Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

− Unternehmen, die für die Herstellung, das Inverkehrbringen und die Einfuhr von Arzneimitteln eine Bewilligung nach dem Heilmittelgesetz vom 15. Dezember 2000³¹ haben (Art. 74b Abs. 1 Bst. h ISG);

− Anbieterinnen von Postdiensten, die gemäss Art. 4 Abs. 1 des Postgesetzes vom 17. Dezember 2010³² bei der Postkommission registriert sind (Art. 74b Abs. 1 Bst. l ISG); und

− Unternehmen, welche die Bevölkerung mit unentbehrlichen Gütern des täglichen Bedarfs versorgen und deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen führen würde (Art. 74b Abs. 1 Bst. p ISG).

Es gilt an dieser Stelle hervorzuheben, dass die in Absatz 2 aufgeführte Ausnahme nicht für Bundes-, Kantons- und Gemeindebehörden (Art. 74b Abs. 1 Bst. b ISG) und Hochschulen (Art. 74b Abs. 1 Bst. a ISG) gilt.

Art. 17 Dokumentationspflicht bei Gesuchen um Auskunft über die Unter-

stellung unter die Meldepflicht

Diese Bestimmung stützt sich auf Art. 74a Abs. 2 ISG.

Da die Meldepflicht gemäss der Aufzählung in Art. 74b Abs. 1 ISG sehr viele verschiedene Bereiche erfasst und es zahlreiche Behörden und Organisationen gibt, die gemäss Art. 74c ISG und Artikel 16 dieser Verordnung von der Meldepflicht ausgenommen sind, ist zu erwarten, dass trotz dieser ausführlichen Regelungen bei gewissen Behörden und Organisationen Unklarheiten darüber bestehen, ob sie der Meldepflicht unterstellt sind oder nicht. Interessierte Behörden und Organisationen können daher beim BACS vorstellig werden und darum nachsuchen, dass es Auskunft über das Bestehen einer Meldepflicht nach Art. 74b ISG oder einer Ausnahme von der Meldepflicht nach Art. 74c ISG erteilt.

Damit das BACS diese Auskunftsgesuche behandeln kann, sieht der vorliegende Artikel 17 vor, dass Behörden und Organisationen dem BACS alle erforderlichen Unterlagen zur Verfügung stellen müssen, damit das Amt darüber Auskunft geben kann, ob diese Einrichtungen einer gesetzlichen Meldepflicht unterliegen. Diese Anforderung stellt sicher, dass das BACS seine Aufgaben im Bereich der Cybersicherheit effektiv wahrnehmen kann. Da die Auskunft des BACS quasi eine Momentaufnahme darstellt, die auf den zum Zeitpunkt ihrer Erstellung vorliegenden Sachverhalten basiert, liegt es in der Verantwortung der betroffenen Behörde oder Organisation, bei einer wesentlichen Änderung der relevanten Tatsachen oder Umstände unverzüglich ihrer Meldepflicht nachzukommen oder bei Unsicherheit beim BACS ein Auskunftsgesuch zu stellen.