Erläuternder Bericht

2 Rechtsvergleich, insbesondere mit dem europäischen Recht

Seit der Verabschiedung der EU-Richtlinie zur Gewährleistung einer hohen Netzwerk- und Informationssicherheit (NIS-Richtlinie) im Juli 2016 sind EU-Mitgliedsstaaten verpflichtet, eine Meldepflicht für Cybervorfälle umzusetzen. Die Frist für die Umsetzung ist im Mai 2018 abgelaufen. Die Meldepflicht betrifft «Anbieter wesentlicher Dienste», worunter gemäss Artikel 4 private Unternehmen oder öffentliche Einrichtungen fallen, die in den Bereichen Gesundheitswesen, Verkehr, Energie, Banken und Finanzmarktinfrastrukturen, digitale Infrastruktur und Wasserversorgung eine wichtige Rolle bei der Gewährleistung der Sicherheit spielen¹². Der Adressatenkreis entspricht damit weitegehend den in der Vernehmlassungsvorlage definierten meldepflichtigen kritischen Infrastrukturen.

In Bezug auf den Umfang der Meldepflicht lässt die NIS-Richtlinie den Mitgliedstaaten der EU relativ viel Spielraum offen. Meldepflichtig sind gravierende Vorfälle, wobei Artikel 14 festhält, dass bei der Beurteilung insbesondere die Zahl der betroffenen Nutzer, die Dauer des Sicherheitsvorfalls und die geografische Ausbreitung zu berücksichtigen sind. Im Unterschied zur erarbeiteten Vernehmlassungsvorlage beschränkt sich die NIS-Richtlinie jedoch nicht auf die Einführung einer Meldepflicht. Sie verpflichtet die Anbieter wesentlicher Dienste zugleich dazu, Sicherheitsvorkehrungen zu ergreifen. Dazu gehören die Risikovorsorge, die Gewährleistung der Sicherheit von Netz- und Informationssystemen und Massahmen, welche die Auswirkungen von Sicherheitsvorfällen so gering wie möglich halten (Art. 14).

Die Vernehmlassungsvorlage beschränkt sich darauf, die gesetzlichen Grundlagen für solche Anforderungen im Stromsektor zu schaffen. Eine durch das Bundesamt für Energie (BFE) beauftragte Studie hat in diesem für die wirtschaftliche Versorgung und die Sicherheit des Landes entscheiden-

13

den Sektor einen hohen Handlungsbedarf bei der Cybersicherheit festgestellt. In den übrigen Sektoren muss zunächst geklärt werden, ob der Bund die Kompetenz hat, rechtsverbindliche Normen für die Cybersicherheit festzulegen und in welchen Bereichen welche Anforderungen gestellt werden sollen.