Ergebnisbericht

Laut UniZH/UNIL NFP 77 ist die Formulierung «sofern dafür keine weiteren Analysen und Abklärungen erforderlich sind» nicht klar. Sie sei zu ersetzen durch «wenn Cybervorfälle oder Schwachstellen dem NCSC gemeldet werden», damit keine Beschränkung auf eine Meldung vorliegt, die mit der Meldung von Cyberangriffen durch die betreffende Person verwechselt werden könnte.

• Zu Absatz 2

Den Grünen und CH++ zufolge müsste das NCSC, ausser bei gerechtfertigten Ausnahmen eine Verpflichtung zur Veröffentlichung von Cybervorfällen einführen. ISSS, Härting Rechtsanwälte, VSE, VöV, Swissgrid, der Kanton GE und RAILplus bestehen hingegen darauf, dass Personendaten sowie Daten von juristischen Personen nur mit ausdrücklicher und vorgängiger Einwilligung veröffentlicht werden dürfen und dass die Umstände, unter denen der Cybervorfall veröffentlicht werden muss, sowie die bereitzustellenden Informationen aus Gründen des Datenschutzes und der Geheimhaltung vertraulicher Daten genauer zu regeln sind.

UniZH/UNIL NFP 77 sind der Ansicht, dass die Einwilligung von der Person stammen müsste, die die Daten teilt, und nicht von den betroffenen Personen. Denn das Einholen der Einwilligung sämtlicher betroffener Personen könne unverhältnismässig aufwendig sein.

• Zu Absatz 3

Die Piratenpartei begrüsst, dass in Artikel 73b Absatz 3 die Sicherheitslücken unverzüglich mit den Betreiberinnen kritischer Infrastrukturen geteilt werden, und bittet darum, hinzuzufügen, dass diese sie nicht für offensive Cyberspiele gemäss NDG missbrauchen dürfen. Ebenso müssten Hacker im Rahmen von Responsible Disclosure automatisch Straffreiheit erhalten.

CH++ schlägt vor, dass Hersteller, welche nicht auf Schwachstellenmeldungen reagieren, von öffentlichen Beschaffungen ausgeschlossen werden können sollen.

UniZH/UNIL NFP 77 vertreten die Meinung, dass es sinnvoll wäre, Absatz 3 neben der Veröffentlichung mit einer Sanktionsmöglichkeit auszustatten, während die Post hingegen erklärt, dass sich Sanktionen negativ auf die Anzahl Meldungen auswirken könnten.

Der Kanton GE beantragt, «Hersteller» durch «Hersteller und/oder Herausgeber» zu ersetzen.

Nach Ansicht der Digitalen Gesellschaft muss das NCSC, wenn es Kenntnis über eine Sicherheitslücke betreffend ein Drittprodukt hat, bei der nicht davon auszugehen ist, dass sie dem Hersteller bereits bekannt ist, diese Sicherheitslücke dem betreffenden Hersteller im Rahmen eines Responsible-Disclosure-Verfahrens unverzüglich melden. Zudem müssten dem NCSC der Digitalen Gesellschaft zufolge Mittel zur Verfügung gestellt werden, die es ihm erlauben, bei den Organisationen, die eine Sicherheitslücke melden, auf deren Behebung zu bestehen.

Laut ISSS und Härting Rechtsanwälte müssen Meldungen von Schwachstellen, die das NCSC den Herstellern zukommen lässt, vom Öffentlichkeitsprinzip ausgeschlossen sein.

Pour Demain und Operation Libero sind der Ansicht, dass die Fristen auch für die Betreiberinnen festgelegt werden müssten, um die effektive Durchführung von Sicherheitsupdates zu gewährleisten.

SSV und VUD äussern Bedenken, dass eine vorzeitige Veröffentlichung der Schwachstelle mit Angabe der betroffenen Software oder des betreffenden Materials für die meldende Stelle zu einem zusätzlichen Risiko führen könnte. Daher schlägt VUD vor, dass sämtliche Informationen und Kommunikationsmassnahmen des NCSC dem Gesetzesvorbehalt unterstellt werden müssen,

dass sie Cyberangriffe nicht fördern oder erleichtern.