Ergebnisbericht

3.3.2.9 Artikel 74a Meldepflicht

Die Betreiberinnen von kritischen Infrastrukturen müssen dem NCSC Cyberangriffe nach deren Entdeckung so rasch als möglich melden, damit das NCSC Angriffsmuster frühzeitig erkennen, mögliche Betroffene warnen und ihnen geeignete Präventions- und Abwehrmassnahmen empfehlen kann.

27 Vernehmlassungsteilnehmende haben sich dazu geäussert, 14 davon haben betont, dass es wichtig sei, eine Meldefrist festzulegen.

 Änderungsanträge und Bemerkungen zu Artikel 74a

Die Grünen, AEROSUISSE und economiesuisse verlangen explizit, dass durch die Meldepflicht keine zusätzlichen Kosten entstehen, weder für die nationale Wirtschaft noch für die meldenden Institutionen. Zudem sei der administrative Aufwand beim Meldeprozess auf ein Minimum zu beschränken.

Die Grünen, GLP, ISSS, Härting Rechtsanwälte und Pour Demain sind der Meinung, dass die

Meldepflicht auch für Cyberangriffe und «allgemeine» Cybervorfälle sowie für Schwachstellen gelten müsse.

Sunrise und Switch sind der Ansicht, dass die Meldepflicht nur für Unternehmen gelten sollte, die Cyberangriffe auf ihre eigene Infrastruktur erlitten haben; keine Meldung von Dritten.

Die Digitale Gesellschaft beantragt, die Meldepflicht auf alle Sektoren der Schweizer Wirtschaft sowie auf die staatlichen Behörden und auf NGOs auszudehnen, während die Piratenpartei der Meinung ist, dass die Meldepflicht mindestens auf Organisationen auszuweiten sei, die im Auftrag des Staates Aufgaben ausführen, auf sämtliche Unternehmen, die einer ordentlichen Revision unterstehen oder gemäss Artikel 11a DSG Datensammlungen anmelden müssen.

eAHV ist der Ansicht, dass spezifiziert werden müsse, dass eine Meldung auch verschiedene betroffene Organisationen umfassen könne und dass die Meldung auch explizit durch Dritte erfolgen könne.

Die Piratenpartei und die Grünen finden, dass die KI im vorliegenden Gesetzestext behandelt werden müsse.

Die SP verlangt, dass die von Cyberangriffen betroffenen Personen vom NCSC so rasch als möglich gewarnt werden müssen.

Asut weist darauf hin, dass es schwierig sei, einen Internetprovider zu verpflichten, sämtliche Cyberangriffe zu melden, die über sein Netzwerk auf Betreiberinnen von kritischen Infrastrukturen erfolgten. Unter Umständen sei eine Meldung durch den Internetprovider wegen der Bestimmungen des Datenschutzgesetzes oder vertraglicher Vereinbarungen auch gar nicht möglich.

Der Verband der Auslandbanken in der Schweiz, CH++, Pour Demain, Swiss Banking, Sci-

enceindustries, die Kantone FR, GR und UR, Raiffeisen, Switch und die Grünen betonen,

dass es wichtig sei, explizite Fristen für die Meldung und die Kommunikation detaillierter Informationen an das NCSC festzulegen. Swiss Banking beantragt die Ergänzung des vorliegenden Textes um einen Absatz 2, der eine Meldefrist vorgibt, während Raiffeisen und das Digital Law Center UniGE empfehlen, die zweistufigen Meldefristen aus der FINMA-Aufsichtsmitteilung 05/2020 zu übernehmen.

Digitalswitzerland schlägt die Einführung des Begriffs des «Meldepflichtigen» vor, um eine höhere Präzision zu erreichen und jegliche Missverständnisse zu vermeiden.

Ausserdem halten es digitalswitzerland und economiesuisse für notwendig, das Vertrauen der Wirtschaft in den Nutzen dieses Artikels zu stärken, indem hervorgehoben wird, dass die Vorteile dieser Bestimmung unmittelbarer Natur sind und die Verpflichtungen überwiegen. Denn die Verhältnismässigkeit der Massnahmen sei insbesondere für KMU und Startups ein wichtiges Kriterium.