Ergebnisbericht

oder zur Manipulation von Informationen) nicht erfüllt sind, d. h., der Angriff eine Bagatelle war oder einen tiefen bis mittleren Schweregrad aufwies.

Der SVV erachtet die Frist als nicht realistisch, weil dies implizieren würde, dass man auf einen Angriff reagieren müsste, von dem man noch keine Kenntnis habe und von dem man allenfalls nicht wissen könne, wann er eingetreten sei. Der SVV schlägt vor, Punkt d wie folgt zu ersetzen: «über einen längeren Zeitraum unentdeckt blieb».

Der Kanton TG beantragt, den vorliegenden Text wie folgt zu ersetzen:

«d. die direkt und unmittelbar für das Ziel des Cyberangriffs verwendeten Instrumente länger als 30 Tage unentdeckt blieben».

Migros sowie UniZH/UNIL NFP 77 zufolge sollte eine Zeitspanne für die «Nicht-Entdeckung» kein Einzel-Kriterium für eine Meldung darstellen.

• Zu Absatz 2

Laut Scienceindustries ist die Meldepflicht auf Erpressungen, Bedrohungen oder Zwang dahingehend zu beschränken, dass sie nur bei Vorliegen eines Bezuges zur Geschäftstätigkeit wirksam wird.

Der SSV ist der Ansicht, dass die abschliessend formulierte Aufzählung die Frage aufwirft, ob die Meldepflicht nicht auch dann gelten solle, wenn ein Cyberangriff mit Erpressung, Drohung oder Nötigung gegenüber Kunden und Kundinnen oder Patienten und Patientinnen einer Betreiberin verbunden sei.

Der Kanton BL beantragt, den Text zu ergänzen und den Tatbestand der Datenbeschädigung, der durch Verschlüsselung oder das Einschleusen von Malware verursacht wird, einzuschliessen.

Der Kanton GE weist darauf hin, dass die Institutionen, die gegen diesen Artikel verstossen, doppelt bestraft werden könnten.

UniZH/UNIL NFP 77 schlagen vor, den Text so zu ändern, dass eine Meldepflicht besteht, sobald «strafrechtlich relevante Handlungen» vorliegen statt nur bei Erpressungen.

3.3.2.13 Artikel 74e Inhalt der Meldung

1 Die Meldung muss Informationen zur kritischen Infrastruktur, zur Art und Ausführung des Cyberangriffs, zu seinen Auswirkungen und zum geplanten weiteren Vorgehen der Betreiberin der kritischen Infrastruktur enthalten.

2 Sind zum Zeitpunkt der Meldung nicht alle erforderlichen Informationen bekannt, so ergänzt die Betreiberin der kritischen Infrastruktur die Meldung, sobald sie an neue Informationen gelangt.

15 Vernehmlassungsteilnehmende haben sich zu dieser Bestimmung geäussert. Die meisten Anträge zum Gesetzestext betreffen die Klärung und eine detailliertere Beschreibung der Informationen, die nach Artikel 74e verlangt werden.

 Allgemeine Bemerkungen zu Artikel 74e

Die Grünen sind der Meinung, dass Artikel 74e so zu überarbeiten sei, dass eine Automatisierung der Meldungen möglich sei.

Der Verband der Auslandbanken in der Schweiz findet, dass es möglich sein sollte, die Meldungen auf Englisch und in den Amtssprachen zu verfassen.

Economiesuisse fordert, dass die Anforderungen an die Meldung einfach bleiben müssen, um die Hindernisse für die Unternehmen zu minimieren. Zudem müssten die zu meldenden Fälle klar abgegrenzt werden.