Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

Art. 18 Zu meldende Cyberangriffe

Diese Bestimmung stützt sich auf Art. 74d ISG.

Allgemeines

Die Umschreibung der zu meldenden Cyberangriffe ist in Art. 74d Bst. a–d ISG festgehalten. Cyberangriffe sind grundsätzlich dann meldepflichtig, wenn sie zum Zweck der Frühwarnung und Beurteilung der Bedrohungslage für das BACS besonders relevant sind. Die Kriterien zur Bestimmung der meldepflichtigen Angriffe wurden so gewählt, dass sie für die Behörden und Organisationen möglichst direkt erkennbar sind. Sie werden in diesem Artikel auf Verordnungsstufe weiter präzisiert.

Absatz 1: Gefährdung der Funktionsfähigkeit der kritischen Infrastruktur (Art. 74d

Bst. a ISG)

Die Funktionsfähigkeit einer kritischen Infrastruktur kann durch einen Cyberangriff gefährdet sein, wenn die IT-Systeme, Netzwerke oder Steuerungssysteme, die für den Betrieb der Infrastruktur wesentlich sind, dergestalt kompromittiert werden, dass es zu Systemunterbrüchen für Mitarbeitende und Dritte führt (Art. 18 Abs. 1 Bst. a dieser Verordnung) oder die betroffene Organisation oder Behörde ihre Tätigkeiten nur noch mit Hilfe von Notfallplänen aufrechterhalten kann (Art. 18 Abs. 1 Bst. b dieser Verordnung). Ein Systemunterbruch liegt dann vor, wenn Mitarbeitende oder Dritte für ihre Tätigkeit wichtige Arbeitsschritte nicht mehr ausführen können, weil die dazu nötigen Informatikmittel nicht mehr verfügbar sind. Als Notfallpläne gelten alle technischen oder organisatorischen Massnahmen, die ergriffen werden müssen, wenn die üblicherweise verwendeten Informatikmittel kurzfristig und ungeplant nicht mehr verfügbar sind.

Absatz 2: Manipulation oder Abfluss von Informationen (Art. 74d Bst. b ISG)

Von einem meldepflichtigen Cyberangriff infolge Manipulation oder einem Abfluss von Informationen geht man namentlich aus, wenn die Angreifer in der Lage sind unbefugten Zugriff auf sensible Daten der betroffenen Organisationen und Behörden zu erlangen und diese zu verändern, zu verschlüsseln, zu stehlen, zu löschen, Unbefugten offenzulegen oder zugänglich zu machen. So können durch einen Cyberangriff Daten durch Unbefugte dergestalt manipuliert werden, dass diese gemäss Art. 18 Abs. 2 Bst. a dieser Verordnung geschäftsrelevante Informationen in Systeme einspeisen, welche aufgrund ihrer Veränderung oder Offenlegung zu Fehlern in Geschäftsprozessen, zu falschen Entscheidungen oder sogar zu Sicherheitsrisiken führen. Möglich ist aber auch gemäss Art. 18 Abs. 2 Bst. b dieser Verordnung, dass durch die Manipulation oder den Abfluss von Informationen die Datensicherheit von Personendaten gemäss Art. 5 Bst. h i.V.m. Art. 24 DSG verletzt wurde.

Absatz 3: Über einen längeren Zeitraum unentdeckter Cyberangriff (Art. 74d

Bst. c ISG)

Meldepflichtig sind auch Cyberangriffe, die über einen längeren Zeitraum unentdeckt bleiben und Anzeichen aufweisen, dass diese zur Vorbereitung weiterer Angriffe ausgeführt wurden. In Art. 18 Abs. 3 dieser Verordnung wird festgehalten, dass man