Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

Art. 12 Informationssysteme für den automatischen Austausch

Diese Bestimmung stützt sich auf Art. 73a Abs. 1 und 2 Bst. e sowie Art. 74 Abs. 1 und 2 Bst. a ISG.

Absatz 1: Automatischer Austausch von Informationen

Die Zurverfügungstellung von Informationssystemen seitens des BACS für den automatischen Austausch von technischen Informationen ist ein sehr wichtiges Mittel zum Schutz der kritischen Infrastrukturen vor Cybervorfällen sowie -bedrohungen und ermöglicht es den Betreiberinnen von kritischen Infrastrukturen, stets über den aktuellsten Wissensstand zu verfügen. Das BACS nutzt diese geschützten Informationssysteme dazu, die kritischen Infrastrukturen frühzeitig über technische Indikatoren und Angriffsmuster zu informieren, die der Öffentlichkeit noch nicht bekannt sind und vom BACS aus Sicherheitsgründen auch nicht veröffentlicht werden können. Technische Indikatoren zu Cybervorfällen oder -bedrohungen sind spezifische Anzeichen oder Hinweise auf potenzielle oder tatsächliche Bedrohungen im Bereich der Informationstechnologie und Cybersicherheit. Diese Indikatoren können verschiedene Formen annehmen, wie beispielsweise Malware-Signaturen, bei denen es sich um eindeutige Merkmale von schädlicher Software handelt, die darauf hinweisen, dass ein System infiziert ist oder einer Infektion ausgesetzt war. Auch Anomalien im Netzwerkverkehr gehören dazu. Hierbei handelt es sich beispielsweise um ungewöhnliche Muster im Datenverkehr, die auf eine mögliche Cyberbedrohung hindeuten können, wie ungewöhnlich hohe Datenübertragungsraten oder verdächtige Verbindungen zu bekannten schädlichen IP-Adressen. Ebenfalls können andere digitale Forensik-Indikatoren über diese Informationssysteme mit den Betreiberinnen kritischer Infrastrukturen automatisch ausgetauscht werden. Dies können verschiedene Arten von digitalen Spuren sein, die auf einen Cybervorfall oder eine Cyberbedrohung hindeuten, wie z.B. ungewöhnliche Dateiänderungen, verdächtige Logins oder unbefugte Zugriffsversuche.

Betreiberinnen kritischer Infrastrukturen werden bei der Registrierung beim BACS entsprechend als solche erfasst, so dass die vorerwähnten technischen Informationen gezielt nur im Kreis der kritischen Infrastrukturen verteilt werden können. Alle erfassten Betreiberinnen kritischer Infrastrukturen werden einem oder mehreren Sektoren zugeteilt, damit auch ein sektorspezifischer Austausch erfolgen kann.

Absatz 2: Verantwortung des BACS für die Sicherheit und den Datenschutz

Analog zu den Bestimmungen in Artikel 12 Absatz 2 trägt das BACS auch für die Informationssysteme für den automatischen Informationsaustausch die Verantwortung für die Sicherheit und den Datenschutz.

Art. 13 Registrierung

Diese Bestimmung stützt sich auf Art. 73a Abs. 1 und 2 Bst. e sowie Art. 74 Abs. 1 und 2 Bst. a ISG.