Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

Kontaktangaben der gemeldeten Person registrieren (siehe hierzu sinngemäss die Ausführungen oben bei Artikel 13 Absatz 2).

Art. 15 Übermittlung und Nutzung der Informationen

Diese Bestimmung stützt sich auf Art. 73a Abs. 1 und 2 Bst. e sowie Art. 74 Abs. 1 und 2 Bst. a ISG.

Der Informationsaustausch erfolgt freiwillig und basiert auf dem Vertrauen, dass die gelieferten Informationen zweckdienlich verwendet werden. Es ist deshalb entscheidend, dass die Informationslieferanten unter Berücksichtigung der gesetzlichen Vorgaben bestimmen können, wie mit der von ihnen geteilten Information umgegangen wird, und dass alle Teilnehmenden die Vorgaben für den Informationsaustausch kennen und einhalten.

Absatz 1: Weitergabe der geteilten Informationen nur gemäss den Bestimmun-

gen der Informationslieferanten

Die Regelung, dass geteilte Informationen nur – soweit eine Weitergabe der Informationen nicht gesetzlich vorgesehen ist – gemäss den Bestimmungen der Informationslieferanten weitergegeben werden dürfen, ist wichtig, um sicherzustellen, dass die Informationen nicht unbefugt verbreitet oder missbraucht werden. Informationen über Cybervorfälle und -bedrohungen müssen vertraulich geteilt werden. Sie zeigen, welche Erkenntnisse über einen Vorfall vorliegen und welche Schutzmassnahmen identifiziert wurden. Angreifer könnten solche Informationen für ihre Zwecke nutzen. Zudem enthalten solche Informationen auch Angaben, die für die betroffene Behörde oder Organisation selbst sensibel sind, z.B. weil sie ihre Reputation gefährden können. Es ist darum wichtig, dass die Informationslieferanten grundsätzlich den Empfängerkreis selbst bestimmen können. In der Cybersicherheit hat sich zu diesem Zweck die Klassifizierung nach dem «Traffic Light Protocol» (TLP-Protokoll) durchgesetzt. Dieser vom «Forum of Incident Response and Security Teams (FIRST)» proklamierte Standard²¹ unterscheidet folgende Vorgaben für die Weiterverbreitung von Informationen:

- TLP «clear» - keine Restriktion für die Verbreitung der Information.

- TLP «green» - die Empfänger dürfen Informationen weitergegeben, jedoch nicht auf öffentlichen Quellen publizieren.

- TLP «amber» - die Empfänger dürfen Informationen innerhalb ihrer Organisation²² und mit ihren Partnern teilen, sofern dies nötig ist.