Erläuternder Bericht

der Konsequenz hat sich der Informationsaustausch über die letzten Jahre so entwickelt, dass mit einigen Unternehmen und Organisationen die etablierte Zusammenarbeit weiterhin gut funktioniert, eine Ausweitung dieses Modells aber nicht mehr realistisch ist.

Beim Meldeeingang kann dieser Fokus auf wenige Unternehmen zu einem unvollständigen oder gar verzerrten Lagebild führen. Es kann nicht festgestellt werden, welche Cyberbedrohung in der Schweiz welche Breitenwirkung entfacht. Zusätzlich führt der freiwillige Austausch auch zu falschen Anreizen. Unternehmen, welche sich nicht am Austausch beteiligen, erhalten dank der Meldung anderer Firmen trotzdem Warnungen und technische Hinweise, da das NCSC Betreiberinnen von kritischen Infrastrukturen solche wichtigen Hinweise nicht vorenthalten kann. Es besteht dadurch die Gefahr, dass es für Unternehmen einfacher ist, sich darauf zu verlassen, wichtige Meldungen ohnehin zu erhalten, statt sich aktiv am Informationsaustausch zu beteiligen.

Insgesamt ist also die Einführung einer Meldepflicht der Weiterführung des freiwilligen Informationsaustausches vorzuziehen, weil sie eine vollständigere Lageübersicht zulässt und sicherstellt, dass niemand sich der Pflicht zur gegenseitigen Frühwarnung entziehen kann. Dennoch soll die über den Informationsaustausch entwickelte Kultur der Zusammenarbeit und des gegenseitigen Vertrauens weitergeführt werden. Entscheidend dabei ist, dass den Unternehmen und Organisationen über die Einführung der Meldepflicht auch ein Mehrwert entsteht.

1.2.2 Verhältnis zu anderen Meldepflichten und Informationsaustausch unter den Behörden

Die Einführung einer Meldepflicht für Cyberangriffe tangiert bereits bestehende Meldepflichten und führt zur Frage, wie und wann die beim NCSC eingegangenen Meldungen an andere Behörden weitergeleitet werden können.

Beim Verhältnis zu bereits bestehenden Meldepflichten wurde überprüft, ob es möglich ist, die Meldepflicht für Cyberangriffe in diesen zu verankern und darauf zu verzichten, eine sektorübergreifende Meldepflicht einzuführen. Diese Variante wurde verworfen, da die Regelungen zu Sicherheitsvorfällen in den verschiedenen Sektoren uneinheitlich sind und teilweise gar keine solchen bestehen. Wenn an einer Meldepflicht für Cyberangriffe gegenüber einer zentralen Meldestelle festgehalten wird, muss jedoch geklärt werden, welche Meldungen wann bei wem erfasst werden müssen. Hier gilt, dass die Meldepflicht für Cyberangriffe die bestehenden Meldepflichten nicht ersetzt, sondern nur ergänzt. Gleichzeitig wurde darauf geachtet, dass die gesetzlichen Grundlagen eine gleichzeitige Erfüllung verschiedener Meldepflichten erlauben. Der Aufwand für die Erfüllung der verschiedenen Meldepflichten soll so möglichst geringgehalten werden. Dies gilt vor allem, aber nicht nur für das Verhältnis zur datenschutzrechtlichen Meldepflicht nach Artikel 24 des revidierten Datenschutzgesetzes (nachfolgend: nDSG)⁵, da es in der Praxis häufig der Fall ist, dass Cyberangriffe zu Datenverlusten führen. Die gewählte Lösung sieht vor, dass es den Meldenden offensteht, die Meldung des Cyberangriffs gleichzeitig mit der Übermittlung an das NCSC anderen Meldestellen weiterzuleiten, um damit anderweitige Meldepflichten zu erfüllen. Umgekehrt wird das NCSC auch Meldungen zu Cyberangriffen entgegennehmen, welche in Erfüllung einer anderweitigen Meldepflicht abgegeben wurden, sofern sie die benötigten Inhalte umfasst. Damit soll verhindert werden, dass Betroffene den gleichen Vorfall unterschiedlichen Stellen über unterschiedliche Verfahren melden müssen.

Klärungsbedürftig ist in diesem Zusammenhang auch der Informationsaustausch zwischen den Behörden. Wenn Unternehmen und Organisationen dem NCSC freiwillig oder in Erfüllung der Meldepflicht Cyberangriffe melden, müssen sie Klarheit darüber haben, was mit ihrer Meldung geschieht und wer darüber in Kenntnis gesetzt wird. Auch in dieser Hinsicht sollen die Grundsätze aus dem bisherigen Informationsaustausch beibehalten werden. Eine Weiterleitung von Meldungen oder Teilen davon erfolgt nur mit Einverständnis der Betreiberin der betroffenen kritischen Infrastruktur oder anonymisiert.

Die Weitergabe von Informationen, die Rückschlüsse auf die Meldenden oder Betroffenen erlauben, soll dem NCSC jedoch in zwei Fällen auch ohne deren Einverständnis erlaubt sein. Erstens ist eine Weiterleitung an die Strafverfolgungsbehörden möglich, wenn die Meldung Informationen über eine