Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

Die Wichtigkeit eines aktiven Schwachstellenmanagements und die Rolle des BACS bei der Suche und der koordinierten Offenlegung von Schwachstellen wird ausführlicher im Bericht des Bundesrats «Die Förderung des ethischen Hackings in der

Schweiz»¹⁴ beschrieben.

Absatz 1: Koordiniert Offenlegung von Schwachstellen

Die koordinierte Offenlegung von Schwachstellen ist ein wichtiger Bestandteil der globalen Cybersicherheitsbemühungen, da sie es ermöglicht, potenzielle Sicherheitslücken in IT-Systemen zu analysieren, zu bewerten und zu beheben, bevor sie von Angreifern ausgenutzt werden können. Der Prozess der koordinierten Offenlegung zielt darauf ab, eine möglichst hohe Transparenz über Schwachstellen zu ermöglichen, ohne Sicherheitsrisiken zu erzeugen. Kernelement des Prozesses ist, dass nach dem Finden einer Schwachstelle zunächst die Hersteller informiert werden. Mit diesen vereinbaren die Hacker eine Sperrfrist, innerhalb derer sie keine Informationen zur Schwachstelle öffentlich verbreiten. Dies gibt den Herstellern genügend Zeit, die Schwachstelle zu beheben, bevor sie öffentlich gemacht wird. Dieser Prozess ist international etabliert und wird beispielsweise auch in der EU durch die NIS-2-Richtlinie (Art. 12 und 13) vorgeschrieben.¹⁵

Die Regeln für die koordinierte Offenlegung von Schwachstellen sind in der ISO/IEC Norm 29147:2018-10 festgelegt.¹⁶ Das BACS ist verpflichtet, gemeldete Schwachstellen gemäss den in dieser Norm festgelegten Regeln offenzulegen. Dies bedeutet,

dass das BACS keine Schwachstellen geheim behält oder anderen Behörden weiterleitet, ohne die Hersteller zu informieren. Das BACS ist vielmehr verpflichtet, über den Prozess der koordinierten Offenlegung Massnahmen umzusetzen, die dazu führen, dass die Schwachstelle nicht mehr ausgenutzt werden kann.

Durch die Zusammenarbeit mit ausländischen und internationalen Fachstellen kann das BACS sicherstellen, dass Schwachstellen auf internationaler Ebene erkannt und behoben werden. Das BACS wurde im September 2021 von der US-Organisation MITRE als Fachstelle für Schwachstellen anerkannt und autorisiert, Schwachstellen gemäss dem Standard «Common Vulnerabilities and Exposure (CVE)» zur Kennzeichnung und Identifizierung eine CVE-Nummer zuzuweisen, damit bekannte

Schwachstellen eine eindeutige Bezeichnung erhalten. Dies ermöglicht Sicherheitsexperten, Herstellern, Anwendern und Behörden, sich in einheitlicher Weise auf diese Schwachstelle zu beziehen. Durch die Verwendung von CVE-Nummern können Sicherheitslücken effektiver kommuniziert, dokumentiert und behoben werden. Die Verwendung eines standardisierten Namensschemas erleichtert auch die Zusammenarbeit zwischen den verschiedenen Akteuren im Bereich der Cybersicherheit und trägt