Ergebnisbericht

3.3.2.23 Änderungserlasse

Die nachstehenden Erlasse werden wie folgt geändert:

1. Stromversorgungsgesetz vom 23. März 2007 8 Art. 8a Schutz vor Cyberrisiken

1 Die Netzbetreiber, die Erzeuger und die Speicherbetreiber treffen Massnahmen für einen ange-

messenen Schutz ihrer Anlagen vor Cyberrisiken.

2 Der Bundesrat kann diese Pflicht auf weitere Beteiligte ausdehnen.

2. Datenschutzgesetz vom 25. September 20209 Art. 24 Abs. 5bis 5bis Der EDÖB kann die Meldung mit dem Einverständnis des meldepflichtigen Verantwortlichen zur Analyse des Vorfalls an das Nationale Zentrum für Cybersicherheit weiterleiten. Die Mitteilung kann Personendaten enthalten, einschliesslich besonders schützenswerter Personendaten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen betreffend den meldepflichtigen Verantwortlichen.

Nur 6 Vernehmlassungsteilnehmende haben sich zu den zwei obigen Gesetzestexten geäussert. Keine der befragten Instanzen hat die Streichung von Artikel 8a StromVG beantragt. ISSS und Härting Rechtsanwälte haben die Streichung von Artikel 24 Absatz 5^bis DSG verlangt.

 Allgemeine Bemerkungen zu Artikel 24 Abs. 5bis Datenschutzgesetz

Der VöV beantragt, die Bestimmung wie folgt anzupassen: «Der EDÖB kann die Meldung [ausschliesslich] mit dem …».

Der Kanton GE ist der Meinung, dass die Mitteilung des NCSC an den EDÖB verpflichtend sein sollte; die Mitteilung des EDÖB sollte nicht des Einverständnisses der meldepflichtigen Person bedürfen, wenn die Bedingungen des vorliegenden Gesetzes erfüllt seien.

UniZH/UNIL NFP 77 weisen darauf hin, dass es möglich sein müsse, sämtliche besonders schützenswerten Personendaten zu übermitteln und nicht nur bestimmte.

 Ablehnung von Artikel 24 Abs. 5bis Datenschutzgesetz

ISSS und Härting Rechtsanwälte verlangen die Streichung dieser Bestimmung. Denn wenn eine zentrale Stelle geschaffen werde, um alle Meldungen zu registrieren, sei dieser Zusatz nicht mehr notwendig.

3.4 Weitere Anträge und Anregungen zum Vorentwurf

Swiss Banking verlangt, den Gesetzestext an die FINMA-Aufsichtsmitteilung 05/2020 betreffend die Meldepflicht von Cyber-Attacken gemäss Artikel 29 Absatz 2 FINMAG anzupassen.

Die IG eHealth verlangt, dass Bundesrat und Parlament sicherstellen, dass das NCSC ausreichende Personalressourcen erhält.

Der Kanton ZH schlägt vor, die Meldepflicht etappenweise (z. B. sektorweise) einzuführen, um so zuerst Erfahrungen zu sammeln.

Die KKPKS beantragt zu regeln, wie Strafverfolgungsbehörden mit Meldungen umgehen müssen, wenn diese an sie statt ans NCSC gelangen.

8 SR 734.7