Erläuternder Bericht

schwere Straftat enthält. Zwar ist das NCSC von der Anzeigepflicht gemäss Artikel 22a des Bundespersonalgesetzes vom 24. März 2000⁶ ausgenommen, die Leiterin oder der Leiter des NCSC kann aber Informationen an Strafverfolgungsbehörden weiterleiten, wenn sie oder er zum Schluss kommt, dass dies auf Grund der Schwere der Straftat nötig ist. Die Weiterleitung an die Strafverfolgungsbehörden wird keine strafrechtlichen Konsequenzen für die Betreiberin der kritischen Infrastruktur haben, da sich das Strafverfahren in der Regel ausschliesslich gegen die Angreifer richten wird. Sollte die Betreiberin der kritischen Infrastruktur ausnahmsweise selber Gegenstand der Strafverfolgung werden, so darf die Meldepflicht nicht dazu führen, dass sie sich durch die Meldung selber belasten muss. Es wurde daher eine Bestimmung aufgenommen, um dem Selbstbelastungsverbot als zentralem Grundsatz der Strafverfolgung Rechnung zu tragen. Vorbild dafür war die Regelung, die für die Meldepflicht bei Verletzungen der Datensicherheit im revidierten Datenschutzrecht vorgesehen ist (vgl. Art. 24 Abs. 6 nDSG).

Der zweite Fall einer zulässigen Weiterleitung betrifft Informationen, welche für den Nachrichten dienst des Bundes (NDB) für seine Aufgaben der frühzeitigen Erkennung und Verhinderung von Bedrohungen der inneren oder äusseren Sicherheit, für die Beurteilung der Bedrohungslage oder für die nachrichtendienstliche Frühwarnung zum Schutz von kritischen Infrastrukturen nach Artikel 6 Absatz 1 Buchstabe a, Absatz 2 und 5 des Nachrichtendienstgesetzes vom 25. September 2015 (NDG)⁷ relevant sind. Dadurch ist sichergestellt, dass der NDB als zuständige Behörde für die Frühwarnung von kritischen Infrastrukturen und für die Einschätzung der Bedrohungslage die nötigen Informationen erhält.

1.2.3 Durchsetzung der Meldepflicht mittels Anreizen und Sanktionen

Direkt verbunden mit der Einführung der Meldepflicht ist die Frage, über welche Instrumente sie durchgesetzt werden soll. Die Bereitschaft, der Meldepflicht nachzukommen, kann durch drei Faktoren beeinflusst werden.

Erstens muss es so einfach wie möglich sein, die Meldung zu verfassen. Dies wird sichergestellt, indem das NCSC ein elektronisches Meldeformular zur Verfügung stellt, über welches die Meldung rasch erfasst und einfach übermittelt werden kann.

Zweitens braucht es positive Anreize für die Meldung. Diese bestehen in erster Linie in der durch das NCSC angebotenen technischen Einschätzung und Unterstützung bei der Bewältigung des Angriffs. Diese sollen im Sinne einer ersten Hilfe erfolgen und nur soweit gehen, dass sie nicht in Konkurrenz stehen zu Dienstleistungen, die am Markt erhältlich sind. Für Betreiberinnen kritischer Infrastrukturen kann es aber sehr wertvoll sein, wenn eine Bundesstelle mit Überblick über die Gesamtbedrohungslage ihnen bei der ersten Einschätzung hilft und sie bei der Umsetzung von Sofortmassnahmen unterstützt.

Der dritte Faktor zur Durchsetzung der Meldepflicht besteht in negativen Anreizen in Form einer Busse. Wenn es trotz Rücksprache mit der kritischen Infrastruktur zu einer Verletzung der Melde- oder Auskunftspflicht kommen sollte, besteht die Möglichkeit, dass das NCSC als ultima ratio eine Verfügung mit Bussandrohung erlässt. Die Obergrenze der Busse liegt bei 100'000 Franken, wobei sie bis zu 20'000 Franken direkt dem Geschäftsbetrieb auferlegt werden kann, welcher die kritische Infrastruktur betreibt. Als Vorlage für diese verwaltungsrechtliche Sanktionsmöglichkeit diente das revidierte Datenschutzgesetz, das in Artikel 63 f. eine ähnliche Regelung für den Fall einer Missachtung von Verfügungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) enthält.

Aufgrund der langbewährten Zusammenarbeit mit den kritischen Infrastrukturen geht das NCSC davon aus, dass diese Bestimmung weitgehend symbolischen Charakter hat und in erster Linie dazu dient, der Meldepflicht die nötige Beachtung zu verschaffen.

6 SR 172.220.1