Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

- TLP «amber strict» - die Empfänger dürfen Informationen ausschliesslich innerhalb ihrer Organisation teilen.

- TLP «red» - die Information geht nur an das Individuum und darf nicht weitergegeben werden.

Die auf der Plattform des BACS geteilten Informationen sind gemäss dem TLP-Protokoll kategorisiert. So wird angezeigt, wie die Information weiterverbreitet werden darf. Diese Vorgaben sind für alle Empfänger verbindlich, ausser die Weitergabe der Informationen ist gesetzlich vorgesehen.

Absatz 2: Entscheidung des BACS über die Veröffentlichung von Informatio-

nen

Das BACS hat die Autorität, zu bestimmen, ob und wann zur Weitergabe freigegebene Informationen über Cyberbedrohungen und -angriffe öffentlich gemacht werden sollen und ist damit verantwortlich für die Entscheidung, welche dieser Informationen an wen weitergegeben werden dürfen. Es handelt sich hierbei um Informationen, die intern geprüft und bearbeitet werden. Dabei wird berücksichtigt, welche Informationen nützlich und relevant für die Öffentlichkeit oder bestimmte Zielgruppen sind und wie deren Verbreitung am besten über das vorhandene Kommunikationssystem bzw. den Informationssystemen erfolgen kann.

Absatz 3: Gewährleistung des Schutzes der Informationen

Den Informationsempfängern kommt die Verantwortung zu, Massnahmen zu ergreifen, um die Sicherheit und Vertraulichkeit der erhaltenen Informationen zu gewährleisten. Der Schutz dieser Informationen ist besonders wichtig, da sie sensibel sein können und ihre Offenlegung oder Kompromittierung negative Folgen haben könnten. Zum Beispiel könnte dies weitere Cyberangriffe begünstigen oder bereits bestehende Sicherheitsprobleme verschärfen.

Absatz 4: Vorgaben für allfällige Dienstleister von Betreiberinnen kritischer Inf-

rastrukturen

Dienstleister, die für kritische Infrastrukturen tätig sind, und die von den Betreiberinnen der kritischen Infrastrukturen gemäss Artikel 14 dieser Verordnung angemeldet und registriert wurden, dürfen die Informationen, die sie erhalten, ausschliesslich für die spezifischen Tätigkeiten verwenden, die sie im Auftrag der kritischen Infrastruktur ausführen. Dies dient dazu, die Vertraulichkeit und den angemessenen Umgang mit sensiblen Informationen zu gewährleisten und das Risiko eines Missbrauchs oder eines unbefugten Zugriffs zu minimieren.

5. Abschnitt: Meldepflicht

Art. 16 Ausnahmen von der Meldepflicht

Diese Bestimmung stützt sich auf Art. 74c ISG, wonach der Bundesrat Organisationen und Behörden von der Meldepflicht nach Art. 74b ISG ausnimmt, wenn durch