Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

Bst. d: Eisenbahnunternehmen nach Artikel 74b Absatz 1 Buchstabe m ISG

Die Meldepflicht beschränkt sich auf die vom BAV beaufsichtigten Transportunternehmen mit Systemaufgaben im öffentlichen Interesse, deren sicherer und zuverlässiger Betrieb für das Wohlergehen der Bevölkerung und das Funktionieren der Wirtschaft unerlässlich ist. Dementsprechend werden die übrigen Unternehmen von der Meldepflicht ausgenommen.

Bst. e: Anbieterinnen und Betreiberinnen nach Artikel 74b Absatz 1 Buchstabe t

ISG

Anbieterinnen und Betreiberinnen von Cloudcomputing und Suchmaschinen sowie Rechenzentren, die einen Sitz in der Schweiz haben, sind nur dann meldepflichtig, wenn sie ihre Leistungen teilweise oder vollumfänglich für Dritte und gegen Entgelt erbringen. Durch das neu eingeführte Kriterium der gewerblichen Leistungserbringung fallen auch Rechenzentren nicht unter die Meldepflicht, die ihre Leistung ausschliesslich für den Eigenbedarf erbringen.

Ebenso unterliegen alle digitalen Sicherheitsdienste und alle digitalen Vertrauensdienste, die Dritten angeboten werden, unabhängig von ihrem Umsatz oder ihrer Klientel, der Meldepflicht für Cyberangriffe (ohne einen mittleren Schwellenwert). Dagegen unterliegen Dienste, die eine Person ausschliesslich für sich selbst entwickelt und nutzt, nicht der Meldepflicht.

Absatz 2: Sektorenübergreifende Schwellenwerte

Für die Meldepflicht von Unternehmen wurde als generelle Ausnahme auf den

Schwellenwert der Unternehmensklasse «kleine Unternehmen» gemäss der Empfehlung der EU-Kommission abgestellt.²⁸ Demnach sind meldepflichtige Behörden und Organisationen nach Art. 74b ISG von der Meldepflicht ausgenommen, wenn sie weniger als 50 Personen beschäftigen und ihr Jahresumsatz bzw. ihre Jahresbilanz CHF 10 Mio. nicht übersteigt. Es wurde darauf verzichtet, eine Umrechnung von Euro in Schweizerfranken vorzunehmen, da die europäische Regelung auch für wirtschaftlich schwächere EU-Ländern gilt, in denen der Jahresumsatz bzw. die Jahresbilanz von Euro 10 Mio. schwieriger zu erreichen sein dürfte.

Die Ausnahme nach Absatz 2 gilt nur für meldepflichtige Unternehmen, für die keine spezifischen Schwellenwerte nach Absatz 1 definiert wurden. Hierzu gehören:

− Gesundheitseinrichtungen, die auf der kantonalen Spitalliste nach Art. 39 Abs. 1 Buchstabe e des Bundesgesetzes vom 18. März 1994²⁹ über die Krankenversicherung aufgeführt sind (Art. 74b Abs. 1 Bst. f ISG);

− medizinische Laboratorien mit einer Bewilligung nach Art. 16 Abs. 1 des Epidemiengesetzes vom 28. September 2012³⁰ (Art. 74b Abs. 1 Bst. g ISG);