Ergebnisbericht

1 Ausgangslage

Am 12. Januar 2022 hat der Bundesrat den Vorentwurf zur Änderung des Informationssicherheitsgesetzes vom 18. Dezember 2020 (ISG) sowie den erläuternden Bericht verabschiedet und das Eidgenössische Finanzdepartement (EFD) beauftragt, ein Vernehmlassungsverfahren durchzuführen. Die Vernehmlassung dauerte vom 12. Januar bis zum 14. April 2022. Die Liste aller Vernehmlassungsteilnehmenden mit den nachfolgend verwendeten Abkürzungen findet sich im Anhang.

Es sind 99 Stellungnahmen eingegangen:

99 Total eingegangene Stellungnahmen

25 Kantonsregierungen

4 Kantonale Konferenzen

7 Parteien

1 Gesamtschweizerischer Dachverband der Gemeinden, Städte und Berggebiete

4 Gesamtschweizerische Dachverbände der Wirtschaft

19 Betroffene Unternehmen

39 Weitere interessierte Kreise

Die Stellungnahmen sind auf der Publikationsplattform des Bundesrechts «Fedlex» aufgeschaltet 0F¹.

2 Gegenstand des Vernehmlassungsentwurfs

Ziel des Vorentwurfs ist es, im Informationssicherheitsgesetz (ISG), das am 18. Dezember 2020 vom Parlament verabschiedet wurde, die gesetzliche Grundlage für eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen zu schaffen.

Inhaltlich soll die Meldepflicht nur für Cyberangriffe gelten, die ein gewisses Schadenspotential aufweisen. Nicht meldepflichtig sind Cybervorfälle, die auf menschliches Fehlverhalten, also beispielsweise eine unbeabsichtigte fehlerhafte Manipulation eines Mitarbeitenden, zurückzuführen sind. Es wurde auch davon abgesehen, die Meldepflicht auf Schwachstellen in Informatikmitteln auszudehnen. Die Meldepflicht gilt für Betreiberinnen kritischer Infrastrukturen, die in kritischen Teilsektoren tätig sind. Die Funktion als zentrale Meldestelle übernimmt das NCSC, das auch freiwillige Meldungen zu Cybervorfällen und Schwachstellen in Informatikmitteln entgegennimmt.

Die gesetzlichen Grundlagen der Meldepflicht für Cyberangriffe, sollen – abgesehen von wenigen Anpassungen im 1. Kapitel – im 5. Kapitel des ISG eingefügt werden. Das 5. Kapitel wurde grundlegend überarbeitet, um darin auch die Aufgaben des NCSC – welche aktuell nur in der Cyberrisikenverordnung (CyRV)1F² definiert sind – und dessen Funktion als Meldestelle für meldepflichtige Cyberangriffe zu regeln.

Durch Einführung einer Meldepflicht können Cyberangriffe künftig frühzeitig entdeckt, ihre Angriffsmuster analysiert und andere Betreiberinnen kritischer Infrastrukturen rechtzeitig gewarnt werden. Die Meldepflicht kann dadurch einen wesentlichen Beitrag zur Erhöhung der Cybersicherheit in der Schweiz leisten.

Nicht Gegenstand dieser Vorlage ist die Einführung von verbindlichen Mindeststandards für die Cybersicherheit für Betreiberinnen kritischer Infrastrukturen sowie von Anforderungen an die Produktesicherheit von IT-Produkten.

2 SR 120.73