Erläuternder Bericht

Übersicht

In den letzten Jahren haben Cybervorfälle bei Privaten, in Unternehmen und auch bei Behörden stark zugenommen, mit teilweise gravierenden Auswirkungen. Der vorliegende Vernehmlassungsentwurf sieht die Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen vor. Dank der Meldepflicht können Cyberangriffe frühzeitig entdeckt, ihre Angriffsmuster analysiert und andere Betreiberinnen kritischer Infrastrukturen rechtzeitig gewarnt werden. Die Meldepflicht kann dadurch einen wesentlichen Beitrag zur Erhöhung der Cybersicherheit in der Schweiz leisten.

Der Bundesrat erteilte dem EFD am 11. Dezember 2020 den Auftrag, einen Vernehmlassungsentwurf mit Rechtsgrundlagen für die Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen zu erstellen.

Der nun vorliegende Vernehmlassungsentwurf sieht vor, dass die gesetzliche Grundlage für die Meldepflicht ins Informationssicherheitsgesetz (ISG), das am 18. Dezember 2020 vom Parlament verabschiedet wurde, aufgenommen werden soll. Zusätzlich zur Meldepflicht sollen im ISG auch die Aufgaben des nationalen Zentrums für Cybersicherheit (NCSC) und dessen Funktion als Meldestelle verankert werden.

Inhaltlich soll die Meldepflicht nur für Cyberangriffe gelten, die ein gewisses Schadenspotential aufweisen. Sie gilt für Betreiberinnen kritischer Infrastrukturen, worunter jene Prozesse, Systeme und Einrichtungen zu verstehen sind, die essenziell für das Funktionieren der Wirtschaft beziehungsweise das Wohlergehen der Bevölkerung sind. Die Funktion als zentrale Meldestelle übernimmt das NCSC, das auch freiwillige Meldungen zu Cybervorfällen und Schwachstellen in Informatikmitteln entgegennimmt.