustausch zwischen dem NCSC und den Betreiberinnen von kritischen Infrastrukturen (Absatz 1 und 2) sowie zwischen dem NCSC und den Fernmeldedienstanbieterinnen (Absatz 3 und 4).

Es wurden auch formelle Anpassungen vorgenommen. So wurde beispielsweise in jedem Absatz präzisiert, dass die Zusammenarbeit unter dem Vorbehalt steht, dass sie zum Schutz von kritischen Infrastrukturen vor Cyberrisiken erforderlich ist.

Absatz 1 und 2

Der in Absatz 1 geregelte Informationsaustausch zwischen dem NCSC und den Betreiberinnen von kritischen Infrastrukturen ist nicht auf die meldepflichtigen kritischen Infrastrukturen beschränkt, sondern richtet sich an alle interessierten kritischen Infrastrukturen mit Sitz in der Schweiz.

Absatz 3 und 4

Der Informationsaustausch zwischen dem NCSC und den Fernmeldedienstanbieterinnen wurde in Absatz 3 und 4 explizit geregelt, da zwar die meisten, aber wohl nicht alle Fernmeldedienstanbieterinnen als kritische Infrastrukturen gelten.

Artikel 76a Unterstützung für Behörden

Diese Bestimmung wurde neu eingefügt. Sie regelt, welche Informationen das NCSC anderen Behörden in welchem Umfang und zu welchem Zweck zur Verfügung stellt. Sie bestimmt insbesondere den Inhalt und Umfang sowie die Art und Weise des Informationsaustausches des NCSC mit dem NDB, den Strafverfolgungsbehörden und den kantonalen Stellen, die für Cybersicherheit zuständig sind (Absätze 2 bis 4). Ein wichtiger Aspekt bei der Zusammenarbeit des NCSC mit diesen Behörden ist der Austausch von Informationen über die Angreifer selber und über deren Methoden und Taktiken.

Absatz 1

Im ersten Absatz dieser Bestimmung wird im Gegensatz zu den nachfolgenden Absätzen nicht der gegenseitige Informationsaustausch geregelt, sondern der Grundsatz statuiert, dass das NCSC dem NDB bei seinen Aufgaben durch spezifische Auswertungen zu Anzahl, Art und Ausmass von Cyberangriffen sowie technischen Analysen von Cyberrisiken behilflich ist. Diese «Lagebilder» enthalten keine konkreten, fallspezifischen Personendaten oder Informationen, sondern beschränken sich auf statistische und technische Auswertungen, die für die Beurteilung der Bedrohungslage und die Frühwarnung notwendig sind. Der NDB ist gestützt auf Artikel 6 Absatz 2 NDG zuständig für die Beurteilung der Bedrohungslage. Über die Meldestelle und die Meldepflicht verfügt das NCSC über eine wichtige Informationsquelle zur Bedrohungslage durch Cybervorfälle. Es muss dem NDB deshalb Informationen übermitteln können zur Anzahl, Art und Ausmass der Cyberangriffe. Zudem muss es den NDB mit technischen Analysen zu Angriffen unterstützen und diesem Erkenntnisse aus solchen Analysen weiterleiten können.