Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

dann von einem längeren Zeitraum i.S.v. Art. 74d Bst. c ISG ausgeht, wenn nach der Entdeckung festgestellt wird, dass der Cyberangriff bereits vor mehr als 90 Tagen erfolgt ist (z.B. durch die Auswertung von Logdaten). Solche Cyberangriffe stellen eine ernsthafte Bedrohung für kritische Infrastrukturen dar. Sie werden häufig auch als «Advanced Persistent Threats» (APTs) bezeichnet. Sie sind in der Regel hochentwickelt, zielgerichtet und schwer zu erkennen. Aus diesem Grund sind sie als Warnung für andere Betreiberinnen und Betreiber kritischer Infrastrukturen von besonderer Relevanz. Bei dieser Art von Angriffen kann Spionage (z. B. Behörden- oder Industriespionage) nicht ausgeschlossen werden. Die Angriffe sind oft sehr komplex und werden von erfahrenen Angreifern durchgeführt, die fortgeschrittene Techniken und Werkzeuge einsetzen, um sich im System zu verstecken und ihre Aktivitäten zu verschleiern. In der Regel wird auf ausgewählte Organisationen, Branchen oder Behörden abgezielt. Es ist auch denkbar, dass die Angreifer schrittweise vorgehen, um Zugriffsberechtigungen zu erweitern und weitere Schwachstellen auszunutzen. Wenn Anzeichen dafür bestehen, dass ein Cyberangriff zur Vorbereitung für weitere Angriffe ausgeführt wurde, ist es wahrscheinlich, dass die Angreifer bereits Zugang zu kritischen Systemen oder Daten haben und diese für zukünftige Attacken nutzen können.

Absatz 4: Mit Erpressung, Drohung oder Nötigung verbundener Cyberangriff

(Art. 74d Bst. d ISG)

Dieser Absatz statuiert, dass bei strafrechtlich relevanten Begleitumständen ein Cyberangriff immer dann zu melden ist, wenn sich diese strafbaren Handlungen gegen die meldepflichtige Behörde oder Organisation, gegen aktuelle oder ehemalige Verantwortliche oder gegen aktuelle oder ehemalige Mitarbeitende oder für die meldepflichtige Behörde oder Organisation tätige Personen richten. Viele Cyberkriminelle versuchen, über die Androhung oder Durchführung von Angriffen die Betreiberinnen kritischer Infrastrukturen, deren Kundinnen und Kunden oder einzelne Mitarbeitende zu erpressen (z. B. über die Verschlüsselung mittels Ransomware, der Androhung von Angriffen auf die Verfügbarkeit mittels Distributed-Denial-of-Service-Attacken [DDoS-Attacken] oder der Androhung der Veröffentlichung von sensiblen Informationen wie Personendaten oder Unternehmensgeheimnisse). Cyberangriffe mit strafrechtlich relevanten Begleitumständen sind meldepflichtig, wenn die Erpressung, Drohung oder Nötigung einen Bezug zur meldepflichtigen Organisation oder Behörde hat und sich auf deren Geschäfts- oder Verwaltungstätigkeit negativ auswirken kann. Es handelt sich dabei um schwerwiegende Auswirkungen, einschliesslich finanzieller Verluste, Rufschädigung oder rechtlicher Konsequenzen. Die Meldung solcher Angriffe ist wichtig, damit das BACS einschätzen kann, wie stark die Bedrohung kritischer Infrastrukturen durch Cyberkriminelle ist.

Art. 19 Inhalt der Meldung

Diese Bestimmung stützt sich auf Art. 74e Abs. 2 ISG.

Allgemeines:

Beim Verfassen dieser Ausführungsbestimmung hat man sich in weiten Teilen an der Terminologie und dem Inhalt des per 1. September 2020 eingeführten Formulars