Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

dazu bei, die Transparenz und Effektivität bei der Behandlung von Sicherheitslücken zu verbessern.

Absatz 2–4: Frist für Behebung der Schwachstelle

Das BACS verlangt von den Herstellern der von Schwachstellen betroffenen Hard- oder Software, eine Schwachstelle grundsätzlich innerhalb einer Frist von 90 Tagen zu beheben. Dies ist eine gängige Praxis in der Cybersicherheitsbranche.¹⁷ Die Frist lässt den Herstellern genügend Zeit für die Analyse der Schwachstellen und für die Entwicklung und Umsetzung von Gegenmassnahmen, stellt andererseits aber auch sicher, dass die Schwachstellen nicht übermässig lange bestehen bleiben.

Abhängig von der Kritikalität und der Komplexität einer Schwachstelle kann die entsprechende Frist verkürzt werden. Es ist aber auch möglich, die angesetzte Frist im Bedarfsfall zu verlängern (z. B. infolge eines hohen Aufwands für Gegenmassnahmen oder eines erhöhten Koordinationsbedarfs).

Absatz 5: Bekanntgabe der Schwachstelle vor Behebung oder Veröffentli-

chung

Wenn dem BACS eine Schwachstelle bekannt ist, die für andere kritische Infrastrukturen eine akute Cyberbedrohung darstellt, informiert das BACS die Betreiberinnen, bevor die Schwachstelle veröffentlicht oder durch die Herstellerin der Hard- oder Software behoben wurde. Dieser Schritt ist wichtig, um die Betreiberinnen kritischer Infrastrukturen frühzeitig über potenzielle Sicherheitsrisiken zu informieren und ihnen die Möglichkeit zu geben, angemessene Massnahmen zum Schutz ihrer Systeme zu ergreifen. Durch den Austausch von Informationen über Schwachstellen können Betreiber kritischer Infrastrukturen proaktiv Massnahmen zur Risikominderung ergreifen, bevor die Schwachstellen öffentlich bekannt sind. Dies kann dazu beitragen, potenzielle Angriffe auf kritische Infrastrukturen zu verhindern oder abzuschwächen.

Absatz 6: Ausnahmeregelung für das BAKOM

Diese Bestimmung soll mögliche Kompetenzkonflikte und Doppelspurigkeiten zwischen dem BACS und dem BAKOM vermeiden. Das BAKOM übt die Marktaufsicht über das Anbieten, das Bereitstellen auf dem Markt, die Inbetriebnahme, das Erstellen und das Betreiben von Fernmeldeanlagen aus. Es führt dazu Marktkontrollen bei Wirtschaftsakteuren, in erster Linie beim Schweizer Hersteller oder, falls nicht vorhanden, beim Importeur, solcher Anlagen durch, prüft die betroffenen Anlagen und trifft die notwendigen Massnahmen, wenn die kontrollierten Anlagen die geltenden Vorschriften nicht einhalten (Art. 33 Fernmeldegesetz vom 30. April 1997¹⁸; FMG). Zu