Erläuternder Bericht

Anhang 1 (Artikel 89 Änderung anderer Erlasse)

Die Auflistung der Änderungen anderer Erlasse gemäss Artikel 89 in Anhang 1 wird wie folgt ergänzt.

Bundesgesetz vom 23. März 2007 über die Stromversorgung38

Der Schutz vor Cyberrisiken, der neu in Artikel 8a des Stromversorgungsgesetzes explizit verankert werden soll, dient der Versorgungssicherheit. Die zu treffenden Massnahmen gemäss Absatz 1 sollen Cybervorfälle und damit insbesondere Funktionsstörungen der entsprechenden Anlagen verhindern respektive möglichst rasch beheben. Die Pflicht trifft neben den Netzbetreibern, die direkt via Steuertechnologie Einfluss auf den Netzbetrieb ausüben, auch die Erzeuger (bspw. Betreiber von Wind- oder Wasserkraftanlagen) und die Speicherbetreiber, zumal diese über die Ein- und Ausspeisung massgeblichen Einfluss auf die Versorgungssicherheit ausüben können. Bei der Frage, welcher Schutz als angemessen gilt, kommt es auf den Einfluss des entsprechenden Akteurs auf die Versorgungssicherheit an (bspw. Netzebene, Leistung, Anzahl betroffener Endverbraucher).

Der Bundesrat wird auf Verordnungsebene entsprechende Vorgaben, insbesondere zum Schutzniveau und der Auditierung festlegen. Dabei kann er sich an einschlägigen Fachnormen orientieren (bspw. am Handbuch des VSE Grundschutz für «Operational Technology» in der Stromversorgung, Ausgabe Juli 2018, zurzeit in Überarbeitung), welche er auch für verbindlich erklären kann. Für kleinere Akteure sind entsprechende Ausnahmen oder Erleichterungen vorzusehen.

Als weitere Beteiligte im Sinne von Absatz 2 kommen mit Blick auf den Zweck der Bestimmung lediglich Akteure in Frage, die einen massgebenden Einfluss auf die Versorgungssicherheit ausüben, namentlich entsprechend grosse Dienstleister im Elektrizitätssektor, beispielsweise in den Bereichen Handel, Messung, Steuerung, Flexibilität, Datenbearbeitung oder Elektromobilität.

Änderung des Datenschutzgesetzes vom 25. September 202039

Damit der EDÖB bei der Analyse einer eingetretenen Verletzung der Datensicherheit, die der Verantwortliche ihm gestützt auf Artikel 24 nDSG und Artikel 19 E-VDSG gemeldet hat, die technischen Fachspezialistinnen und Fachspezialisten des NCSC miteinbeziehen kann, wird in Artikel 24 Absatz 5^bis nDSG vorgesehen, dass der EDÖB die Meldung einer Verletzung der Datensicherheit an das NCSC weiterleiten kann.

Die Weiterleitung kann jegliche Angaben gemäss Artikel 19 Absatz 1 E-VDSG enthalten, muss sich aber gleichzeitig auf die für das NCSC für die Analyse des Vorfalls notwendigen Daten beschränken. Dabei kann die Mitteilung des EDÖB an das NCSC auch Personendaten enthalten, einschliesslich besonders schützenswerter Personendaten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen des meldepflichtigen Verantwortlichen. Die für die Analyse eines Vorfalls notwendigen Informationen werden im Einzelfall selektiert, jedoch können unter Umständen damit auch indirekt Informationen über ein laufendes Verfahren an das NCSC gelangen. Daher ist eine gesetzliche Grundlage für die Bekanntgabe von besonders schützenswerten Personendaten zu schaffen.

Vorausgesetzt ist, dass der Verantwortliche, der zur Meldung an den EDÖB verpflichtet ist, vorgängig sein Einverständnis zur Weiterleitung gegeben hat. Ausserdem darf die Weiterleitung nicht dazu führen, dass Artikel 24 Absatz 6 revDSG umgangen wird, wonach die Meldung nur mit Einverständnis der meldepflichtigen Person im Rahmen eines Strafverfahrens verwendet werden darf. Der neue Absatz 5^bis in Artikel 24 nDSG ermöglicht dem EDÖB keine systematische Weiterleitung von Meldungen an das NCSC. Vielmehr darf der EDÖB von dieser Möglichkeit nur in Einzelfällen, wo das technische Fachwissen des NCSC für die Abklärung eines Vorfalls erforderlich ist, Gebrauch machen.