Erläuternder Bericht

5 Auswirkungen

5.1 Auswirkungen auf den Bund

Das NCSC führt bereits heute eine Anlaufstelle, welche auf freiwilliger Basis Meldungen zu Cybervorfällen entgegennimmt. Es baut dabei auf die langjährige Erfahrung von MELANI auf, welche diese Aufgabe seit 2004 spezifisch für Meldungen von kritischen Infrastrukturen ausgeführt hat.

Das NCSC betreibt für die Entgegennahme von Meldungen bereits heute ein elektronisches Meldeformular. Dieses lässt sich so anpassen, dass es auch für die Entgegennahme von Meldungen in Erfüllung der Meldepflicht verwendet werden kann. Für die nötigen Abstimmungen mit anderen Stellen, welche ebenfalls Meldungen entgegennehmen (z.B. EDÖB, FINMA, ENSI) und für die Konfiguration des Meldeformulars fällt ein Initialaufwand an, der jedoch über die bestehenden Ressourcen des NCSC aufgefangen werden kann. Für den späteren Betrieb muss das NCSC jedoch sicherstellen, dass die in Erfüllung der Meldepflicht eingegangenen Meldungen korrekt erfasst, quittiert und dokumentiert werden und die Meldung zum Zweck der Frühwarnung an die richtigen Stellen weitergeleitet werden. Dieser zusätzliche Aufwand muss beim weiteren Ausbau des NCSC berücksichtigt werden.

Nach einem Cyberangriff wird das NCSC die Betreiberin der betroffenen kritischen Infrastruktur bei der Vorfallbewältigung unterstützen. Auch diese Unterstützungsleistung ist dank der langjährigen Erfahrung des NCSC (und früher von MELANI) bereits gut eingespielt. Dennoch ist zu erwarten, dass sich der Aufwand für das NCSC durch die Einführung der Meldepflicht erhöht. Erstens ist damit zu rechnen, dass mehr Meldungen eingehen und zweitens ist das NCSC neu in der Pflicht, mindestens eine erste Einschätzung und Empfehlungen zur Bewältigung des Vorfalls abzugeben. Das technische Analyseteam des NCSC (GovCERT) muss deshalb ebenfalls weiter ausgebaut werden.

Dieser Mehrbedarf ist bei den laufenden Arbeiten zum Ausbau des NCSC zu berücksichtigen. Er kann nicht vollständig losgelöst von den anderen Aufgaben des NCSC hinreichend abgeschätzt werden, weshalb das Ergebnis der aktuell noch laufenden Wirksamkeitsüberprüfung der Cyberorganisation des Bundes abgewartet wird. Der Ressourcenbedarf wird in Kenntnis des Ergebnisses dieser Vernehmlassung für die Botschaft der Änderung des ISG konkretisiert.

5.2 Auswirkungen auf Kantone und Gemeinden

Den Kantonen und Gemeinden werden mit dieser Vorlage keine neuen Aufgaben zugewiesen, sie sind aber von der Meldepflicht aus zwei Gründen betroffen. Erstens unterstehen die Kantons- und Gemeindebehörden selber gemäss Artikel 74b Buchstabe b der Meldepflicht und zweitens haben viele der meldepflichtigen Unternehmen kantonale oder kommunale Trägerschaften.

Im Gegenzug profitieren Kantone und Gemeinden aber auch von den Leistungen des NCSC, um sich besser vor Cyberrisiken schützen zu können. Bereits zum heutigen Zeitpunkt sind zahlreiche Kantone und Städte in den Informationsaustausch zwischen kritischen Infrastrukturen und dem NCSC integriert.

5.3 Auswirkungen auf die Volkswirtschaft und die Gesellschaft

Direkte Auswirkungen auf die Volkswirtschaft, die Gesellschaft und die Umwelt sind nicht zu erwarten. Von der Einführung einer Meldepflicht für Cyberangriffe werden die Volkswirtschaft und Gesellschaft indirekt profitieren, da die Verbesserung der Cybersicherheit von kritischen Infrastrukturen auch dazu dient, die Cybersicherheit in der Schweiz besser schützen zu können. Weiter trägt die Meldepflicht dazu bei, dass dank frühzeitiger Präventions- und geeigneter Abwehrmassnahmen verhindert werden kann, dass Cyberangriffe auf kritische Infrastrukturen Funktionsstörungen und -ausfälle von essentiellen Dienstleistungen verursachen, die das ordnungsgemässe Funktionieren von Wirtschaft und Staat gefährden.