Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

Absatz 1: Priorisierung der Beratungs- und Unterstützungsleistungen

Absatz 1 befasst sich mit der Situation, in der das BACS mit einer höheren Anzahl von Anfragen für Beratung und Unterstützung im Falle eines Cyberangriffs konfrontiert wird, als es mit seinen vorhandenen Personal- und technischen Ressourcen und Kapazitäten bewältigen kann. In solch einem Szenario behält sich das BACS das Recht vor, Entscheidungen darüber zu treffen, welche Anfragen zuerst bearbeitet werden und wie umfangreich die Unterstützung ausfallen wird. In anderen weniger dringenden Fällen werden die Beratung sowie Unterstützung entsprechend zeitlich verzögert geleistet. Neben dem Zeitpunkt kann auch der Grad der zur Verfügung gestellten Hilfe variieren. Einige Fälle können eine vollständige Untersuchung und umfassende Unterstützung erfordern, während andere vielleicht nur eine grundlegende Beratung erhalten. Diese Bestimmung ermöglicht es dem BACS, in Zeiten hoher Auslastung strategische Entscheidungen darüber zu treffen, wie seine Ressourcen am besten eingesetzt werden können, um die grösstmögliche Hilfe zu leisten.

Absatz 2: Priorisierung unter Berücksichtigung öffentlicher Interessen

Das BACS unterstützt im Falle einer Vielzahl von zeitgleichen Cybervorfällen und Cyberbedrohungen vorrangig die meldepflichtigen Organisationen und Behörden, bei denen das Ereignis die grössten Auswirkungen auf die Sicherheit, die öffentliche Ordnung, das Wohlergehen der Bevölkerung oder das Funktionieren der Wirtschaft hat. Das bedeutet, dass das BACS seine Ressourcen und Unterstützung gezielt dort einsetzt, wo die Auswirkungen eines Ereignisses besonders gravierend sind. Dies kann beispielsweise bedeuten, dass kritische Infrastrukturen, Behördeneinrichtungen oder andere wichtige Organisationen priorisiert werden, um sicherzustellen, dass sie angemessen geschützt sind und im Falle eines Angriffs schnell Unterstützung erhalten.

Durch diese Priorisierung kann das BACS sicherstellen, dass diejenigen Einrichtungen und Organisationen, die für das Funktionieren von Gesellschaft und Wirtschaft am wichtigsten sind, im Falle von Cybervorfällen und Cyberbedrohungen angemessen geschützt werden. Dies trägt dazu bei, die Resilienz und Stabilität des Landes im Falle eines grossflächigen Ereignisses, das viele Ziele in der Schweiz betrifft, zu gewährleisten.

Art. 9 Koordinierte Offenlegung von Schwachstellen

Diese Bestimmung stützt sich auf Art. 73a Abs. 2 Bst. c sowie auf Art. 73b Abs. 3 i.V.m. Art. 73c Abs. 2 ISG.

Die Aufgaben des BACS im Zusammenhang mit der Schwachstellenkoordination waren in der CyRV nicht explizit geregelt, sondern durch die allgemeinen Aufgaben des BACS abgedeckt, welche seit dem 1. Januar 2024 neu in Art. 15a Abs. 2 Bst. b OV-VBS aufgeführt sind. Zudem ist seit dem 1. Januar 2024 eine Rechtsgrundlage für die Schwachstellensuche in der Informatikinfrastruktur der Bundesverwaltung und der Armee in Art. 43 Abs. 1 Bst. c ISV enthalten. Diese Bestimmung sieht vor, dass das BACS mitunter die Bundeskanzlei, die Generalsekretariate, Departemente und die Bundesämter über aktuelle Bedrohungen und Schwachstellen sowie über Risiken, die sie betreffen, informiert und bei Bedarf Massnahmen zur Risikominderung empfiehlt.