Ergebnisbericht

SwissICT, die Post sowie die Kantone GR und TG verlangen eine präzisere Beschreibung der im Rahmen von Artikel 74e geforderten Informationen, evtl. mithilfe einer Liste.

SwissICT und die Post fordern, dass die gemäss Artikel 74e verlangten Informationen mit anderen Behörden abgestimmt werden (z. B. mit der FINMA).

Laut Axpo muss die Meldung unabhängig vom Informationsniveau umgehend erfolgen.

 Zustimmung zu Artikel 74e

Swiss Banking begrüsst diese Bestimmung.

 Änderungsanträge und Anregungen zu Artikel 74e

• Zu Absatz 1

ISSS und Härting Rechtsanwälte verlangen, dass die vorliegende Bestimmung wie folgt geändert wird: «Die Meldung muss Informationen zur kritischen Infrastruktur, zur Art und Ausführung des Cyberangriffs, des Cybervorfalles, zu seinen Auswirkungen und zum geplanten weiteren Vorgehen der Betreiberin der kritischen Infrastruktur enthalten».

Der Kanton GE beantragt, «und zum geplanten weiteren Vorgehen der Betreiberin der kritischen Infrastruktur» durch «oder zu den von der betroffenen Einrichtung bereits eingeleiteten Schritten» zu ersetzen.

UniZH/UNIL NFP 77 beantragen ebenfalls eine Änderung der Bestimmung wie folgt: «… oder zu den bereits eingeleiteten oder geplanten Schritten».

• Zu Absatz 2

Der Kanton GE beantragt, die vorliegende Bestimmung so zu ändern, dass die Meldung nicht nur durch die Betreiberin zu ergänzen ist, sobald sie an neue Informationen gelangt, sondern auch wenn solche Informationen eingeholt werden können.

3.3.2.14 Artikel 74f Übermittlung der Meldung

1 Für die elektronische Meldung von Cyberangriffen stellt das NCSC ein sicheres System zur Übermittlung der Meldung an das NCSC zur Verfügung.

2 Das System muss der Betreiberin einer kritischen Infrastruktur ermöglichen, die Meldung des Cyberangriffs oder seiner Auswirkungen gesamthaft oder in Teilen an weitere Stellen und Behörden zu übermitteln.

3 Benötigt eine Stelle oder Behörde Informationen, die über Art. 74e hinausgehen, kann die Betreiberin diese über das System direkt an die betreffende Stelle oder Behörde übermitteln.

34 Teilnehmende haben sich zum Artikel 74f geäussert, wovon 4 (RAILplus, santésuisse, UniBE und die Post) den Text in der vorliegenden Form annehmen. Der Text wurde von keiner Stelle vollumfänglich abgelehnt. Die meisten Diskussionen betrafen die Zentralisierung der Übermittlungskanäle für die Informationen an das NCSC und an die im Gesetz bezeichneten Behörden.

 Allgemeine Bemerkungen zu Artikel 74f

CH++ findet, dass in Artikel 74f explizit zu erwähnen sei, dass die Datenübermittlung über eine gesicherte Schnittstelle erfolge. Zudem sei ein API-basierter Ansatz, wie er von den Partnernetzwerken von Meta/Facebook oder AT&T erfolgreich praktiziert werde, durch das NCSC weiter zu verfolgen. Diesbezüglich sei eine geeignete Rechtsgrundlage zu schaffen.

Pour Demain und Operation Libero sind der Meinung, dass auch eine Informatikschnittstelle (API) für die Übermittlung automatisierter Meldungen an das NCSC zu erstellen sei.