Ergebnisbericht

 Zustimmung zu Artikel 74d

Der VSE spricht sich für diese Bestimmung aus.

 Ablehnung von Artikel 74d

Swiss Banking und Raiffeisen beantragen die Streichung dieses Artikels und schlagen vor, ihn durch einen mit der Formulierung der FINMA kompatiblen Wortlaut zu ersetzen: «Zu melden sind Cyberangriffe mit erheblichen Auswirkungen auf die Geschäftstätigkeit des Unternehmens, insbesondere erfolgreiche oder teilweise erfolgreiche Angriffe auf kritische Funktionen, deren Ausfall oder Störung den Schutz der Kundinnen und Kunden oder das Funktionieren der Märkte stark beeinträchtigen würde.»

SwissICT fordert die Streichung dieser Bestimmung, da praktisch jeder Cyberangriff zu melden sei.

VUD zufolge ist die gesetzgeberische Lösung, wonach die zu meldenden Ereignisse breit gefasst werden (Art. 5 Bst. d und e ISG), nur um die Meldepflicht danach wieder zu begrenzen (Art. 74d ISG), abzulehnen und der Artikel zu streichen.

 Änderungsanträge und Anregungen zu Artikel 74d

• Zu Absatz 1

Laut ISSS widerspricht die Tatsache, dass die Anzeichen für einen Cyberangriff gemäss Artikel 74d bereits der Meldepflicht unterstehen, der ratio legis. Die vorliegende Bestimmung sei wie folgt zu ändern: «¹ Ein Cyberangriff oder ein Cybervorfall auf eine kritische Infrastruktur muss gemeldet werden, wenn die ernsten Befürchtungen bestehen, dass:».

• Zu Absatz 1 Buchstabe a

Swissmem fordert, diese Bestimmung wie folgt zu ersetzen: «die Funktionsfähigkeit der betroffenen kritischen Infrastruktur oder einer anderen kritischen Infrastruktur wesentlich gefährdet ist;».

Da die Unternehmen häufig nicht in der Lage seien, eine Bedrohung zu beurteilen, sind die Flug-

häfen GE und ZH, Swissgrid, santésuisse sowie der Kanton GE der Ansicht, dass der folgende

Text zu streichen sei: «oder einer anderen kritischen Infrastruktur».

• Zu Absatz 1 Buchstabe b Economiesuisse, Coop, IG eHealth, Switch, der Kanton TG, ISSS, der Flughafen ZH, Axpo, UniZH/UNIL NFP 77, Scienceindustries, VUD, VöV und RAILplus stellen die Relevanz dieser

zweiten Bedingung infrage, weil Cyberangriffe, die von Staaten ausgingen, häufig zu komplex seien, um überhaupt erkannt zu werden, und ihre Zuordnung ein politisches und kompliziertes Vorgehen darstelle. Daher beantragen ISSS, Flughafen ZH, Axpo, UniZH/UNIL NFP 77, Scienceindustries, VUD, VöV und RAILplus die Streichung dieser Bedingung. RAILplus schlägt vor, sie durch ein kumulatives Kriterium im Zusammenhang mit den Auswirkungen zu ersetzen (Beispiel: «Anzahl betroffener Nutzender oder Systeme»).

• Zu Absatz 1 Buchstabe c

Swissgrid ist der Meinung, dass die folgenden Punkte weiter ausgeführt werden müssten: «besonders schützenswerte Personendaten», «Informationen zu den kritischen Systemen», «Daten des Stromnetzbetriebs», «Infrastrukturen» und «Systeme des Kernbetriebs».

• Zu Absatz 1 Buchstabe d

Economiesuisse, der Flughafen ZH, SVV, VUD und Coop erachten die Frist von 30 Tagen als nicht sinnvoll.

IG eHealth beantragt, Punkt d (Cyberangriff bleibt länger als 30 Tage unentdeckt) keiner Meldepflicht zu unterstellen, wenn die Punkte a (Funktionsfähigkeit gefährdet) und c (möglicher Abfluss