Ergebnisbericht

3.3.2.12 Artikel 74d Zu meldende Cyberangriffe

1 Ein Cyberangriff auf eine kritische Infrastruktur muss gemeldet werden, wenn Anzeichen dafür bestehen, dass: a. die Funktionsfähigkeit der betroffenen kritischen Infrastruktur oder einer anderen kritischen Infrastruktur gefährdet ist; b. ein fremder Staat ihn ausgeführt oder veranlasst hat; c. er zu einem Abfluss oder zur Manipulation von Informationen geführt hat oder führen könnte; oder d. er länger als 30 Tage unentdeckt blieb.

2 Ein Cyberangriff auf eine kritische Infrastruktur muss immer gemeldet werden, wenn er mit Erpressung, Drohung oder Nötigung gegenüber der Betreiberin einer kritischen Infrastruktur oder ihren Mitarbeitenden verbunden ist.

Die Definition der zu meldenden Cyberangriffe hat viele Reaktionen hervorgerufen, hauptsächlich allgemeine Bemerkungen oder konkrete Änderungsanträge.

Insgesamt 36 Teilnehmende haben sich geäussert, wovon sich 1 Stelle ausdrücklich für die Einführung dieser Gesetzesbestimmung ausgesprochen hat. 4 Teilnehmende lehnen den Artikel hingegen klar ab.

 Allgemeine Bemerkungen zu Artikel 74d

AEROSUISSE erachtet es für die Rechtssicherheit der betroffenen Unternehmen als notwendig, klar festzulegen, dass Artikel 74d als Kriterium definiert, wann ein Angriff auf eine kritische Infrastruktur gemeldet werden muss.

Economiesuisse, eGov-Schweiz, der Kanton ZH, SuisseDigital und Santésuisse finden, dass

dieser Artikel zwingend überarbeitet werden müsse, insbesondere weil die Kriterien zu weit gefasst und für die Unternehmen nur schwer fassbar oder anwendbar seien. So wäre es economiesuisse zufolge sinnvoller, eine kürzere (Positiv-)Liste der zu meldenden Vorfälle zur Verfügung zu stellen und die Meldepflicht auf erfolgreiche oder besonders schwerwiegende Versuche zu beschränken.

Der Kanton GR verlangt eine klare Liste der zu meldenden Fälle.

ISSS, Härting Rechtsanwälte und UniZH/UNIL NFP 77 fordern einen anderen Titel für diesen Artikel: «Zu meldende Cyberangriffe – und Vorfälle»

Privatim spricht sich für eine präzisere Definition aus, was unter «schwerwiegend» zu verstehen sei, vor allem da hier implizit gemeint sei, dass Vorfälle gemeldet werden müssten, auch wenn ihr Schweregrad noch nicht ermittelt werden könne. Sollte das NCSC also feststellen, dass es sich nicht um einen schwerwiegenden Sicherheitsvorfall handelt und keine Zustimmung der betreffenden Person(en) vorliegt, müssten die Personendaten unverzüglich gelöscht oder anonym verarbeitet werden.

Scienceindustries verlangt, im Text explizit anzugeben, dass sich die Meldepflicht auf Angriffe auf Anlagen in der Schweiz beschränkt und keine Anlagen im Ausland betrifft. UniZH/UNIL NFP 77 fordern hingegen, dass diese Bestimmung auch die Anlagen im Ausland abdeckt.

Coop ist der Meinung, dass die vorgeschlagene Definition zu allgemein sei und keine klare Unterscheidung zulasse zwischen Vorfällen, die sich nicht oder nur wenig auf die Geschäftstätigkeit auswirkten, und solchen, die direkt den Betrieb kritischer Infrastrukturen betreffen oder ein hohes Risiko darstellen würden. Zudem sei nicht klar, welche der erfolgreichen oder fehlgeschlagenen Cyberangriffe zu melden seien.

Der Flughafen ZH fordert, nur erfolgreiche Cyberangriffe der Meldepflicht zu unterstellen.

Laut dem Kanton AG sollte das NCSC die Triage der zu meldenden Angriffe vornehmen. Denn auch «unwichtige» Meldungen könnten sich als wichtig erweisen.