Ergebnisbericht

Die meisten Stellungnahmen zugunsten des Vorentwurfs verlangen ausdrücklich, dass die Meldepflicht keine hohen Kosten für die öffentliche Verwaltung oder die Privatwirtschaft (namentlich Unternehmen, die einen Cybervorfall melden) mit sich bringt, dass die Umsetzung der Meldepflicht unbürokratisch erfolgt und dass der administrative Aufwand gering bleibt. Alle Teilnehmenden wünschen Präzisierungen und viele äussern Vorbehalte zu gewissen Bestimmungen.

Die Präzisierungen betreffen insbesondere die Begriffe (Art. 5), die Liste der Bereiche, die der Meldepflicht unterstehen (Art. 74b), und die Ausnahmen von der Meldepflicht (Art. 74c), die Definition der zu meldenden Cyberangriffe (Art. 74d) sowie die Modalitäten für die Übermittlung der Meldung (Art. 74f).

Insbesondere zu den Strafen bei Verletzung der Meldepflicht (Art. 74h und Art. 74i) wurden Vorbehalte geäussert. 24 Institutionen, die sich an der Vernehmlassung beteiligt haben, lehnen jegliche Möglichkeit von Sanktionen ab. Sie begründen ihre Ablehnung hauptsächlich damit, dass Bussen grundsätzlich nicht das richtige Instrument seien, um die Einhaltung der Meldepflicht zu erwirken. Sie vertreten die Ansicht, dass die Umsetzung der Meldepflicht eher durch Anreize im Sinne von Unterstützungsleistungen gefördert werden müsste.

Diese Vernehmlassung hat ausserdem gezeigt, dass der Schutz von Informationen aus Meldungen – insbesondere von Personendaten – von grosser Bedeutung ist. Tatsächlich wurden hinsicht-

lich der Weiterleitung personenbezogener Daten an die Nachrichtendienste sowie an die

Strafverfolgungsbehörden von sechs Vernehmlassungsteilnehmenden (Swico, Privatim, Piratenpartei, digitale Gesellschaft, Romande Energie, Verein Unternehmensdatenschutz) Bedenken geäussert.

Zudem wünschen sich einige Vernehmlassungsteilnehmende, dass der Vorentwurf erweitert werde. Es gehe nicht nur um die Einführung einer Meldepflicht. Das NCSC müsse zudem die Befugnis haben, den Betreiberinnen von kritischen Infrastrukturen Mindeststandards aufzuerlegen und die Umsetzung von Massnahmen wie die Installation von Sicherheitsupdates zu verlangen. In diesem Zusammenhang wird auch vorgeschlagen, dass die Betreiberinnen von kritischen Infrastrukturen den Artikeln 6 bis 10 ISG unterstellt sein sollen.

Weiter begrüssen die Teilnehmenden die Tatsache, dass auch Schwachstellen dem NCSC gemeldet werden können, dass dieses zunächst die Hersteller der betreffenden Produkte gemäss den «Coordinated Vulnerability Disclosure»-Grundsätzen informiert und ihnen eine Frist setzt, um die Schwachstellen zu beheben. Es wird gewünscht, dass die Institutionen, die Schwachstellen melden, strafrechtlich nicht verfolgt werden dürfen, und dass die Hersteller, die diese Schwachstellen nicht innert der vom NCSC gesetzten Frist beheben, von öffentlichen Beschaffungen ausgeschlossen werden können.

SVP, SGV, scienceindustries, swissuniversities, Coop, Swiss Airlines und eine Einzelperson lehnen den Vorentwurf in seiner aktuellen Form ab. Die Bundesanwaltschaft (BA) hat sich nicht ausdrücklich für oder gegen den Vorentwurf geäussert.

3.3 Anträge und Bemerkungen zum Vorentwurf

3.3.1 Vorbemerkung

Im Folgenden werden die Bemerkungen, Änderungsvorschläge und Kritikpunkte zu den einzelnen Bestimmungen aufgeführt. Es werden jeweils lediglich die in einer Stellungnahme vorgebrachten Hauptargumente erwähnt. Besonders ausführliche Stellungnahmen werden nur insoweit wiedergegeben, als sie konkrete materielle Änderungen fordern. Weitere Einzelheiten können den im Internet publizierten Stellungnahmen entnommen werden.

Stillschweigende Zustimmung bzw. der Verzicht auf eine Rückmeldung zu einem Artikel wird nicht erwähnt. Dies soll die Leserschaft aber nicht darüber hinwegtäuschen, dass trotz zahlreicher kritischer Stimmen zu einzelnen Bestimmungen eine Mehrzahl der Vernehmlassungsteilnehmenden