Erläuternder Bericht

Erläuternder Bericht

1 Ausgangslage

1.1 Handlungsbedarf und Ziele

In seinem Bericht vom 13. Dezember 2019 zum Postulat «Meldepflicht von schwerwiegenden Sicherheitsvorfällen bei kritischen Infrastrukturen» stellte der Bundesrat fest, dass es in der Schweiz keine Meldepflicht für Cybervorfälle bei kritischen Infrastrukturen gibt1 und erteilte dem Nationalen Zentrum für Cybersicherheit (NCSC) den Auftrag, die Einführung einer Pflicht zur Meldung von Cybervorfällen zu prüfen.

Dieser Prüfauftrag war breit abgestützt, etwa durch die Strategien zum Schutz kritischer Infrastrukturen (SKI-Strategie 2018–2022, Massnahme 2) und zum Schutz der Schweiz vor Cyberrisiken (NCS 2018–2022, Massnahme 9) sowie den Expertenbericht zur Zukunft der Datenbearbeitung und Datensicherheit2. In den parlamentarischen Debatten zur Totalrevision des Bevölkerungs- und Zivilschutzgesetzes (BZG, Debatte des Nationalrats vom 14.6.2019) und zum Erlass des Informationssicherheitsgesetzes (ISG, Debatte des Nationalrats vom 04.06.2020) wurde die Frage der Meldepflicht ebenfalls aufgegriffen. Nach einer vertieften Abklärung möglicher rechtlicher Grundlagen und insbesondere zur bundesstaatlichen Zuständigkeit3 erteilte der Bundesrat dem EFD am 11. Dezember 2020 den Auftrag, bis Ende 2021 eine Vernehmlassungsvorlage für die Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen auszuarbeiten.

In dieser Vorlage war zu klären, wer welche Art von Angriffen wann wem melden muss. Bei der Klärung dieser Fragen wurde deutlich, dass das 2019 geschaffene Nationale Zentrum für Cybersicherheit (NCSC) – welches in der Vorlage als zentrale Meldestelle für Cyberangriffe vorgesehen ist

– nicht über die nötigen gesetzlichen Grundlagen verfügt, um seine Aufgaben als Kompetenzzentrum des Bundes für Cybersicherheit gemäss den Forderungen des Parlaments4 wahrzunehmen. Mit der Vorlage zur Einführung der Meldepflicht sollen deshalb auch die Aufgaben und Kompetenzen des NCSC auf Gesetzesstufe geregelt werden.

1.2 Geprüfte Alternativen und gewählte Lösung

1.2.1 Ausbau des freiwilligen Informationsaustausches

In der Schweiz ist der Informationsaustausch zwischen kritischen Infrastrukturen und dem Bund gut etabliert. Kritische Infrastrukturen tauschen sich seit 2004 mit der damaligen Melde- und Analysestelle für Informationssicherheit (MELANI) und heute mit dem NCSC aus. Dieses Modell stösst jedoch zunehmend an Grenzen. Damit ein freiwilliger Austausch funktioniert, braucht es ein gut etabliertes Vertrauensverhältnis zwischen allen Beteiligten. Ein solches lässt sich aufbauen, wenn die Anzahl der Beteiligten überschaubar ist und die Möglichkeit besteht, sich regelmässig direkt auszutauschen. In der heutigen Lage, bei der Cyberangriffe zu einer Bedrohung für eine Vielzahl von Unternehmen in den kritischen Sektoren geworden sind, kann nicht mehr gewährleistet werden, dass zu allen relevanten Akteuren eine ausreichende Vertrauensbasis hergestellt werden kann. In