Ergebnisbericht

Der SSV verlangt weitere Klärungen zur Unterstützung der Städte, insbesondere hinsichtlich der Einführung von Mitteln zur Erkennung und Identifikation von Cyberangriffen sowie deren Finanzierung.

Raiffeisen ist der Ansicht, dass der Einsatz der vom NCSC bereitgestellten Mittel freiwillig bleiben und keine Pflicht zur Nutzung dieser Mittel eingeführt werden solle.

UniBe verlangt, dass das NCSC die Betreiberinnen von kritischen Infrastrukturen über die von anderen Betreiberinnen von kritischen Infrastrukturen gemeldeten Cyberangriffe informiert.

 Änderungsanträge und Bemerkungen zu Artikel 74

• Zu Abs. 2 Buchstabe a

ISSS, Härting Rechtsanwälte und die Post fordern, dass das NCSC neben der Bereitstellung eines Kommunikationssystems für den gesicherten Informationsaustausch eine sichere Datenspeicherung gewährleistet.

• Zu Abs. 2 Buchstabe b

Der Kanton SH spricht sich für die Errichtung einer gemeinsamen Plattform für den Informationsaustausch aus.

• Zu Abs. 2 Buchstabe c

Die Post verlangt eine Umformulierung, damit eindeutig sichergestellt ist, dass der Einsatz solcher Techniken zwar empfohlen wird, dieser aber letztlich freiwillig und nicht verpflichtend ist.

• Zu Absatz 3

VSE begrüsst die Bestrebungen, die privatwirtschaftlichen Angebote nicht konkurrenzieren zu wollen, schlägt aber vor, dass das NCSC als GovCERT einen Schirm über die privatwirtschaftlichen CERT bildet und diese bei der Krisenbewältigung je nach Situation und Bedarf unterstützt. VSE verlangt zudem, dass relevantere Unterscheidungskriterien dafür festgelegt werden, wer Anspruch auf die Unterstützung des NCSC hat, und fordert die Anpassung von Artikel 74 Absatz 3 wie folgt: «Es berät und unterstützt sie bei der Bewältigung von Cybervorfällen und der Behebung von Schwachstellen, wenn für die kritische Infrastruktur ein unmittelbares Risiko von gravierenden Auswirkungen besteht».

UniZH/UNIL NFP 77 sind der Meinung, dass die Bestimmung die Schadensfolgen auf die Mitarbeitenden, die Begünstigten, die Leistungen sowie (teilweise) auf die Gesellschaft ausdehnen müsste.

Die Post und der Kanton GE fordern Präzisierungen zum Begriff «unmittelbares Risiko» und die Post zusätzlich zum Begriff «gravierende Auswirkungen».

• Zu Absatz 4

Für diesen Absatz verlangt digitalswitzerland, dass klarer erläutert wird, wie das NCSC die Geheimhaltungspflichten schützt.

ISSS und Härting Rechtsanwälte beantragen, dass der Text wie folgt ersetzt wird: «Es kann zur Analyse eines Cybervorfalls mit dem Einverständnis der betroffenen Betreiberin auf deren Informationen und Informatikmittel zugreifen. Der Zugriff kann gewährt werden ohne allfällige Geheimhaltungspflichten zu verletzen».

Nach Ansicht von UniZH/UNIL NFP 77 muss die Bestimmung umformuliert werden, indem eingefügt wird, dass das NCSC die Vertraulichkeit gewährleistet und dass die Betreiberin kein Geheimnis verletzt, wenn sie die Informationen weiterleitet und dem NCSC für die Analyse eines Vorfalls Zugang zu ihren Informatikmitteln gewährt.