Ergebnisbericht

Pour Demain ist der Ansicht, dass die mit der KI verbundenen Risiken zu den oben erwähnten Aufgaben des NCSC hinzugefügt werden müssten.

• Zu Buchstabe c

Swiss Banking und Raiffeisen begrüssen den Artikel, erachten aber die «Anleitungen für präventive und reaktive Massnahmen gegen Cyberrisiken» nur als sinnvoll, wenn sie nicht verpflichtend sind.

• Zu Buchstabe f

Die Grünen fordern, dass die «Unterstützung von Betreiberinnen von kritischen Infrastrukturen» (Art. 73a Bst. f) breiter gedacht wird, als die Definitionen das bisher vorsehen.

3.3.2.6 Artikel 73b Bearbeitung von Meldungen zu Cybervorfällen und Schwachstellen

1 Werden dem NCSC Cybervorfälle oder Schwachstellen von Informatikmitteln gemeldet, so analysiert es diese auf ihre Bedeutung für den Schutz der Schweiz vor Cyberrisiken. Es gibt auf Wunsch der meldenden Person eine Empfehlung zum weiteren Vorgehen ab, sofern dafür keine weiteren Analysen und Abklärungen erforderlich sind.

2 Das NCSC kann Informationen zu Cybervorfällen veröffentlichen oder an interessierte Behörden und Organisationen weiterleiten, sofern dies dazu dient, Cyberangriffe zu verhindern oder zu bekämpfen. Diese Informationen dürfen Personendaten und Daten juristischer Personen enthalten, sofern es sich um missbräuchlich verwendete Identifikationsmerkmale und Adressierungselemente handelt und die betroffene Person einwilligt.

3 Werden dem NCSC Schwachstellen gemeldet, so informiert es umgehend den Hersteller und setzt ihm zur Behebung der Schwachstelle eine angemessene Frist. Behebt der Hersteller die Schwachstelle nicht innert dieser Frist, so veröffentlicht das NCSC die Schwachstelle unter Angabe der betroffenen Soft- oder Hardware, sofern dies zum Schutz vor Cyberrisiken beiträgt.

21 Teilnehmende haben sich dazu geäussert. Im Allgemeinen hat Absatz 3 am meisten Reaktionen hervorgerufen.

 Allgemeine Bemerkungen zu Artikel 73b

Scienceindustries ist der Meinung, dass die Umsetzung der Meldepflicht bedinge, dass sie einen Mehrwert für die betroffenen Unternehmen darstelle, einen verhältnismässigen und subsidiären Ansatz verfolge, keine Mehrkosten für die Schweizer Wirtschaft auslöse und auf einer kooperativen Grundlage beruhe.

Die Grünen, die Digitale Gesellschaft und die Piratenpartei begrüssen Artikel 73b, vertreten

aber die Ansicht, dass das NCSC bestimmte Mindestanforderungen erfüllen müsse, um seine Verpflichtungen in Bezug auf diesen Artikel einhalten zu können: Es müsse über umfassendere Kompetenzen verfügen bei schweren Vorfällen und ein Responsible-Disclosure-Verfahren für die kritischen Infrastrukturen einrichten.

Die Grünen und CH++ verlangen, dass das NCSC gegenüber Herstellern und Betreiberinnen Leitlinien sowie verbindliche Standardfristen erlassen kann, die sie verpflichten, Schwachstellen rasch zu beheben und Schäden zu begrenzen.

Der Kanton VD verlangt, den Artikel 73b mit der Medizinprodukteverordnung (MepV) abzustimmen.

 Änderungsanträge und Anregungen

• Zu Absatz 1