Erläuternder Bericht

Absatz 2, 3 und 4

In den Absätzen 2 bis 4 werden Inhalt und Umfang sowie die Art und Weise des Informationsaustausches des NCSC mit dem NDB, den Strafverfolgungsbehörden und den kantonalen Cybersicherheits-Stellen geregelt. Ein wichtiger Aspekt bei der Zusammenarbeit des NCSC mit diesen Behörden ist, wie bereits erwähnt, der Austausch von Informationen über die Angreifer selber und über deren Methoden und Taktiken. Diese Informationen können rein technischer Natur sein (z.B. Angriffsmuster oder Hashwerte von Malware) und keine Personendaten enthalten. Es werden zwischen diesen Behörden aber auch Informationen ausgetauscht, die personenbezogen sind oder für die ein Personenbezug hergestellt werden kann. Für den Informationsaustausch in Bezug auf diese Personendaten wird hier eine Rechtsgrundlage geschaffen. Konkret handelt sich um Adressierungselemente (wie Domainname, IP-Adresse, missbräuchlich verwendete Mailadressen) oder Angaben zu Finanztransaktionen (Bankkonten, IBAN-Nummer usw.).

Die berechtigten Behörden nach Absatz 2 bis 4 können auf die genannten Informationen auch im Abrufverfahren zugreifen. Dieses Vorgehen ist aufgrund der grossen Anzahl von Cyberangriffen und damit verbundenen technischen Informationen angezeigt. Eine Weiterleitung von Meldungen an den NDB oder die Strafverfolgungsbehörden mit Informationen zu den Betroffenen erfolgt nur in Ausnahmefällen und bleibt an die Bedingungen nach Artikel 73c Absatz 1 und 2 gebunden.

Artikel 77 Internationale Zusammenarbeit

Diese Bestimmung wurde formell angepasst, indem das NCSC namentlich eingefügt wurde. Ferner wurde der Begriff «Daten» durch den Oberbegriff «Informationen» ersetzt, wo nicht spezifisch Personendaten gemäss Artikel 75 gemeint sind. Zum Umfang, Inhalt und Zweck des Informationsaustausches wurde konkretisierend eingefügt, dass er mit Stellen zulässig ist, die für die Cybersicherheit zuständig sind. Damit wurde die Formulierung «für den Schutz kritischer Infrastrukturen» durch «Cybersicherheit» ersetzt, da die erste Formulierung zu eng ist für die international bedeutenden Organisationen, die im Bereich Cybersicherheit tätig sind.

Artikel 78 Informationssystem zur Unterstützung von kritischen Infrastrukturen

Dieser Artikel wurde in Anwendung der geänderten Rechtsgrundlagen durch die Revision des DSG gestrichen. Die Zwecke der Datenbearbeitung durch das NCSC ergeben sich aus seinen Aufgaben, die in den aufgeführten Artikeln ausreichend beschrieben sind. Sie geben vor, für was die Informationssysteme des NCSC bei der Bearbeitung von Personendaten verwendet werden dürfen.

Artikel 79 Datenaufbewahrung und -archivierung

Dieser Artikel wurde nur in Bezug auf Absatz 1 leicht angepasst. Es wurde präzisiert, dass Personendaten höchstens fünf Jahre ab der letzten Verwendung aufbewahrt werden können. Der Hintergrund für diese Regelung ist, dass gewisse technische Informationen zu Cybervorfällen, wie z.B. Domainname, IP-Adresse oder missbrauchte Mailadressen, für den Abgleich von neu gemeldeten Cybervorfällen und die Analyse von Angriffsmethoden und -mustern eine zentrale Bedeutung haben. Ohne diese Vergleichsdaten kann das NCSC seine Analysen nicht oder nicht zielorientiert durchführen, die eine Grundvoraussetzung für seine Aufgabenerfüllung sind. Da diese technischen Daten aber auch personenbezogene Elemente enthalten und damit als Personendaten dem Datenschutz unterstehen, muss die Aufbewahrungsdauer klar eingegrenzt werden. Aus Gründen des Datenschutzes wurde im zweiten Teil des Satzes präzisiert, dass besonders schützenswerte Personendaten höchstens zwei Jahre ab der letzten Verwendung aufbewahrt werden.

Artikel 80 Bestimmungen des Bundesrats

Dieser Artikel wurde gestrichen. Durch die erfolgten Konkretisierungen im Gesetzestext werden die in diesem Abschnitt vorgesehenen Delegationen an den Bundesrat obsolet. Die Kompetenz, Ausführungsbestimmungen zu erlassen, kommt dem Bundesrat auch ohne Gesetzesvorbehalt zu. Ferner sind die in Buchstabe c (Verantwortung für den Datenschutz und Datensicherheit) vorgesehenen Ausführungsbestimmungen bereits durch die Artikel 33 und 8 Absatz 3 nDSG abgedeckt.