Vorlage

Cybersicherheitsverordnung 120.73

a. technische Vorfallbewältigung;

b. Analyse technischer Fragestellungen;

c. Identifikation und Beurteilung von Cyberbedrohungen.

²Es betreibt für die Analyse der Cybervorfälle und Cyberbedrohungen eine resiliente Infrastruktur; diese muss unabhängig von der restlichen Bundesinformatik funktionieren.

Art. 8 Priorisierung der Beratung und Unterstützung bei Cyberangriffen

¹Übersteigt die Nachfrage nach Beratung und Unterstützung bei einem Cyberangriff die Kapazitäten des BACS, so kann es die Bearbeitung in Bezug auf den Zeitpunkt und den Umfang der Beratung und Unterstützung priorisieren.

²Es berücksichtigt dabei die öffentliche Sicherheit und Ordnung, das Wohlergehen der Bevölkerung und das Funktionieren der Wirtschaft.

Art. 9 Koordinierte Offenlegung von Schwachstellen

¹Das BACS sorgt für die koordinierte Offenlegung der Schwachstellen nach international anerkannten Standards.

²Es setzt der Herstellerin der betroffenen Hard- oder Software eine Frist von 90 Tagen zur Behebung der Schwachstellen.

³Es kann die Frist verkürzen, wenn eine Schwachstelle:

a. die Funktionsfähigkeit von kritischen Infrastrukturen gefährdet;

b. besonders leicht für einen Cyberangriff ausgenutzt werden kann; oder

c. weit verbreitete Systeme betrifft.

⁴Es kann die Frist verlängern, wenn sich die Behebung der Schwachstelle als besonders aufwendig erweist.

⁵Es kann die Betreiberinnen kritischer Infrastrukturen bereits vor der Behebung oder Offenlegung über Schwachstellen informieren.

⁶Auf die vom Bundesamt für Kommunikation (BAKOM) im Rahmen seiner Aufsichtskontrollen (Art. 36 ff. der Verordnung vom 25. November 2015² über Fernmeldeanlagen) entdeckten Schwachstellen sind die Absätze 1 bis 4 nicht anwendbar. Das BAKOM informiert in solchen Fällen das BACS.

⁷Das BACS informiert das BAKOM umgehend über die in Fernmeldeanlagen nach Artikel 3 Buchstabe d des Fernmeldegesetzes vom 30. April 1997³ entdeckten Schwachstellen.